Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.501.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 2####.185.216.42:443
- TCP(HTTP/1.1) config-####.traffic####.net:80
- TCP(HTTP/1.1) i.w.in####.com:80
- TCP(HTTP/1.1) 64.2####.164.97:443
- TCP(HTTP/1.1) 87.2####.116.11:443
- TCP(HTTP/1.1) 6####.com:80
- TCP(HTTP/1.1) 2####.197.3.85:443
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) 34.1####.157.36:443
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) www.tinyp####.net:80
- TCP(TLS/1.0) 34.1####.157.36:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) l####.chartb####.com:443
- TCP(TLS/1.0) 64.2####.164.97:443
- TCP(TLS/1.0) 87.2####.116.11:443
- TCP(TLS/1.0) 2####.185.216.42:443
- TCP(TLS/1.0) 2####.197.3.85:443
Запросы DNS:
- 6####.com
- a####.u####.com
- a.appj####.com
- a.sm####.cn
- a2.chartb####.com
- c####.360.cn
- co####.in####.com
- d####.fl####.com
- diguoLo####.ap-nort####.elb.####.com
- googl####.g.doublec####.net
- i.l.inmob####.net
- i.w.in####.com
- l####.chartb####.com
- ssl.google-####.com
- www.tinyp####.net
Запросы HTTP GET:
- 2####.185.216.42:443/sdk/sdk/500/android/mraid.js?tz=####&u-appdnm=####&...
- 2####.197.3.85:443/creatives/55419c5ac909a62c0ff713d0/ae58da7bf6c8db24ed...
- 2####.197.3.85:443/static-assets/interstitials-v2/close-buttons/30x30.png
- 2####.197.3.85:443/static-assets/interstitials-v2/frames/3-4/768x1024.png
- 6####.com/GameManage3/appRewardConf.shtml?appId=####&appVersion=####&mac...
- 64.2####.164.97:443/collect?ul=####&ht=####&sr=####&a=####&sc=####&aid=#...
- www.tinyp####.net/GameManage/mobile.shtml?appId=####&appVersion=####&dev...
Запросы HTTP POST:
- 34.1####.157.36:443/api/config
- 34.1####.157.36:443/interstitial/get
- 34.1####.157.36:443/more/get
- 87.2####.116.11:443/aap.do
- a####.u####.com.####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- config-####.traffic####.net/config-server/v1/config/secure.cfg
- i.w.in####.com/showad.asm
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_2S8FZXJR...Z3_226
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.jgads.xml
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/.yflurrydatasenderblock.18939ae1-ea2e-48c2-b828...edb1a8
- /data/data/####/.yflurrydatasenderblock.2d61912b-ac41-4d98-a7fa...9a3f1d
- /data/data/####/.yflurrydatasenderblock.2ff9b669-aaa6-49cd-aa2c...56051f
- /data/data/####/.yflurrydatasenderblock.4c116f17-962a-44dd-914a...c4067f
- /data/data/####/.yflurrydatasenderblock.7055f4cd-5817-4483-8563...4a353b
- /data/data/####/.yflurrydatasenderblock.8cf4e66d-fd70-4892-9816...1e8561
- /data/data/####/.yflurrydatasenderblock.aab31c22-5bb0-4a6c-984d...af294c
- /data/data/####/.yflurrydatasenderblock.baf7031b-8388-4f69-80f2...9a3339
- /data/data/####/.yflurrydatasenderblock.c229c4ad-90ec-4734-9f16...986cdf
- /data/data/####/.yflurryreport.c65684a56a27788
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/SHARED_PRENFERENCE_LOCAL_ADDRESS.xml
- /data/data/####/a.xml
- /data/data/####/a2.chartboost.com.443
- /data/data/####/ads1628720702.jar
- /data/data/####/ads2096643929.jar
- /data/data/####/cbPrefs.xml
- /data/data/####/cb_previous_session_info
- /data/data/####/com.im.db
- /data/data/####/com.im.db-journal
- /data/data/####/com.im.keyValueStore.aes_key_store.xml
- /data/data/####/com.im.keyValueStore.config_store.xml
- /data/data/####/com.im.keyValueStore.mraid_js_store.xml
- /data/data/####/com.im.keyValueStore.sdk_version_store.xml
- /data/data/####/com.im.keyValueStore.uid_store.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.xkd.xp.ttqdgds113
- /data/data/####/mobclick_agent_online_setting_com.xkd.xp.ttqdgds.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/7e265867124e773e7ee5144c9e05b36f20fe43bc.png
- /data/media/####/abcce95ff069a1f8a3692d2b27d0766357cfda31.png
- /data/media/####/ae58da7bf6c8db24eda3e1be6fd2a1ee3701e3dc.png
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- game
- libjiagu
- ntx
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-nopadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
