Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Locker.1274.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) co####.5####.com:80
- TCP(HTTP/1.1) zb.xr####.cn:80
- TCP(HTTP/1.1) g.t####.cn:80
- TCP(TLS/1.0) 2####.58.214.14:443
- TCP(TLS/1.0) tieb####.b####.com.####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) cdn.boo####.com.####.com:443
- TCP(TLS/1.0) 2####.58.214.10:443
- TCP(TLS/1.2) 1####.217.19.195:443
- TCP(TLS/1.2) 2####.58.214.14:443
Запросы DNS:
- and####.google####.com
- cdn.boo####.com
- co####.5####.com
- g.t####.cn
- m####.go####.com
- p####.google####.com
- tieb####.b####.com
- zb.xr####.cn
Запросы HTTP GET:
- co####.5####.com/click.aspx?id=####&logo=####
- co####.5####.com/count1.gif
- co####.5####.com/sa.htm?id=####&refe=####&location=####&color=####&resol...
- g.t####.cn/mtb/lib-flexible/0.3.4/??flexibl####
- zb.xr####.cn/
- zb.xr####.cn/css/m.debug.css
- zb.xr####.cn/favicon.ico
- zb.xr####.cn/hots.php
- zb.xr####.cn/images/1/12.jpg
- zb.xr####.cn/images/1/15.jpg
- zb.xr####.cn/images/1/16e4bad0d.png
- zb.xr####.cn/images/1/17.jpg
- zb.xr####.cn/images/1/a4f827742.png
- zb.xr####.cn/images/1/a5c0f3dc0.png
- zb.xr####.cn/images/1/ddf08df44.png
- zb.xr####.cn/images/1/hot.png
- zb.xr####.cn/images/1/mine.png
- zb.xr####.cn/images/1/surevideo.png
- zb.xr####.cn/images/1/trueuser.png
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jgck
- /data/data/####/001eed2fee882f81_0
- /data/data/####/0d4800e480f3f81f_0
- /data/data/####/0f6f2eeb00b35e08_0
- /data/data/####/1153b4e19a986822_0
- /data/data/####/2115ee4b28c8f27b_0
- /data/data/####/212c7f289f6a033a_0
- /data/data/####/228a760589efff64_0
- /data/data/####/2a206fad76c5fc03_0
- /data/data/####/317800d298c22d85_0
- /data/data/####/34ffc7fe83628a07_0
- /data/data/####/37df224c60768f34_0
- /data/data/####/3cf86730756d0147_0
- /data/data/####/3cf86730756d0147_1
- /data/data/####/47a27fc362c0027c_0
- /data/data/####/47a27fc362c0027c_1
- /data/data/####/491400f6217c8e7f_0
- /data/data/####/4eaef2ec5a5098a7_0
- /data/data/####/52b618d6de0a4863_0
- /data/data/####/5b2ab70af0a2c153_0
- /data/data/####/5ea61eb0350db382_0
- /data/data/####/5ffbcec4346b4555_0
- /data/data/####/63c1126be2cd554f_0
- /data/data/####/6436645ffa4a34ad_0
- /data/data/####/6fb1d31049c31f99_0
- /data/data/####/77045c4e5e93cd6f_0
- /data/data/####/91724df1b2179b9d_0
- /data/data/####/9242a635f4da6523_0
- /data/data/####/9b283fee1c5feacc_0
- /data/data/####/9b283fee1c5feacc_1
- /data/data/####/9b283fee1c5feacc_1 (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a1be5e8d6f366b09_0
- /data/data/####/a603fbfc563ead4b_0
- /data/data/####/a7c70cccfeb1e986_0
- /data/data/####/a98ccb91ffef4e8a_0
- /data/data/####/afc05f3d2f5f7e94_0
- /data/data/####/b010239a54576f37_0
- /data/data/####/ba4fb8e1a4e54c90_0
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/dc7f8a77cb8ed0ec_0
- /data/data/####/e4428842da6ae6db_0
- /data/data/####/e488b42338fd58ba_0
- /data/data/####/e4b5879ddf575bee_0
- /data/data/####/f768c3549f17ae72_0
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/min.shequ_preferences.xml
- /data/data/####/proc_auxv
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
