Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.0) tcms-a####.wan####.ta####.com:80
- TCP(HTTP/1.0) tcms-a####.wan####.ta####.com:443
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) u1.tiyu####.com:80
- TCP(HTTP/1.1) td.m####.cn:80
- TCP(HTTP/1.1) i.tiyu####.com:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) tcms-op####.wan####.ta####.com:80
- UDP(NTP) 1.cn.p####.####.org:123
- TCP(TLS/1.0) jic.talking####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) i####.tiyu####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP i####.wan####.ta####.com:443
Запросы DNS:
- 1.cn.p####.####.org
- a####.u####.com
- apis-ho####.ta####.com
- hotp####.wan####.ta####.com
- i####.cn
- i####.tiyu####.com
- i####.wan####.ta####.com
- i.tiyu####.com
- jic.talking####.com
- log.u####.com
- s####.u####.com
- t####.talking####.net
- tcms-a####.wan####.ta####.com
- tcms-op####.wan####.ta####.com
- td.m####.cn
- u1.tiyu####.com
- w####.ta####.com
Запросы HTTP GET:
- i.tiyu####.com/cache/17e2e43193780f11c5115bcf3a943f8f?ran=####
- i.tiyu####.com/cache/46f09a4e3fdca2c40f14653a477cc791?ran=####
- i.tiyu####.com/cache/4f4be21c0ddc9356fe256b4afdcf96bb?ran=####
- i.tiyu####.com/cache/d150b0f6bc7dd4ca9db7cab341420b0f?ran=####
- i.tiyu####.com/list/eventGuessing?portalId=####&clientToken=####&t=####
- i.tiyu####.com/list/hallBroadcast?portalId=####&clientToken=####&t=####
- i.tiyu####.com/list/matchHot?portalId=####&clientToken=####&t=####
- i.tiyu####.com/list/miniGames?portalId=####&clientToken=####&t=####
- i.tiyu####.com/setting/base?portalId=####&clientToken=####&t=####
- tcms-a####.wan####.ta####.com:443/imlogingw/tcp60login?devid=####&ver=####
- tcms-op####.wan####.ta####.com/getapprule?appkey=####&appId=####
- u1.tiyu####.com/circle/follow/list?portalId=####&clientToken=####
- u1.tiyu####.com/client/client_last?portalId=####&clientToken=####&client...
- u1.tiyu####.com/favorite/favorite_list?portalId=####&clientToken=####
- u1.tiyu####.com/game/game_status_list?portalId=####&clientToken=####&lea...
- u1.tiyu####.com/section/content_list?portalId=####&start=####&id=####&li...
- u1.tiyu####.com/user/follow/friend_list?portalId=####&start=####&userId=...
Запросы HTTP POST:
- a####.u####.com/app_logs
- na61-####.wagbr####.ali####.####.com/api/user/getUser.json
- t####.talking####.net/g/d?crc=####
- td.m####.cn/api/q/a/3f565628a54ead6c51c0987c43b0fff91
- u1.tiyu####.com/user/login
- u1.tiyu####.com/user/login/log_save
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-572390866524917998
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/032617ec4a47d690d28d221ad24eb86a.0.tmp
- /data/data/####/032617ec4a47d690d28d221ad24eb86a.1.tmp
- /data/data/####/056c7876ae61455057e31e7b4328f4c41210a788fc16e00....0.tmp
- /data/data/####/104ae43d7fbe4ebf50fcdd97ece5a09c11716d194692dd5....0.tmp
- /data/data/####/1593067074061.log
- /data/data/####/18532774-963839579
- /data/data/####/185327741268313026
- /data/data/####/1872fb67eeec8cdc04d30c407e01e350f65fa7ca094fafb....0.tmp
- /data/data/####/1a7a9620e36c6ad635492b8482d1848983099ee67b55c72....0.tmp
- /data/data/####/1b92e9b414d1ea23c18f7e39c96fac373ff3c51299f38c1....0.tmp
- /data/data/####/1caa8735d8c5a11c93f31c38339b20b10-journal
- /data/data/####/24927cbc82006483541626d64f0bf19e.0.tmp
- /data/data/####/24927cbc82006483541626d64f0bf19e.1.tmp
- /data/data/####/311e7a66815fdf6f0739cc0fe580fd5e.0.tmp
- /data/data/####/311e7a66815fdf6f0739cc0fe580fd5e.1.tmp
- /data/data/####/3b153dd405faf54f8573df929899bfd33878d14f8b702d6....0.tmp
- /data/data/####/609b6d0eda6b69dd7645c2f142e64e30b4643f0b050fde7....0.tmp
- /data/data/####/62564b332c8947a4ad0f2732dd9f1c75270d5c5ac825da8....0.tmp
- /data/data/####/6305920f43a60b2c6037218ea1e727666606d032a3ce135....0.tmp
- /data/data/####/664186119083e5a31841b495459987561e4108969cfa10f....0.tmp
- /data/data/####/68f811923f4dc9e7764229543c7bb0649cce85fccccad42....0.tmp
- /data/data/####/6ffb2363fce2914dc74fa40ce1d7a400.0.tmp
- /data/data/####/6ffb2363fce2914dc74fa40ce1d7a400.1.tmp
- /data/data/####/76da969c4b87322a19c32ec700e816e36dfc6155c56982f....0.tmp
- /data/data/####/7a71dfbfe6189af43f289d3f595ce1149284bcb20b10b9a....0.tmp
- /data/data/####/7d91438891274ac47299d419c34b072e8c53e624c8a7f32....0.tmp
- /data/data/####/807fae858f4a667a4fca4c7a56a62cd6148ed12f480d6aa....0.tmp
- /data/data/####/8305bf7a6463827625bc5261b8721e6c8c19d926a71a7f4....0.tmp
- /data/data/####/970e823b805f5ce191a2952266cbad22.0.tmp
- /data/data/####/970e823b805f5ce191a2952266cbad22.1.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/TDCloudSettingsConfig914E77F121E39C797DE36FFF1A08D750.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime.xml (deleted)
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/_andfix_.xml
- /data/data/####/a38aaf3d3d483085a45b64ad3a75ff0daf2bf6ae05d265b....0.tmp
- /data/data/####/a8b838c6a8a15b92fa699da33e9218a8.0.tmp
- /data/data/####/a8b838c6a8a15b92fa699da33e9218a8.1.tmp
- /data/data/####/b39b64bab5e94a91df1d968ee86da726.0.tmp
- /data/data/####/b39b64bab5e94a91df1d968ee86da726.1.tmp
- /data/data/####/c060e777d33376733734fe39d158eb31266d9b9f2d9bb62....0.tmp
- /data/data/####/c8af8b0b5abf8bd1a8e7e63646e47984.0.tmp
- /data/data/####/c8af8b0b5abf8bd1a8e7e63646e47984.1.tmp
- /data/data/####/cb348322d344bf1162f0a6dd28b2f4f1.0.tmp
- /data/data/####/cb348322d344bf1162f0a6dd28b2f4f1.1.tmp
- /data/data/####/cb743233bbaf3648d47ba288de1f14771b9d8065c2aa22f....0.tmp
- /data/data/####/ccd046cc75c399d5cc94d25e94c30dcb5112de42c9cba4f....0.tmp
- /data/data/####/ce54f95591b3377b9a4bebf6710d43944563061101fc97d....0.tmp
- /data/data/####/channel_pre.xml
- /data/data/####/com.msports.gscohtyf.odex
- /data/data/####/com.msports.gscohtyf.zip
- /data/data/####/com.msports.gscohtyf_2187_09_37
- /data/data/####/com.msports.gscohtyf_TcmsService_2323_09_37
- /data/data/####/com.msports.gscohtyf_preferences.xml
- /data/data/####/d1b325639589d59dbdb02d3624a0c8c07cf99c5785fc357....0.tmp
- /data/data/####/d454c8b0612229b5f25687cea43072e9.0.tmp
- /data/data/####/d454c8b0612229b5f25687cea43072e9.1.tmp
- /data/data/####/d4aefe054ea9677b0ec4df442e9e2f6d5bbe073cd39c110....0.tmp
- /data/data/####/d52ce6f1aaf49e9fdd3bdb1f536c3e1bc3fc6120fae956f....0.tmp
- /data/data/####/d7391e86aa0e221385fbf3c95621a38f.0.tmp
- /data/data/####/d7391e86aa0e221385fbf3c95621a38f.1.tmp
- /data/data/####/d9361ce427e4c196cddbe96600c5911e29d66c979a2f40f....0.tmp
- /data/data/####/d9d080304d6b8bdf6b4694b842374c09.0.tmp
- /data/data/####/d9d080304d6b8bdf6b4694b842374c09.1.tmp
- /data/data/####/dab5d1ec6d98d0c784b69e32d0ff212ce9c63f4463c939e....0.tmp
- /data/data/####/db_public-journal
- /data/data/####/e42be455260babcf8616dbfdea2258728c3294069e8cd55....0.tmp
- /data/data/####/eb197bb85e30a69baa98bdd43bff37eb2df1ff72ed0dbe2....0.tmp
- /data/data/####/f5d292bfc1c91f6dfdc5d4130c82f7f9.0.tmp
- /data/data/####/f5d292bfc1c91f6dfdc5d4130c82f7f9.1.tmp
- /data/data/####/ff7d9b90ecf2e987d5fa9d3b947039cca921834f72f7578....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.msports.gscohtyf.xml
- /data/data/####/mpush_app.db-journal
- /data/data/####/mpush_gateway_preferences_file
- /data/data/####/mpush_version_preferences_file
- /data/data/####/multidex.version.xml
- /data/data/####/tcms_istied.xml
- /data/data/####/tcms_setting_sp.xml
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/tdlock.txt
- /data/data/####/tiyufeng.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_socialize.xml.bak
- /data/data/####/ywAccount.xml
- /data/data/####/ywPrefsTools.xml
- /data/media/####/.tcookieid
- /data/media/####/2_20200625_r
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
- getprop ro.product.cpu.abi
- sh
Загружает динамические библиотеки:
- inet.2.0
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- RSA-NONE-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
