Техническая информация
Вредоносные функции:
Детект на основе машинного обучения.
Содержит типичный для локеров код.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) www.i####.cn:80
- TCP(TLS/1.0) i####.y####.com:443
- TCP(TLS/1.0) 1####.177.14.95:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) jspass####.ssl.q####.com:443
- TCP(TLS/1.0) v####.c####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) m.manhu####.com:443
- TCP(TLS/1.2) 1####.177.14.95:443
- TCP(TLS/1.2) 64.2####.161.94:443
- TCP(TLS/1.2) 2####.58.214.14:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
Запросы DNS:
- and####.cli####.go####.com
- and####.google####.com
- android####.go####.com
- c.c####.com
- cms.samanl####.com
- i####.y####.com
- jspass####.ssl.q####.com
- m####.go####.com
- m.manhu####.com
- p####.google####.com
- reso####.m####.com
- v####.c####.com
- www.i####.cn
- www.manhu####.com
- z13.c####.com
Запросы HTTP GET:
- www.i####.cn/iyuji/s/amxRUU5TbytQVk9XNy80TlhVaW5pdz09/1616432135944994
- www.i####.cn/iyuji/s/amxRUU5TbytQVk9XNy80TlhVaW5pdz09/1616959004932533
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/06c807131c551400_0
- /data/data/####/14c7abbbf376efb6_0
- /data/data/####/169592121c15df36_0
- /data/data/####/1f6afd3080e711e6_0
- /data/data/####/21c9f5a69358ad2d_0
- /data/data/####/27b31aa8141a7950_0
- /data/data/####/2a22e26ddd81bb89_0
- /data/data/####/2ef8879d08f98c3d_0
- /data/data/####/2f46e868970e154a_0
- /data/data/####/31fc1504f6e2ed23_0
- /data/data/####/31fc1504f6e2ed23_1
- /data/data/####/35e75b3093c33cb9_0
- /data/data/####/397cf2004e7e3bb9_0
- /data/data/####/3e3bf9cf98032926_0
- /data/data/####/432ebd3e0038a3f7_0
- /data/data/####/43ca9564332197e5_0
- /data/data/####/458b66196006e525_0
- /data/data/####/471f12a837456bdf_0
- /data/data/####/471f12a837456bdf_1
- /data/data/####/4d50420af039fcac_0
- /data/data/####/54fa31f32fbc72bd_0
- /data/data/####/57e2d1c86a82523e_0
- /data/data/####/5bb401a6deb33ff5_0
- /data/data/####/5d975d0be5b9d69a_0
- /data/data/####/5e5c90895eb37464_0
- /data/data/####/625815972326b952_0
- /data/data/####/6c41d8f2247e17d8_0
- /data/data/####/72e6e8cf3de42db4_0
- /data/data/####/75909522db0662eb_0
- /data/data/####/79c6f661865a796a_0
- /data/data/####/79c6f661865a796a_0 (deleted)
- /data/data/####/7cd87ff46dd05484_0
- /data/data/####/7cd87ff46dd05484_1
- /data/data/####/807d64188d88b438_0
- /data/data/####/84dc24967341c7a9_0
- /data/data/####/84dc24967341c7a9_0 (deleted)
- /data/data/####/84dc24967341c7a9_1
- /data/data/####/8d5348d4d38a6658_0
- /data/data/####/925b087d883956c4_0
- /data/data/####/952bbf250ced1f9d_0
- /data/data/####/9f63c13e6023e829_0
- /data/data/####/9f63c13e6023e829_1
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ad9921592f19ff03_0
- /data/data/####/adbc70512e155db8_0
- /data/data/####/b006a9743ab84003_0
- /data/data/####/b0203519161aed42_0
- /data/data/####/ba897b3b878d934a_0
- /data/data/####/c1471a2cf2965d7d_0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.oat
- /data/data/####/com.manhuataipojie_preferences.xml
- /data/data/####/d470c7a65e132578_0
- /data/data/####/d6328a02261eac46_0
- /data/data/####/e0ba29ec85c68a33_0
- /data/data/####/e3aa1fc0cab635e0_0
- /data/data/####/ea503d1f64326eb7_0
- /data/data/####/ea503d1f64326eb7_0 (deleted)
- /data/data/####/f252c8bbd98216ab_0
- /data/data/####/f8b62563cacb5544_0
- /data/data/####/index
- /data/data/####/jm
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
