Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) i####.k####.k####.####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) qq.i####.com:80
- TCP(HTTP/1.1) m####.k####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) log.k####.cn:80
- TCP(HTTP/1.1) r####.s####.k####.####.com:80
- TCP(HTTP/1.1) n####.s####.k####.####.com:80
- TCP(HTTP/1.1) artistp####.k####.cn:80
- TCP(HTTP/1.1) www.s####.net:80
- TCP(TLS/1.0) 2####.58.208.110:443
Запросы DNS:
- a####.pl####.r####.####.cn
- a####.pl####.r####.####.cn
- a####.pl####.r####.####.cn
- a####.pl####.r####.####.cn
- a####.u####.com
- a.appj####.com
- artistp####.k####.cn
- downloa####.pan####.net
- g####.k####.cn
- i####.k####.k####.cn
- i####.k####.k####.cn
- i####.k####.k####.cn
- i####.k####.k####.cn
- log.k####.cn
- m####.k####.cn
- m####.k####.cn
- m.i####.com
- n####.s####.k####.cn
- r####.s####.k####.cn
- www.s####.net
Запросы HTTP GET:
- artistp####.k####.cn/pic.web?user=####&prod=####&corp=####&source=####&t...
- i####.k####.k####.####.net/star/albumcover/320/0/10/3716571200.jpg
- i####.k####.k####.####.net/star/albumcover/320/39/86/2517013031.jpg
- i####.k####.k####.####.net/star/albumcover/320/41/15/4001212622.jpg
- i####.k####.k####.####.net/star/albumcover/320/49/56/2666126430.jpg
- i####.k####.k####.####.net/star/albumcover/320/72/18/3379705359.jpg
- i####.k####.k####.####.net/star/albumcover/320/73/82/884360710.jpg
- i####.k####.k####.####.net/star/starheads/300/41/25/2192853126.jpg
- i####.k####.k####.####.net/star/upload/1/1/1369293883585_.jpg
- i####.k####.k####.####.net/star/upload/1/1/1425871354289_.jpg
- i####.k####.k####.####.net/star/upload/10/10/1430899573962_.jpg
- i####.k####.k####.####.net/star/upload/10/10/1559297299994_.jpg
- i####.k####.k####.####.net/star/upload/12/12/1421635261676_.jpg
- i####.k####.k####.####.net/star/upload/12/12/1423623580076_.jpg
- i####.k####.k####.####.net/star/upload/12/12/1559130426380_.jpg
- i####.k####.k####.####.net/star/upload/12/12/1559212472252_.jpg
- i####.k####.k####.####.net/star/upload/13/13/1377660129309_.jpg
- i####.k####.k####.####.net/star/upload/13/13/1423623982045_.jpg
- i####.k####.k####.####.net/star/upload/13/13/1522835186157_.png
- i####.k####.k####.####.net/star/upload/13/13/1533210480957_.png
- i####.k####.k####.####.net/star/upload/14/14/1383537939550_.jpg
- i####.k####.k####.####.net/star/upload/14/14/1423624036558_.jpg
- i####.k####.k####.####.net/star/upload/15/15/1423624659871_.jpg
- i####.k####.k####.####.net/star/upload/2/2/1376884518882_.jpg
- i####.k####.k####.####.net/star/upload/2/2/1433729161634_.jpg
- i####.k####.k####.####.net/star/upload/3/3/1435718635203_.jpg
- i####.k####.k####.####.net/star/upload/4/4/1374830993348_.jpg
- i####.k####.k####.####.net/star/upload/6/6/1426584231174_.jpg
- i####.k####.k####.####.net/star/upload/6/6/1456215102918_.jpg
- i####.k####.k####.####.net/star/upload/7/7/1454048990855_.jpg
- i####.k####.k####.####.net/star/upload/8/8/1371110149272_.jpg
- i####.k####.k####.####.net/star/upload/9/9/1374830850489_.jpg
- i####.k####.k####.####.net/star/upload/9/9/1540435754009_.jpg
- i####.k####.k####.####.net/star/userpl2013/44/51/1372320884496_94159644b...
- i####.k####.k####.####.net/star/userpl2015/10/16/1557735769637_196386910...
- i####.k####.k####.####.net/star/userpl2015/15/39/1557738827905_448007115...
- i####.k####.k####.####.net/star/userpl2015/28/56/1501513709483_389983628...
- i####.k####.k####.####.net/star/userpl2015/36/68/1537052693454_234742136...
- i####.k####.k####.####.net/star/userpl2015/59/96/1514623755501_331455759...
- i####.k####.k####.####.net/star/userpl2015/71/22/1510567359091_412924171...
- i####.k####.k####.####.net/wmvpic/324/19/57/3060328884.jpg
- i####.k####.k####.####.net/wmvpic/324/83/26/3803013381.jpg
- m####.k####.cn/mobi.s?f=####&q=####
- m####.k####.cn/mobi.s?f=####&q=XWGUx####
- m####.k####.cn/newradio.nr?type=####&uid=####&login=####&ver=####&fid=##...
- m####.k####.cn/regsvr.auth?1####&XwgED1R####
- n####.s####.k####.####.com/6e2d955684f20ec6c3edcbb665d9d6ce/5cf1fd12/res...
- qq.i####.com/cfg/appkey-ddd9dd02029c7e4b
- r####.s####.k####.####.com/08f50d51b4524f58d0146171018cad86/5cf1fcfe/res...
- r####.s####.k####.####.com/101817a00c99a51a983fe4a99c4570a3/5cf1fcfb/res...
- r####.s####.k####.####.com/6ecc7025b9901eb6033bf4de9e79a10e/5cf1fd29/res...
- r####.s####.k####.####.com/70aeab3395e751cc794630f48d44938a/5cf1fd34/res...
- r####.s####.k####.####.com/79fbe05aaf1f4a9937d04294d3f8f2bd/5cf1fd1b/res...
- r####.s####.k####.####.com/8b089e411639a83e415f966851ea2007/5cf1fd30/res...
- r####.s####.k####.####.com/bce2744bcdec014bb82579d9ae395ed7/5cf1fd20/res...
- r####.s####.k####.####.com/bf2bb222da63717d4c92cd81927fdae6/5cf1fd02/res...
- r####.s####.k####.####.com/cbd031a8389b3eaa416d3dc2b976f147/5cf1fd19/res...
- r####.s####.k####.####.com/e60707412f270b59a26cf2930e310038/5cf1fd17/res...
- r####.s####.k####.####.com/ecdde10af7e8f752c60ef15ac53747bf/5cf1fd25/res...
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- log.k####.cn/music.yl
- qq.i####.com/rec/se?_iwt_t=####&sv=####
- www.s####.net/Mini/niouy.action?key=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/MATSharedPreferences.xml
- /data/data/####/cn.kuwo.kwmusichd.PushContentProvider-journal
- /data/data/####/info.l2c0d.nmur.z7683adb_preferences.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kwplayerhd.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/mat-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/-1019180028_2019_06_04_07_20_38.tmp
- /data/media/####/-1038923319_2019_06_04_07_20_37.tmp
- /data/media/####/-1120987415_2019_06_04_07_20_32.tmp
- /data/media/####/-1175031743_2019_06_04_07_20_16.tmp
- /data/media/####/-118576767_2019_06_04_07_20_12.tmp
- /data/media/####/-1312434601_2019_06_04_07_21_02.tmp
- /data/media/####/-1448244823_2019_06_04_07_20_19.tmp
- /data/media/####/-1605316310_2019_07_31_07_20_43.tmp
- /data/media/####/-1668277940_2019_06_04_07_20_30.tmp
- /data/media/####/-1800403222_2019_07_31_07_20_14.tmp
- /data/media/####/-1882305616_2019_06_04_07_20_25.tmp
- /data/media/####/-1890803598_2019_06_04_07_20_54.tmp
- /data/media/####/-208052179_2019_07_01_07_20_12.tmp
- /data/media/####/-260750069_2019_06_04_07_20_26.tmp
- /data/media/####/-282874785_2019_06_04_07_21_00.tmp
- /data/media/####/-300394332_2019_06_04_07_20_46.tmp
- /data/media/####/-352662587_2019_06_04_07_20_54.tmp
- /data/media/####/-398945990_2019_06_04_07_20_13.tmp
- /data/media/####/-406741910_2019_06_04_07_20_37.tmp
- /data/media/####/-432495636_2019_07_01_07_20_57.tmp
- /data/media/####/-514430920_2019_06_04_07_20_24.tmp
- /data/media/####/-660009526_2019_06_01_19_20_29.tmp
- /data/media/####/-675014271_2019_07_31_07_20_11.tmp
- /data/media/####/-848740759_2019_06_04_07_20_53.tmp
- /data/media/####/1012282970_2019_07_31_07_20_41.tmp
- /data/media/####/103135.48.15765714796992527177.aac.1574180.info
- /data/media/####/103135.48.15765714796992527177.aac.dat
- /data/media/####/1057788666_2019_06_04_07_20_55.tmp
- /data/media/####/1212973382_2019_07_01_07_20_41.tmp
- /data/media/####/1294967063_2019_06_04_07_20_39.tmp
- /data/media/####/129797050_2019_07_01_07_20_44.tmp
- /data/media/####/1314792267_2019_06_04_07_20_17.tmp
- /data/media/####/1314792267_2019_06_04_07_20_24.tmp
- /data/media/####/1379970936_2019_06_04_07_20_17.tmp
- /data/media/####/1380350147_2019_06_04_07_20_46.tmp
- /data/media/####/1490022858_2019_07_01_07_20_34.tmp
- /data/media/####/15249349.48.14432199984749880294.aac.2033749.i...leted)
- /data/media/####/15249349.48.14432199984749880294.aac.2033749.info
- /data/media/####/15249349.48.14432199984749880294.aac.dat
- /data/media/####/1583457634_2019_06_04_07_20_22.tmp
- /data/media/####/1709492262_2019_07_31_07_20_34.tmp
- /data/media/####/1807438664_2019_06_04_07_20_21.tmp
- /data/media/####/1858640683_2019_06_04_07_20_10.tmp
- /data/media/####/1863108286_2019_06_04_07_20_11.tmp
- /data/media/####/189519840_2019_06_04_07_20_53.tmp
- /data/media/####/1997686977_2019_06_04_07_20_14.tmp
- /data/media/####/22807949.48.8838969249137561788.aac.1354624.info
- /data/media/####/22807949.48.8838969249137561788.aac.dat
- /data/media/####/296297.48.899187391883518683.aac.1766228.info
- /data/media/####/296297.48.899187391883518683.aac.dat
- /data/media/####/3244328.48.9210921942764945468.aac.1751345.info
- /data/media/####/3244328.48.9210921942764945468.aac.dat
- /data/media/####/3401030.48.4403929460527845512.aac.dat
- /data/media/####/37107986.48.13263749249469670198.aac.1318924.info
- /data/media/####/37107986.48.13263749249469670198.aac.dat
- /data/media/####/374707423_2019_06_01_19_20_08.tmp
- /data/media/####/377839409_2019_07_01_07_20_14.tmp
- /data/media/####/389210620_2019_06_04_07_20_16.tmp
- /data/media/####/409472875_2019_06_04_07_20_31.tmp
- /data/media/####/450444.24.15278014764248480685.aac.640739.info
- /data/media/####/450444.24.15278014764248480685.aac.dat
- /data/media/####/450444.48.11341302076071266135.aac.dat
- /data/media/####/461637115_2019_06_04_07_20_13.tmp
- /data/media/####/559209022_2019_06_01_08_20_08.tmp
- /data/media/####/5844591.24.4394173315576502793.aac.747123.info
- /data/media/####/5844591.24.4394173315576502793.aac.dat
- /data/media/####/5844591.48.7933413489246789398.aac.1470328.info
- /data/media/####/5844591.48.7933413489246789398.aac.dat
- /data/media/####/651430585_2019_06_04_07_20_39.tmp
- /data/media/####/682855.48.14338949225755413619.aac.1304270.info
- /data/media/####/682855.48.14338949225755413619.aac.dat
- /data/media/####/765129751_2019_06_04_07_20_26.tmp
- /data/media/####/808189592_2019_06_04_07_21_02.tmp
- /data/media/####/826805416_2019_07_31_07_20_57.tmp
- /data/media/####/alist
- /data/media/####/uid.text
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- kwaac
- libjiagu
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
