Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) 64.2####.164.100:443
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) gv1.x####.com:443
Запросы DNS:
- gv1.x####.com
- i.t####.com
- l.ace####.com
- mt####.go####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1608218044005_2361
- /data/data/####/1608218044742_2361
- /data/data/####/1608218045439_2361
- /data/data/####/1608218045714_2361
- /data/data/####/1608218046128_2361
- /data/data/####/1608218046444_2361
- /data/data/####/1608218047270_2361
- /data/data/####/1608218047826_2361
- /data/data/####/1608218048314_2361
- /data/data/####/1608218048865_2361
- /data/data/####/1608218050527_2361
- /data/data/####/1608218051138_2361
- /data/data/####/1608218052562_2361
- /data/data/####/2fvmKtIDpMzKKQLYNHWnM8uoIqWveH9kTW3TwdPXcfs=.new
- /data/data/####/3f565628a54ead6c51c0987c43b0fff91;account_file.xml
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/BPn6oRGWuW4budHiL7--HMRpCsAI-llC.new
- /data/data/####/Bol5ZcTxuGFGzO9hQGLmFxqP0T0=.new
- /data/data/####/CQC9r_89I04rNKGYL6y3-EEOmoH_qfno6cJoTCi5LfY=.new
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_AwE0-uuERoEAww...ournal
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_AwE0-uuERoEAwwVT-dwHew==
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_HMszygbyqi5UEn...ournal
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_HMszygbyqi5UEnJnX5GzEg==
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_tf35zmaxtEagdT...NR9cs=
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_tf35zmaxtEagdT...ournal
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_w04R3PDrWOAMxr1T
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_w04R3PDrWOAMxr1T-journal
- /data/data/####/FWHfTCLPnBagagCmx3hZZUb8aziuT7P0_zBX4OKS_VBI=-journal
- /data/data/####/GL9mRocOhSi_qgTvnHzcYinRL1Wt57MC.new
- /data/data/####/IQL3aDDGvZdD9Di_M74LSjP1afimoao7.new
- /data/data/####/IztEBxHdvnW9BMjCexTAvzTCMvs=.new
- /data/data/####/Nytgif3tJKKGopPqAz2kBdc3sGSnsud2.new
- /data/data/####/PygTAxYQAo8fI7QJTGalWw==.new
- /data/data/####/Pythagoras_phase.xml
- /data/data/####/S49-172ypqRrfnES1aTIYyL6P2uj73vv7AJsFTQuVFY=.new
- /data/data/####/SFGTBtCxJmnMnfD38yxplBriB8U=.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_game.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime3.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime3.xml
- /data/data/####/XcXg4jTe2ytgYA9ntxKfSA==
- /data/data/####/Z5cm1MdRXUOf1zy2uCiY9iOkpt8=.new
- /data/data/####/_OtzEaN_y6bM2jAd-628TibLdnsgnqTZqN_r1Q==.new
- /data/data/####/_bIu9176fjdxaIRt6ib6P4QeaArvNu0i_7yMng==.new
- /data/data/####/aHDvCCvkwv837iO2
- /data/data/####/amnTGtSlMEmkCb1Jck5Wd9XMRbg=.new
- /data/data/####/cRIgqsPiDn-czdPlqM0WPidrFHc=.new
- /data/data/####/chongding.sougou_preferences.xml
- /data/data/####/epmOHNSoGidUNzyH.zip
- /data/data/####/hIPSEU0RYGVkfan8
- /data/data/####/j85g-MZM5tIeD0KWSlJVTv1tssznwnnQ.new
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/libjiagu.so
- /data/data/####/mPBE.xml
- /data/data/####/o3y6TgFSfzJbLjAoZe3R2w==
- /data/data/####/ovpl188d1pG5ioM1bKvY1AAFy14NA0U5.new
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/rdata_comegbzhssz.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sbveuw_f.zip
- /data/data/####/sh8VHz8Hpm3oaZB-eg0yUMYpCr9m9KwkcVlCXw==.new
- /data/data/####/tdid.xml
- /data/data/####/u1j36F1GH_x3MadAGEquL-CEg56gBTyS.new
- /data/data/####/wldrVkdbCeqNgXzMtPZWfw==.new
- /data/data/####/xG9fdmUCvmmC06HsFHDEH5CoORzlXjl65zSAgRT1FI4=.new
- /data/data/####/yJb5ZIApB34YQ42TMS1ghx2Q-5GyoZQ2.new
- /data/data/####/yamaTVPBnLAbgKlaOkCUc6uROSTN8i9F.new
- /data/data/####/yujEdkqWwA60gemuKpu4zw==.new
- /data/data/####/zZ2QxKzJMC8Fww2U4Kn3YApVTPc=
- /data/media/####/.tcookieid
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9697369/aHDvCCvkwv837iO2 -p <Package> -c com.egbz.hssz.uwbbug.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
- sh <Package Folder>/code-9697369/aHDvCCvkwv837iO2 -p <Package> -c com.egbz.hssz.uwbbug.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- MyGame
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
