Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.353.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 04img####.eas####.com.####.com:80
- TCP(HTTP/1.1) 08img####.eas####.com.####.com:80
- TCP(HTTP/1.1) n####.yi####.com.####.com:80
- TCP(HTTP/1.1) newswif####.dfshu####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) s.a.a####.com:80
Запросы DNS:
- 00img####.eas####.com
- 01img####.eas####.com
- 02img####.eas####.com
- 04img####.eas####.com
- 05img####.eas####.com
- 06img####.eas####.com
- 07img####.eas####.com
- 08img####.eas####.com
- 09img####.eas####.com
- api####.a####.com
- api.mokuc####.com
- n####.yi####.com
- newswif####.dfshu####.com
- res####.a####.com
- s.a.a####.com
- www.mokuc####.com
Запросы HTTP GET:
- 04img####.eas####.com.####.com/mobile/20200516/20200516204629_c170f80e41...
- 04img####.eas####.com.####.com/mobile/20200516/20200516204633_d634fc6cd4...
- 04img####.eas####.com.####.com/mobile/20200516/20200516205420_85870ddda9...
- 04img####.eas####.com.####.com/mobile/20200516/20200516211114_f184e756c7...
- 04img####.eas####.com.####.com/mobile/20200516/20200516212544_2d5308bb59...
- 04img####.eas####.com.####.com/mobile/20200516/20200516213917_e0963b076c...
- 04img####.eas####.com.####.com/mobile/20200516/2020051621_4ef96cc9896541...
- 04img####.eas####.com.####.com/mobile/20200516/20200516220918_94fcbd356e...
- 08img####.eas####.com.####.com/mobile/20200516/20200516203903_8a0eecb3df...
- 08img####.eas####.com.####.com/mobile/20200516/20200516204258_cd9bdbafea...
- 08img####.eas####.com.####.com/mobile/20200516/20200516204432_4a79a3c644...
- 08img####.eas####.com.####.com/mobile/20200516/20200516204456_b52c4a0b86...
- 08img####.eas####.com.####.com/mobile/20200516/20200516204604_0e914f088d...
- 08img####.eas####.com.####.com/mobile/20200516/20200516204716_138d5f3abd...
- 08img####.eas####.com.####.com/mobile/20200516/20200516205200_eedcdbc738...
- 08img####.eas####.com.####.com/mobile/20200516/20200516205527_b79c8b450e...
- 08img####.eas####.com.####.com/mobile/20200516/20200516205657_72e42390d5...
- 08img####.eas####.com.####.com/mobile/20200516/20200516205828_77f618f1b3...
- 08img####.eas####.com.####.com/mobile/20200516/2020051620_5c769b03947544...
- 08img####.eas####.com.####.com/mobile/20200516/2020051620_903a65d0370945...
- 08img####.eas####.com.####.com/mobile/20200516/20200516210735_a480848cdf...
- 08img####.eas####.com.####.com/mobile/20200516/20200516210833_d6bbeedb50...
- 08img####.eas####.com.####.com/mobile/20200516/20200516211121_73795aac5e...
- 08img####.eas####.com.####.com/mobile/20200516/20200516212403_614fc87d1a...
- 08img####.eas####.com.####.com/mobile/20200516/20200516212511_a7216a4f9e...
- 08img####.eas####.com.####.com/mobile/20200516/20200516212544_2d5308bb59...
- 08img####.eas####.com.####.com/mobile/20200516/20200516213757_7e077ad010...
- 08img####.eas####.com.####.com/mobile/20200516/20200516213917_e0963b076c...
- 08img####.eas####.com.####.com/mobile/20200516/20200516214155_e0dc8c1e1b...
- 08img####.eas####.com.####.com/mobile/20200516/20200516214625_099450eb81...
- 08img####.eas####.com.####.com/mobile/20200516/20200516215346_cd164d34a4...
- 08img####.eas####.com.####.com/mobile/20200516/2020051621_4ef96cc9896541...
- 08img####.eas####.com.####.com/mobile/20200516/2020051621_6c548e07fdc542...
- 08img####.eas####.com.####.com/mobile/20200516/2020051621_92d5ef04fb4f4f...
- 08img####.eas####.com.####.com/mobile/20200516/2020051621_ac5d2998b9454b...
- n####.yi####.com.####.com/api/34_json.php?qid=####&endkey=####&type=####...
- newswif####.dfshu####.com/newspool/topnews?qid=####
Запросы HTTP POST:
- res####.a####.com/v3/config/resource?
- res####.a####.com/v3/log/init
- s.a.a####.com/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.adsmobile.mrzd.db
- /data/data/####/com.adsmobile.mrzd.db-journal
- /data/data/####/dcSharedPreferences.dat.xml
- /data/data/####/last_known_location.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.adsmobile.mrzd203
- /data/data/####/multidex.version.xml
- /data/data/####/sp_process.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/webview.db-journal
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/1epi4ffqkv2ghl4u7c67u4c66.0.tmp
- /data/media/####/1menj73fwo7ps9zkh47zlfsde.0.tmp
- /data/media/####/1suthwa7scqhvdrdb9dwuuzvt.0.tmp
- /data/media/####/1yweghwikibve5m6k0e5tpisk.0.tmp
- /data/media/####/24xlfsikn9fqrurfl8qlmio3a.0.tmp
- /data/media/####/2n07t23dhygtp3x71df5ldkr9.0.tmp
- /data/media/####/2okokwmg51rfvwhc0qdl6q1a5.0.tmp
- /data/media/####/2op7xioq815umphfjcfzpffyr.0.tmp
- /data/media/####/37avcaf2htd91qpsluhm8ptd8.0.tmp
- /data/media/####/3euxokfpzqdud2866mu2e0lco.0.tmp
- /data/media/####/47aw2413p8jkavdb41d5x79if.0.tmp
- /data/media/####/4qr8ix2gvivfxe5yzqc9rxcr9.0.tmp
- /data/media/####/52ufbsuw7sezdbvv2ydseh2td.0.tmp
- /data/media/####/52wift0sm5r17gxb3o25qcrrx.0.tmp
- /data/media/####/5kxn4js5alk4wxj0pgpfsdxiu.0.tmp
- /data/media/####/5qmop0nehf1cvlmti62aezjus.0.tmp
- /data/media/####/5wpf1ibfqbm8pmd9da4oq4rp8.0.tmp
- /data/media/####/60k6wz7mhrkuxuqw077fn04hr.0.tmp
- /data/media/####/67p4axheqjmzvflp0uer50oxp.0.tmp
- /data/media/####/6l5ksfx4hqy6hqy0lhqakyz0d.0.tmp
- /data/media/####/6qqosxslksf5owhxnylnlmwg6.0.tmp
- /data/media/####/76ohq8utgf6maxeh5nyd8nz51.0.tmp
- /data/media/####/79gm3wl9uobm2g2imngi5252j.0.tmp
- /data/media/####/7d40z5etgrk3to0fft03og4ul.0.tmp
- /data/media/####/7fxuqjh5rv45guxfb6ma95ilw.0.tmp
- /data/media/####/7h49b9zkai8uyfj3cja4t0w2o.0.tmp
- /data/media/####/cja53vt5stvtu37fkh2pelyp.0.tmp
- /data/media/####/i7nuvnd2w9jcfk7wny4h9rop.0.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/log_mrzd_2020-05-16.txt
- /data/media/####/pyfzsvkxeptn7s02cma7on9p.0.tmp
- /data/media/####/qku55i5v5uosza3iyhz96as5.0.tmp
- /data/media/####/r9w7x4azxmw8x0u06a38urnw.0.tmp
- /data/media/####/xz8iq0gga1do7ghw16efnsdb.0.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-ECB-ZeroBytePadding
- DESede
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
