Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.ws.pho.to:80
- TCP(HTTP/1.1) op####.ws.pho.to:80
- TCP(HTTP/1.1) worker-####.ws.pho.####.com:80
- TCP(HTTP/1.1) 60.2####.13.58:80
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) t.appsf####.com:443
Запросы DNS:
- a####.ws.pho.to
- op####.ws.pho.to
- ssl.google-####.com
- t####.appsf####.com
- worker-####.ws.pho.to
Запросы HTTP GET:
- a####.ws.pho.to/en/xy
- op####.ws.pho.to/getresult?request_id=####
- worker-####.ws.pho.####.com/i1/46DD7007-FDF4-4B68-8E33-B3B314630EAF.jpg
Запросы HTTP POST:
- op####.ws.pho.to/addtask
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/AF_INSTALLATION
- /data/data/####/app_first_run_show_drawer.xml
- /data/data/####/com.apps.icam.bd.apk
- /data/data/####/firstrun.xml
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/photolab.db-journal
- /data/data/####/seasonal.xml
- /data/media/####/.nomedia
- /data/media/####/cache.jpg
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
