Техническая информация
Вредоносные функции:
Перекрывает экран собственным окном, блокируя доступ к GUI.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) goa####.goforan####.com:80
- TCP(HTTP/1.1) 4####.88.31.161:80
- TCP(HTTP/1.1) api.thekitt####.com:80
- TCP(HTTP/1.1) net.ray####.com:80
- TCP(HTTP/1.1) gos####.3g.cn:80
- TCP(HTTP/1.1) 6####.28.57.174:80
- TCP(TLS/1.0) ssl.google-####.com:443
Запросы DNS:
- api.thekitt####.com
- goa####.goforan####.com
- gos####.3g.cn
- mt####.go####.com
- net.ray####.com
- ssl.google-####.com
Запросы HTTP GET:
- goa####.goforan####.com/soft/subject43/wp_subject376.jpg_720x.webp
- goa####.goforan####.com/soft/subject45/wp_subject352.jpg_720x.webp
- goa####.goforan####.com/soft/subject46/wp_subject338.jpg_720x.webp
- goa####.goforan####.com/soft/subject47/wp_subject98.jpg_720x.webp
- goa####.goforan####.com/soft/subject49/wp_subject372.jpg_720x.webp
- goa####.goforan####.com/soft/wp/wp356180.jpg_480x.webp
- goa####.goforan####.com/soft/wp/wp356182.jpg_480x.webp
- goa####.goforan####.com/soft/wp/wp356184.jpg_480x.webp
- goa####.goforan####.com/soft/wp/wp356186.jpg_480x.webp
- goa####.goforan####.com/soft/wp0/wp386026.jpg_480x.webp
- goa####.goforan####.com/soft/wp2/wp388988.jpg_480x.webp
- goa####.goforan####.com/soft/wp3/wp384528.jpg_480x.webp
- goa####.goforan####.com/soft/wp4/wp386030.jpg_480x.webp
- goa####.goforan####.com/soft/wp4/wp388980.jpg_480x.webp
- goa####.goforan####.com/soft/wp5/wp386024.jpg_480x.webp
- goa####.goforan####.com/soft/wp5/wp389008.jpg_480x.webp
- goa####.goforan####.com/soft/wp7/wp384544.jpg_480x.webp
- goa####.goforan####.com/soft/wp7/wp384546.jpg_480x.webp
- goa####.goforan####.com/soft/wp7/wp389006.jpg_480x.webp
- goa####.goforan####.com/soft/wp9/wp384526.jpg_480x.webp
- goa####.goforan####.com/soft/wp9/wp386028.jpg_480x.webp
- net.ray####.com/openapi/ad/v2?platform=####&os_version=####&package_name...
Запросы HTTP POST:
- 6####.28.57.174/gostore/webcontent/function/GetjarPrice.jsp
- api.thekitt####.com/
- gos####.3g.cn/gostore/webcontent/function/GetjarPrice.jsp
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-981850278-1572074403
- /data/data/####/ad_sdk.db-journal
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/commerce_ad_phead_share.xml
- /data/data/####/ctrl_sp_com.jiubang.darlingclock.theme.broncos.xml
- /data/data/####/gaClientId
- /data/data/####/go_static_idcom.jiubang.darlingclock.theme.broncos.xml
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/gostatistics_sdk.db-journal
- /data/data/####/ini_params.xml
- /data/data/####/journal.tmp
- /data/data/####/mobvista.adn.sdk.m.db-journal
- /data/data/####/theme.xml
- /data/data/####/webview.db-journal
- /data/media/####/deviceId.txt
- /data/media/####/goid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/app_daemon/godaemon -p <Package> -s com.jiubang.business.MainProcessService -t 60
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Проверяет наличие популярных антивирусных приложений.
