Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.dou####.com:80
- TCP(HTTP/1.1) api.dou####.com:80
- TCP(HTTP/1.1) img.meiba####.com:80
- TCP(HTTP/1.1) www.s####.net:80
- TCP(TLS/1.0) 1####.217.168.238:443
Запросы DNS:
- a####.dou####.com
- api.dou####.com
- img.meiba####.com
- p####.s####.meiba####.com
- www.s####.net
Запросы HTTP GET:
- a####.dou####.com/face?u=####&md5=####&id=####
- api.dou####.com/index?uuid=####&callback=####&_=####
- api.dou####.com/list?cid=####&u=####&md5=####&callback=####&_=####
- api.dou####.com/start.gif?v=####&c=####&u=####&t=####&model=####&manuf=#...
- img.meiba####.com/bidou/covers/1.jpg?_=####
- img.meiba####.com/bidou/covers/12.jpg?_=####
- img.meiba####.com/bidou/covers/13.jpg?_=####
- img.meiba####.com/bidou/covers/15.jpg?_=####
- img.meiba####.com/bidou/covers/16.jpg?_=####
- img.meiba####.com/bidou/covers/17.jpg?_=####
- img.meiba####.com/bidou/covers/19.jpg?_=####
- img.meiba####.com/bidou/covers/21.jpg?_=####
- img.meiba####.com/bidou/covers/22.jpg?_=####
- img.meiba####.com/bidou/covers/23.jpg?_=####
- img.meiba####.com/bidou/covers/24.jpg?_=####
- img.meiba####.com/bidou/covers/26.jpg?_=####
- img.meiba####.com/bidou/covers/28.jpg?_=####
- img.meiba####.com/bidou/covers/29.jpg?_=####
- img.meiba####.com/bidou/covers/3.jpg?_=####
- img.meiba####.com/bidou/covers/30.jpg?_=####
- img.meiba####.com/bidou/covers/31.jpg?_=####
- img.meiba####.com/bidou/covers/32.jpg?_=####
- img.meiba####.com/bidou/covers/33.jpg?_=####
- img.meiba####.com/bidou/covers/34.jpg?_=####
- img.meiba####.com/bidou/covers/35.jpg?_=####
- img.meiba####.com/bidou/covers/36.jpg?_=####
- img.meiba####.com/bidou/covers/37.jpg?_=####
- img.meiba####.com/bidou/covers/38.jpg?_=####
- img.meiba####.com/bidou/covers/39.jpg?_=####
- img.meiba####.com/bidou/covers/40.jpg?_=####
- img.meiba####.com/bidou/covers/41.jpg?_=####
- img.meiba####.com/bidou/covers/42.jpg?_=####
- img.meiba####.com/bidou/covers/43.jpg?_=####
- img.meiba####.com/bidou/covers/44.jpg?_=####
- img.meiba####.com/bidou/covers/45.jpg?_=####
- img.meiba####.com/bidou/covers/46.jpg?_=####
- img.meiba####.com/bidou/covers/47.jpg?_=####
- img.meiba####.com/bidou/covers/48.jpg?_=####
- img.meiba####.com/bidou/covers/49.jpg?_=####
- img.meiba####.com/bidou/covers/5.jpg?_=####
- img.meiba####.com/bidou/covers/50.jpg?_=####
- img.meiba####.com/bidou/covers/51.jpg?_=####
- img.meiba####.com/bidou/covers/52.jpg?_=####
Запросы HTTP POST:
- api.dou####.com/update
- www.s####.net/Mini/niouy.action?key=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/CachedGeoposition.db
- /data/data/####/CachedGeoposition.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.txbd.zpjmbqb.apk
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/f_000026
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.txbd.zpjmbqb200130
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- jpush217
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
