Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.188.origin
- Android.RemoteCode.867
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 60.2####.13.58:80
- TCP(TLS/1.0) sett####.pic####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) api.pic####.com:443
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) ssl.google-####.com:443
Запросы DNS:
- api.pic####.com
- cdn.zs####.cn
- g####.face####.com
- sett####.pic####.com
- ssl.google-####.com
- st####.pic####.com
- www.md####.cn
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/019031b257bab414436203611ffc833737749fa295705d7....0.tmp
- /data/data/####/0587515355fc01dcb0577cf744d3d9e0cd5d13e572b0441....0.tmp
- /data/data/####/0ed0a19af86f5e3cdab4aefeb7c92574cbbb580363b555e....0.tmp
- /data/data/####/14f743c1a2f24bddda3e133154b9245aaedd0e19400f1f3....0.tmp
- /data/data/####/1f3634ebe4622a3cc61e421343313678c88eba699952854....0.tmp
- /data/data/####/20135ae4d81edabad178d93baa31d06e7e53a44cc0d7aa0....0.tmp
- /data/data/####/22d1c602a4ce5b088a0a6ea28a92986021ac4af22062f9e....0.tmp
- /data/data/####/25c2e2fdb66a20a4ed60141202251e517b929b67f647310....0.tmp
- /data/data/####/278a29f56fc86995b0a3f9688c6befb9e18764f74fa1159....0.tmp
- /data/data/####/330b4fe7e961bc4038b1a82bac6931cbb91939f77e1e279....0.tmp
- /data/data/####/365fec2989d1986e66d2f340d6254b115bef736660f80f4....0.tmp
- /data/data/####/54cd3814b0385021c079d9b29d668060202597c288d14c4....0.tmp
- /data/data/####/54cd3814b0385021c079d9b29d668060202597c288d14c4...bce9.0
- /data/data/####/5a98f6b857bcda8b2f4867ddc5f2fd91.0.tmp
- /data/data/####/5a98f6b857bcda8b2f4867ddc5f2fd91.1.tmp
- /data/data/####/5d9fe0829491b2078424291d47cc2618b61471da75be8ac....0.tmp
- /data/data/####/643463052c1242ef8c9b0460bacd5a690f1be6ef9feec8e....0.tmp
- /data/data/####/7106db2b9fa599bd096cd4ab308b7ead6828b25cd031dbe....0.tmp
- /data/data/####/72eae566383f9f78d1f9e83e8a2a1b6a4720a1b0cc3dca4....0.tmp
- /data/data/####/735939cb5b9ab7f69ca26b4027e72e845d340b91c0e4279....0.tmp
- /data/data/####/77b84c82f5157ce1e2de2c0611a01902.0.tmp
- /data/data/####/77b84c82f5157ce1e2de2c0611a01902.1.tmp
- /data/data/####/8ma.zip
- /data/data/####/9cceec6c832dd0260f4105c7bc520b66280851b100627ba....0.tmp
- /data/data/####/9e7bb50043a917f163962a99f7385f300b57537819eb48c....0.tmp
- /data/data/####/9e7bb50043a917f163962a99f7385f300b57537819eb48c...a1ee.0
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/a8a0f19efe7248a61215e1fb7c1526a3bccd5ac64414a15....0.tmp
- /data/data/####/a97b9a058e0b8ef8c90201181065bd787b5a93cfe32d520....0.tmp
- /data/data/####/b5c8c22896816ce310f2dfa7d9c2122cc55ad1b733379c1....0.tmp
- /data/data/####/b67180de9a6077e616afa9b96502e42392ffd12fd8b425b....0.tmp
- /data/data/####/bbaf601edb144f2854033d76c97ec8a4b89443bc98d2ce8....0.tmp
- /data/data/####/be65737b6e743fb7ffbf6c3102a2e85f23350c5f5ae3b56....0.tmp
- /data/data/####/be65737b6e743fb7ffbf6c3102a2e85f23350c5f5ae3b56...1ff0.0
- /data/data/####/c2582e50403cac565fdb395388cfaec1a47e3d2e7553939....0.tmp
- /data/data/####/ca2b0db62dd3945e7132cd10932f69662391a3ca832134a....0.tmp
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.picsart.analytics.xml
- /data/data/####/com.picsart.diygu.deviceid.key.xml
- /data/data/####/com.picsart.diygu_preferences.xml
- /data/data/####/d10b6f1322a640fd2d67c18467dec9d1f0d9388c051401e....0.tmp
- /data/data/####/d74e9001269d3c522b53edca254020be.0.tmp
- /data/data/####/d74e9001269d3c522b53edca254020be.1.tmp
- /data/data/####/db4b5258b2d81130e4cb6d18acf7186aa45e91d4770447c....0.tmp
- /data/data/####/dd2dd9f674c556350b5d9ed03716f50a8b65af69a928dfe....0.tmp
- /data/data/####/dd5287102a725cd51010db106b93e4f39df452b06fcb530....0.tmp
- /data/data/####/e98fb25a923a406cdf7a50d4b6293a1a2b2731860da56b8....0.tmp
- /data/data/####/eda31fdc9e9294497892ade8e7005252f7d0302d6c4464c....0.tmp
- /data/data/####/edc579ee384db790d77879553d8aa094690fcf83b19e503....0.tmp
- /data/data/####/ef6d23db2ed9a2c0f777c0a3b7ce4c6137ce1da7c9718ff....0.tmp
- /data/data/####/eventBatcher
- /data/data/####/eventBatcher-journal
- /data/data/####/eventBatcher-shm (deleted)
- /data/data/####/eventBatcher-wal
- /data/data/####/fb404dd499437fe208bfd83a08857f9d38e4b437e59ed41....0.tmp
- /data/data/####/fb9d5e42750edb7f90696471aef64c5bd36663f836a929c....0.tmp
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu153956319.so
- /data/media/####/1.png
- /data/media/####/drafts_meta.json
- /data/media/####/i_texture_17.jpg
- /data/media/####/meta.json
- /data/media/####/pics-1509976967655.png
- /data/media/####/pics-1510065599647.png
- /data/media/####/pics-1510065599713.png
- /data/media/####/pics-1510065599761.png
- /data/media/####/pics-1510065599791.png
- /data/media/####/pics-1510065599826.png
- /data/media/####/pics-1510065599860.png
- /data/media/####/pics-1510065599897.png
- /data/media/####/pics-1510065599931.png
- /data/media/####/pics-1569421605962
- /data/media/####/pics-1569421605993
- /data/media/####/pics-1569421606033
- /data/media/####/pics-1569421606059
- /data/media/####/pics-1569421606093
- /data/media/####/pics-1569421606120
- /data/media/####/pics-1569421606168
- /data/media/####/pics-1569421606188
- /data/media/####/pics-1569421606515
- /data/media/####/pics-1569421638082
- /data/media/####/pics-1569421638094
- /data/media/####/pics-1569421638146
- /data/media/####/pics-1569421638161
- /data/media/####/pics-1569421638204
- /data/media/####/pics-1569421638236
- /data/media/####/pics-1569421638280
- /data/media/####/pics-1569421638303
- /data/media/####/pics-1569421638330
- /data/media/####/proj_config.json
- /data/media/####/project_1510233679862.gif
- /data/media/####/remote_stickers_meta.json
- /data/media/####/stickers_meta.json
- /data/media/####/thumb-1569421605978
- /data/media/####/thumb-1569421606027
- /data/media/####/thumb-1569421606051
- /data/media/####/thumb-1569421606085
- /data/media/####/thumb-1569421606109
- /data/media/####/thumb-1569421606146
- /data/media/####/thumb-1569421606180
- /data/media/####/thumb-1569421606217
- /data/media/####/thumb-1569421606541
- /data/media/####/thumb-1569421638087
- /data/media/####/thumb-1569421638120
- /data/media/####/thumb-1569421638158
- /data/media/####/thumb-1569421638177
- /data/media/####/thumb-1569421638219
- /data/media/####/thumb-1569421638250
- /data/media/####/thumb-1569421638293
- /data/media/####/thumb-1569421638314
- /data/media/####/thumb-1569421638340
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu153956319.so
Загружает динамические библиотеки:
- imageopcommon
- libjiagu153956319
Использует следующие алгоритмы для шифрования данных:
- AES
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
