Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
- Android.DownLoader.343.origin
- Android.DownLoader.723
- Android.DownLoader.725
- Android.Packed.4861
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) j####.xiaom####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
Запросы DNS:
- a####.u####.com
- a.wangdai####.com
- ic.ie.0####.com
- j####.xiaom####.cn
- s1.33####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- j####.xiaom####.cn/app/init
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/47598BE522163B80.xml
- /data/data/####/5074A0BCE41A3BD9.xml
- /data/data/####/976DE96B1DD014BD.xml
- /data/data/####/AED-journal
- /data/data/####/B58050C27928141889B2F8696582AB6F.xml
- /data/data/####/C14DAA89B184F741784CCB94F6F286E0.xml
- /data/data/####/C43A74E69D6FABB1-journal
- /data/data/####/FBC0EE2932B1F281.xml
- /data/data/####/FEDD
- /data/data/####/FEDD-journal
- /data/data/####/__pasys_remote_banner.tmp.jar
- /data/data/####/_mgmineguidepro_r.xml
- /data/data/####/com.hfuedle.mnvhe.jar
- /data/data/####/downmodel.db-journal
- /data/data/####/dxt_yx_sdk-journal
- /data/data/####/keySP.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_ru.antonkretov.mi...ro.xml
- /data/data/####/myapp.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/zwaikj.t
- /data/media/####/052DEF3386D44D7FD78DA2F9BC3AE38C
- /data/media/####/0812FBBF0307616F6B1E14BE04FB557E
- /data/media/####/1B1FC16FBF76E1888F59B7FD5D35056C
- /data/media/####/282B6F1ADBBB3233A580C0443211D5FE
- /data/media/####/3E94DF29A978314D3877C67ECC639E6250E6E8357E70F518
- /data/media/####/4A2C317D6406A657FA5DA29168B0EAFB8F59B7FD5D35056C
- /data/media/####/865237314639787933D5197FAD8856C1D78DA2F9BC3AE38C
- /data/media/####/86523731463978794A958FC77B0F13D3E8F0851CA006B1...054EFD
- /data/media/####/A0FD82A80C32C32836A61FDEE42E0D85220F2EDD07054EFD
- /data/media/####/A3DBCE1AB93A65C9567541B4592623628F59B7FD5D35056C
- /data/media/####/A3DBCE1AB93A65C9FB2CE097188A8470218ECAE22A5FAA94
- /data/media/####/A5EC297F2ECE4C1050E6E8357E70F518
- /data/media/####/AB793C17C98515AD
- /data/media/####/AE679457B3180499F85D157B35B89C94
- /data/media/####/B16C8797E3E68E5E
- /data/media/####/B80DD217DDD0A57FA580C0443211D5FE
- /data/media/####/BAAE92AB15F6DFEE220F2EDD07054EFD
- /data/media/####/C8716BA9D02741B451C55280E0E73582DEC37F9E6C816F28
- /data/media/####/CE2B1C6FEC17349E39F0503871CE43C6
- /data/media/####/D88DD8141B205D641EB3B86FC530660450E6E8357E70F518
- /data/media/####/D9F41485ABADDEA448072A94FC5A62FED78DA2F9BC3AE38C
- /data/media/####/DB54BC91A0213C19B8D18962C0600C6A
- /data/media/####/DB54BC91A0213C19DEC37F9E6C816F28
- /data/media/####/DD9744937CBC1EA3D78DA2F9BC3AE38C
- /data/media/####/E35E33D7F10AFD513DF88ECC7ADE1ADD220F2EDD07054EFD
- /data/media/####/F01A9812ECB6842A2B7105CF8EA4C161D78DA2F9BC3AE38C
- /data/media/####/F959FE6E647DFF60A580C0443211D5FE
- /data/media/####/FD92DE8D9E50384076A6EF6575F6BE39
- /data/media/####/XH.txt
- /data/media/####/__pasys_remote_banner.jar
- /data/media/####/jrhauipijypkzygep.zip
- /data/media/####/mvindpurqktxcowatefk.zip
- /data/media/####/ooa001.jar
- /data/media/####/ulgep
- /data/media/####/ulgep.zip
- /data/media/####/umgep
- /data/media/####/umgep.zip
- /data/media/####/uygep
- /data/media/####/uygep.zip
- /data/media/####/zwaikj
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/zwaikj -p <Package> -r am start --user 0 -n <Package>/ytdu.tx.wsfmgu -a daemon -h http://127.0.0.1:7123/report/allData -i 2185
- chmod 777 <Package Folder>/zwaikj
- sh <Package Folder>/zwaikj -p <Package> -r am start --user 0 -n <Package>/ytdu.tx.wsfmgu -a daemon -h http://127.0.0.1:7123/report/allData -i 2185
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
