Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) top600####.img-cn-####.aliy####.com:80
- TCP(HTTP/1.1) www.top####.vip:80
- TCP(HTTP/1.1) a####.a####.m.####.com:80
- TCP(HTTP/1.1) 1####.92.15.15:443
- TCP(HTTP/1.1) nav.cn.ron####.com:80
- TCP(HTTP/1.1) 2####.119.217.103:443
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) 1####.235.46.245:443
- TCP(TLS/1.0) 1####.235.46.245:443
- TCP(TLS/1.0) 2####.119.217.103:443
- TCP(TLS/1.0) a####.a####.m.####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) 1####.92.15.15:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP(TLS/1.2) 1####.250.150.102:443
- TCP(TLS/1.2) 1####.194.222.95:443
- TCP zb-cent####.m.ta####.com:443
- UDP www.google####.com:443
- UDP 1####.194.222.95:443
- TCP zb-cent####.m.ta####.com:80
Запросы DNS:
- a####.m.ta####.com
- a####.u####.com
- a.appj####.com
- android####.go####.com
- api.map.b####.com
- nav.cn.ron####.com
- s####.cn.ron####.com
- top600####.img-cn-####.aliy####.com
- umen####.m.ta####.com
- umengj####.m.ta####.com
- wap.top####.com
- www.google####.com
- www.s####.net
Запросы HTTP GET:
- top600####.img-cn-####.aliy####.com/data/cp/201812/1593236467/6790a778cf...
- top600####.img-cn-####.aliy####.com/data/cp/201901/100780/1bf48fb201d05a...
- top600####.img-cn-####.aliy####.com/data/cp/201901/100780/6c5a3c37e16278...
- top600####.img-cn-####.aliy####.com/data/cp/201901/118404/e7560ce57683d0...
- top600####.img-cn-####.aliy####.com/data/cp/201901/1593231417/b8b9cf8792...
- top600####.img-cn-####.aliy####.com/data/cp/201901/1593251280/1337a6d34b...
- top600####.img-cn-####.aliy####.com/data/cp/202011/37031/69d274f8f442e6c...
- top600####.img-cn-####.aliy####.com/data/cp/202101/118404/41c65b89739e4f...
- top600####.img-cn-####.aliy####.com/data/cp/202101/118404/b8a6e84600de98...
- top600####.img-cn-####.aliy####.com/data/cp/202101/146844/a7a5f5d130ae24...
- top600####.img-cn-####.aliy####.com/data/cp/202101/155987/904cd68dc5429a...
- top600####.img-cn-####.aliy####.com/data/cp/202102/31986/456768c54d7cedb...
- top600####.img-cn-####.aliy####.com/data/game_cp/201812/1593251114/5236b...
- www.top####.vip//data/uploads/weixin/20170424/328211311493002236.jpeg
- www.top####.vip//data/uploads/weixin/20170619/29516701497850088.jpeg
- www.top####.vip//data/weixin/201706/11e9356452b2ac3034d14cea3805215a.jpg
- www.top####.vip//data/weixin/201707/754dc7a7a451195bf721883f02e72716.jpg
- www.top####.vip/data/slide/201704/1.png
- www.top####.vip/data/slide/201704/2.png
- www.top####.vip/data/slide/201704/3.png
- www.top####.vip/data/slide/201704/4.png
- www.top####.vip/data/slide/201704/5.png
- www.top####.vip/data/slide/201711/60d6d4041df1feb514f727c6f7f9b9a4.jpg
- www.top####.vip/data/slide/201803/876933b8a8c8e7c1695536a2b6b5846f.jpg
- www.top####.vip/data/slide/201904/3d3c65441d756d9360a28812f7ec6d8f.jpg
Запросы HTTP POST:
- 1####.235.46.245:443/sdkcs/verify
- 1####.92.15.15:443/active.json
- 2####.119.217.103:443/amdc/mobileDispatch?platform=####&v=####&deviceId=...
- a####.a####.m.####.com/amdc/mobileDispatch?platform=####&v=####&deviceId...
- a####.u####.com.####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- nav.cn.ron####.com/navipush.json
- www.top####.vip/MobileAppv1/advert
- www.top####.vip/MobileAppv1/find_list
- www.top####.vip/MobileAppv1/index_bottom
- www.top####.vip/MobileAppv1/index_top
- www.top####.vip/MobileAppv1/is_login
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml.bak
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/Banner.xml
- /data/data/####/Banner.xml.bak
- /data/data/####/COUNTLY_STORE.xml
- /data/data/####/ContextData.xml
- /data/data/####/Cookies-journal
- /data/data/####/Cookies_Prefs.xml
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/RongPush.xml
- /data/data/####/RongPush.xml.bak
- /data/data/####/SplashActivity.xml
- /data/data/####/Statistics.xml
- /data/data/####/Statistics.xml.bak
- /data/data/####/Tab1Fragment.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/access_control.control.mx
- /data/data/####/access_control.write.mx
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/authStatus_com.top6000.jr.www.top6000.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes2.dex
- /data/data/####/classes3.dex
- /data/data/####/default.realm
- /data/data/####/default.realm.lock
- /data/data/####/disk_entries_list_image_cache_333175856.xml
- /data/data/####/disk_entries_list_image_cache_333175856.xml.bak
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/mac.xml
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/proc_auxv
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/1yp2A_HqhAaAZQcaBY6ZkKeSng0.cnt
- /data/media/####/2hsasc01Fu00PXdkz-ljoHUha3Q.cnt
- /data/media/####/A0Ijq9egiXffuZGxcbFOYHPA8Zc.776653408.tmp
- /data/media/####/A0Ijq9egiXffuZGxcbFOYHPA8Zc.cnt
- /data/media/####/AIFmNWkFJDtFilfBzlv7DxAQsMA.cnt
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/Hss134xXzKaXyQVjkM6bNpBKDDI.cnt
- /data/media/####/ImgPWs6jEq3RUfOH3A6UrbgJz4s.cnt
- /data/media/####/Jn20zwO4fOpjn78JRdYkNXIuEBo.cnt
- /data/media/####/KAKTineOJtwg2NYArO7cXRuPCz0.983130183.tmp
- /data/media/####/KAKTineOJtwg2NYArO7cXRuPCz0.cnt
- /data/media/####/KHr_uBJhn4y00C4Rb-5kqoj25MU.873536849.tmp
- /data/media/####/LiAIJGNmjtE45BH6xKDfMHDuRYM.cnt
- /data/media/####/NTLpx8obiPYmUsgfuVN3ZmL56A8.cnt
- /data/media/####/PLgpOFakHZJNjp9sjTeJuvK-VWw.cnt
- /data/media/####/RongLog.log
- /data/media/####/SIHUtgRXEPU1htiOLKq3TEIVtxA.687139314.tmp
- /data/media/####/WytWzmjybAqCnKTRmlmqfMq90TU.993975775.tmp
- /data/media/####/ZeXvGRkq671oaY2G-TY5CX_Rj5o.cnt
- /data/media/####/af992c8e79644a88abb977bcd4662ee5
- /data/media/####/b7a746573fd049d79024b5aed9243ac9
- /data/media/####/bgvVik232ywx83bXkq2CC5dkCMs.923667075.tmp
- /data/media/####/inapp_20210808.log
- /data/media/####/kzlqnqeSXu5I4tt6msgOIGVWAKk.1109813889.tmp
- /data/media/####/lXoEPHZkjGCAeI1J-MNCNz8grFk.cnt
- /data/media/####/mU3j3jFBXE9cynC-UO6Tq9ODir4.cnt
- /data/media/####/r2rqyZddUaNSditL4sGenLnPXno.1630074453.tmp
- /data/media/####/tyfc9r0rV63Ho6HWoLFyVXEsd0M.856100466.tmp
- /data/media/####/tyfc9r0rV63Ho6HWoLFyVXEsd0M.cnt
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
