Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) si.ci.s####.com:80
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) 1####.60.216.15:443
- TCP(TLS/1.0) ssl.google-####.com:443
Запросы DNS:
- d####.fl####.com
- g####.face####.com
- sett####.crashly####.com
- si.ci.s####.com
- ssl.google-####.com
Запросы HTTP GET:
- si.ci.s####.com/k?a=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_92DKDW4F...HW_216
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.yflurrydatasenderblock.5b3eac59-7169-4585-8945...666c9e
- /data/data/####/.yflurrydatasenderblock.6f03ce65-3510-460a-9bc0...6dcbcc
- /data/data/####/.yflurrydatasenderblock.c6554cb3-0eab-4226-93c4...d3b873
- /data/data/####/.yflurrydatasenderblock.cf27dd45-40a1-49d5-88cf...656e66
- /data/data/####/.yflurryreport.13ff6a5254c63836
- /data/data/####/37baf721f15f6ac7fb537802d87bcd5027ae5fd1863ed4f....0.tmp
- /data/data/####/493043954684613d0a280050271a74cc92fd6474b51a931....0.tmp
- /data/data/####/5D7C01B700D0-0001-0854-21633E1B9BC8BeginSession.cls_temp
- /data/data/####/5D7C01B700D0-0001-0854-21633E1B9BC8SessionApp.cls_temp
- /data/data/####/5D7C01B700D0-0001-0854-21633E1B9BC8SessionDevice.cls_temp
- /data/data/####/5D7C01B700D0-0001-0854-21633E1B9BC8SessionOS.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8BeginSession.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8SessionApp.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8SessionCrash.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8SessionDevice.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8SessionOS.cls_temp
- /data/data/####/5D7C01B90098-0001-08C8-21633E1B9BC8SessionUser.cls_temp
- /data/data/####/5D7C01EA024A-0002-08C8-21633E1B9BC8BeginSession.cls_temp
- /data/data/####/5D7C01EA024A-0002-08C8-21633E1B9BC8SessionApp.cls_temp
- /data/data/####/5D7C01EA024A-0002-08C8-21633E1B9BC8SessionDevice.cls_temp
- /data/data/####/5D7C01EA024A-0002-08C8-21633E1B9BC8SessionOS.cls_temp
- /data/data/####/5D7C01EB0138-0001-0A29-21633E1B9BC8BeginSession.cls_temp
- /data/data/####/5D7C01EB0138-0001-0A29-21633E1B9BC8SessionApp.cls_temp
- /data/data/####/5D7C01EB0138-0001-0A29-21633E1B9BC8SessionDevice.cls_temp
- /data/data/####/5D7C01EB0138-0001-0A29-21633E1B9BC8SessionOS.cls_temp
- /data/data/####/63f6b20dc4a21a804abbdcf400729d892e681c614a01acc....0.tmp
- /data/data/####/7a9539c30bcc4528c113b5ba68c0552b613bc7cdae8dc7e....0.tmp
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/DeviceTestSharedPreferences.xml
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/c1d50eca6c4b48f8856828f7de10a49dd91ffca1aa88030....0.tmp
- /data/data/####/c617d2d66e729267f9bfa42f4ebc77a4660c8ac43e63daf....0.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.nihoncam.android_preferences.xml
- /data/data/####/crash_marker
- /data/data/####/e54f7d15799b5c27183024e67351bc76x.jar
- /data/data/####/f29237e84a6e6ae6143497a34b86c477e422e8168cc76c7....0.tmp
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;uv.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1004378639.so
- /data/data/####/multidex.version.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/signOfIcon.xml
- /data/data/####/sysconfig.xml
- /data/data/####/webview.db-journal
- /data/data/####/z3c01556f.xml
- /data/media/####/journal
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1004378639.so
Загружает динамические библиотеки:
- libjiagu-1004378639
Использует следующие алгоритмы для шифрования данных:
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
