Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) lcs.n####.jp:80
- TCP(HTTP/1.1) api-ca####.line-####.com:80
- TCP(HTTP/1.1) cc.n####.jp:80
- TCP(HTTP/1.1) www.s####.net:80
- TCP(SSL/3.0) 1####.en####.mobilea####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) 1####.en####.mobilea####.com:443
- TCP nelo2####.nhn####.jp:10006
Запросы DNS:
- 1####.en####.mobilea####.com
- api-ca####.line-####.com
- cc.n####.jp
- g####.face####.com
- lcs.n####.jp
- nelo2####.nhn####.jp
- ssl.google-####.com
- www.googlet####.com
- www.s####.net
Запросы HTTP GET:
- api-ca####.line-####.com/campaign/overview?locale=####&occ=####&displayW...
- api-ca####.line-####.com/frame/v4/category?locale=####&occ=####&displayW...
- api-ca####.line-####.com/frame/v4/store/shop?locale=####&occ=####&displa...
- api-ca####.line-####.com/store/overview?locale=####&occ=####&displayWidt...
- api-ca####.line-####.com/v2/stamp/category?locale=####&occ=####&displayW...
- api-ca####.line-####.com/v2/stamp/store/shop?locale=####&occ=####&displa...
- cc.n####.jp/cc?nsc=####&a=####&m=####&u=####
- cc.n####.jp/cc?nsc=####&a=####&m=####&u=####&i=####
- lcs.n####.jp/m?u=####&E####
Запросы HTTP POST:
- api-ca####.line-####.com/shop/availableProduct
- api-ca####.line-####.com/shop/restoreReserve
- www.s####.net/Mini/niouy.action?key=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1741400436.json.temp
- /data/data/####/-29017644.json.temp
- /data/data/####/-348728066.json.temp
- /data/data/####/-409516535.json.temp
- /data/data/####/.jg.ic
- /data/data/####/1158483670.json.temp
- /data/data/####/2048405328.json.temp
- /data/data/####/AppEventsLogger.persistedsessioninfo
- /data/data/####/GALLERY_INFO.xml
- /data/data/####/SNOMigration2.xml
- /data/data/####/_commons_core_prefs.xml
- /data/data/####/appInfo.xml
- /data/data/####/appLocale.xml
- /data/data/####/basicSettings.xml
- /data/data/####/billingPref.xml
- /data/data/####/cameraEtag.xml
- /data/data/####/cameraIdHolder.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.jdffovc.linvfgd.apk
- /data/data/####/com.mobileapptracking.xml
- /data/data/####/gaClientId
- /data/data/####/galleryScrollPosition.xml
- /data/data/####/google.tag.manager.pref.xml
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/google_tagmanager.db
- /data/data/####/google_tagmanager.db-journal
- /data/data/####/launchlog.xml
- /data/data/####/libjiagu.so
- /data/data/####/line_camera_android_REAL_12.0.2.nelocrash
- /data/data/####/line_camera_android_REAL_12.0.2.nelocrash.tmp
- /data/data/####/line_notice_pref.xml
- /data/data/####/mat_queue.xml
- /data/data/####/multidex.version.xml
- /data/data/####/naver_app_nstat
- /data/data/####/naver_app_nstat-journal
- /data/data/####/pickcamera.db
- /data/data/####/pickcamera.db-journal
- /data/data/####/resource_GTM-MNV4PD
- /data/data/####/webview.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
