Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.859.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) src.r####.com.####.com:80
- TCP(HTTP/1.1) www.zh####.com:80
- TCP(HTTP/1.1) v####.d####.cn:80
- TCP(HTTP/1.1) sdk.c####.com:80
- TCP(HTTP/1.1) imgc####.qq.com.####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) up####.fl####.cn:80
- TCP(HTTP/1.1) bjm.ma.social-####.com:80
- TCP(TLS/1.0) ee16b1f####.bug####.com:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) res####.a####.com:443
Запросы DNS:
- a####.u####.com
- amap####.cn-hang####.oss####.####.com
- api.w####.com
- d.ma.social-####.com
- ee16b1f####.bug####.com
- imgc####.qq.com
- mi.g####.qq.com
- n.ma.social-####.com
- oc.u####.co
- oc.u####.com
- res####.a####.com
- s####.e.qq.com
- sc.ma.social-####.com
- sdk.c####.com
- src.r####.com
- umen####.m.ta####.com
- up####.fl####.cn
- v####.d####.cn
- www.zh####.com
Запросы HTTP GET:
- bjm.ma.social-####.com/p/mdid?encodeData=####&v=####&sdkv=####&appid=###...
- imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- src.r####.com.####.com/kubo/dex/hh_8.6_109.dex
- up####.fl####.cn/siteparser/rule/custom/pojun/script.spp
- up####.fl####.cn/siteparser/rule/custom/pojun/update.json
- v####.d####.cn/cert/pojun.txt
Запросы HTTP POST:
- a####.u####.com/app_logs
- s####.e.qq.com/activate
- s####.e.qq.com/msg
- sdk.c####.com/versiontapi.php?v=####&type=####
- www.zh####.com/webapi/host/GetKidServerAddress
- www.zh####.com/webapi/v1.6/getAdvertisingSource
- www.zh####.com/webapi/v1.6/kidAndroidApprove
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1868553496-164679121
- /data/data/####/-209058343090610895
- /data/data/####/-383576793-1113983969
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/3481594339515.0
- /data/data/####/4081683627965.0
- /data/data/####/5781580579722.0
- /data/data/####/781671132264.0
- /data/data/####/7b916c674ae2502b2e94b24a40de3bc8.0.tmp
- /data/data/####/7b916c674ae2502b2e94b24a40de3bc8.1.tmp
- /data/data/####/851821448909020840
- /data/data/####/8750374b72ae0bb13602e38ed13a34a7.0.tmp
- /data/data/####/8750374b72ae0bb13602e38ed13a34a7.1.tmp
- /data/data/####/ACCS_SDK.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/accs.db-journal
- /data/data/####/ax_c.xml
- /data/data/####/com.socialtouch.ads.xml
- /data/data/####/com_hc_hulakoreafan_config.xml
- /data/data/####/com_hc_hulakoreafan_config.xml.bak
- /data/data/####/com_hc_zhuijujiang.xml
- /data/data/####/core_info
- /data/data/####/d94a8b51de4a1b0ef310182efaa3647e.0.tmp
- /data/data/####/d94a8b51de4a1b0ef310182efaa3647e.1.tmp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1390315866.so
- /data/data/####/log_store.log
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/mc109.dex
- /data/data/####/mobclick_agent_cached_com.hc.zhuijujiang18
- /data/data/####/mobclick_agent_online_setting_com.hc.zhuijujiang.xml
- /data/data/####/multidex.version.xml
- /data/data/####/my_jjz.db-journal
- /data/data/####/pref.xml
- /data/data/####/script.spp
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/st_appdownload.db-journal
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbslock.txt
- /data/data/####/tempfile
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update.jar
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/als.db
- /data/media/####/als.db-journal
- /data/media/####/cookie_id
Другие:
Запускает следующие shell-скрипты:
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- Bugtags
- libjiagu1390315866
- siteparser
- tnet-3.1
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Отрисовывает собственные окна поверх других приложений.
