Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) b####.l####.top:80
- TCP(HTTP/1.1) de####.b0.a####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) l####.4####.top:443
Запросы DNS:
- adser####.go####.com
- adser####.go####.nl
- b####.l####.top
- cdn.app.1####.top
- cdn.app.h####.top
- googl####.g.doublec####.net
- l####.4####.top
- mt####.go####.com
- ssl.gst####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- de####.b0.a####.com/swenjian/322
- de####.b0.a####.com/swenjian/322m
- de####.b0.a####.com/zzz/sgg
Запросы HTTP POST:
- b####.l####.top/wakeup/hx
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1470286953684.jar
- /data/data/####/1470286953684.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/admob.xml
- /data/data/####/bzwn.db-journal
- /data/data/####/com.ewiwcqq.ggfgrtt_preferences.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.p.z.Mme.xml
- /data/data/####/com.p.z.Vm.jar
- /data/data/####/com.p.z.Vm.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/ebn.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/libjiagu.so
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/.thumbdata3--1967290299
- /data/media/####/02e74f10e0327ad868d138f2b4fdd6f0.0
- /data/media/####/125a1b8f96e92fe350345631a2417a9e.0
- /data/media/####/1566592483225.jpg
- /data/media/####/1566592483356.jpg
- /data/media/####/1566592483775.jpg
- /data/media/####/1566592483958.jpg
- /data/media/####/1566592484584.jpg
- /data/media/####/1566592485812.jpg
- /data/media/####/1566592486074.jpg
- /data/media/####/1566592486168.jpg
- /data/media/####/1566592486259.jpg
- /data/media/####/1566592486437.jpg
- /data/media/####/1566592486521.jpg
- /data/media/####/1566592486666.jpg
- /data/media/####/1566592487229.jpg
- /data/media/####/1566592487312.jpg
- /data/media/####/1566592487469.jpg
- /data/media/####/1566592487773.jpg
- /data/media/####/1566592487984.jpg
- /data/media/####/1566592488140.jpg
- /data/media/####/182be0c5cdcd5072bb1864cdee4d3d6e.0
- /data/media/####/19ca14e7ea6328a42e0eb13d585e4c22.0
- /data/media/####/1c383cd30b7c298ab50293adfecb7b18.0
- /data/media/####/1f0e3dad99908345f7439f8ffabdffc4.0
- /data/media/####/1ff1de774005f8da13f42943881c655f.0
- /data/media/####/2736ca6e64c74f749735ce8b919b7fdc.0
- /data/media/####/2869973bca3372cd88674c038180ff66.0
- /data/media/####/33e75ff09dd601bbe69f351039152189.0
- /data/media/####/34173cb38f07f89ddbebc2ac9128303f.0
- /data/media/####/37693cfc748049e45d87b8c7d8b9aacd.0
- /data/media/####/3c59dc048e8850243be8079a5c74d079.0
- /data/media/####/4e732ced3463d06de0ca9a15b6153677.0
- /data/media/####/6364d3f0f495b6ab9dcf8d3b5c6e0b01.0
- /data/media/####/6491adfb82212d98a6ab5403849548ca.0
- /data/media/####/6642f943b4d9a9b07f582fe87eda8ebd.0
- /data/media/####/6ba5a59a8741b452bda7dab44bec1fa9.0
- /data/media/####/6ea9ab1baa0efb9e19094440c317e21b.0
- /data/media/####/6f4922f45568161a8cdf4ad2299f6d23.0
- /data/media/####/70efdf2ec9b086079795c442636b55fb.0
- /data/media/####/72af14f8a8a337f692f48278a200e0d1.0
- /data/media/####/8e296a067a37563370ded05f5a3bf3ec.0
- /data/media/####/98f13708210194c475687be6106a3b84.0
- /data/media/####/9bf31c7ff062936a96d3c8bd1f8f2ff3.0
- /data/media/####/a5771bce93e200c36f7cd9dfd0e5deaa.0
- /data/media/####/a5bfc9e07964f8dddeb95fc584cd965d.0
- /data/media/####/aab3238922bcc25a6f606eb525ffdc56.0
- /data/media/####/b6d767d2f8ed5d21a44b0e5886680cb9.0
- /data/media/####/c16a5320fa475530d9583c34fd356ef5.0
- /data/media/####/c5694ed39dba15f92c289041a87879c5.0
- /data/media/####/c74d97b01eae257e44aa9d5bade97baf.0
- /data/media/####/c815d6d0a99fb41f44334738cd4b53b6.0
- /data/media/####/d495e4c3bc7acd5561caf7c5db5def75.0
- /data/media/####/d53dd32cb638b572d82fe50c137f19d3.0
- /data/media/####/d67d8ab4f4c10bf22aa353e27879133c.0
- /data/media/####/e369853df766fa44e1ed0ff613f563bd.0
- /data/media/####/f79d4a2510bf4e76ce0e9bf00d8e0d66.0
- /data/media/####/fea6a329f213b12706bdb5bceb6f5f5f.0
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
