Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Panda.2.origin
- Adware.Panda.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) cc.n####.jp:80
- TCP(HTTP/1.1) lcs.n####.jp:80
- TCP(HTTP/1.1) api.u####.com:3000
- TCP(HTTP/1.1) cdn.b####.net.####.net:80
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) r1---sn####.g####.com:443
- TCP(TLS/1.0) 2####.58.208.110:443
- TCP(TLS/1.0) api.b####.net:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) growthy####.gcld-####.com:443
- TCP(TLS/1.0) 1####.en####.mobilea####.com:443
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) im.la####.l####.####.net:443
- TCP(TLS/1.2) 1####.217.168.195:443
- TCP(TLS/1.2) 1####.250.179.174:443
- TCP(TLS/1.2) 1####.250.179.170:443
Запросы DNS:
- 1####.en####.mobilea####.com
- and####.google####.com
- android####.go####.com
- api.b####.net
- api.u####.com
- cc.n####.jp
- cdn.b####.net
- g####.face####.com
- growthy####.gcld-####.com
- instant####.google####.com
- la####.l####.me
- lcs.n####.jp
- m####.go####.com
- nelo2####.nhn####.jp
- r1---sn####.g####.com
Запросы HTTP GET:
- api.face####.com:443/v2.8/1665622637007821?fields=####&format=####&sdk=#...
- cc.n####.jp/cc?nsc=####&a=####&m=####&u=####
- cc.n####.jp/cc?nsc=####&a=####&m=####&u=####&i=####
- cdn.b####.net.####.net/b612/btm/a_btm.json
- lcs.n####.jp/m?u=####&E####
Запросы HTTP POST:
- api.face####.com:443/v2.8/1665622637007821/activities?access_token=####&...
- api.u####.com:3000/partners/checkkey/
- growthy####.gcld-####.com:443/v2/common/heartbeat
- growthy####.gcld-####.com:443/v2/common/new-account
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/2d8f0f9bad096021b1c44e9865ce5f91.1_0.nelolog
- /data/data/####/AppEventsLogger.persistedsessioninfo
- /data/data/####/DATA.xml
- /data/data/####/SCC_New_Account.xml
- /data/data/####/SCC_Play.xml
- /data/data/####/_commons_core_prefs.xml
- /data/data/####/audio_data.tmp
- /data/data/####/audio_data_0.tmp
- /data/data/####/audio_data_1.tmp
- /data/data/####/audio_data_2.tmp
- /data/data/####/audio_data_3.tmp
- /data/data/####/audio_data_4.tmp
- /data/data/####/audio_data_5.tmp
- /data/data/####/audio_data_6.tmp
- /data/data/####/audio_data_7.tmp
- /data/data/####/audio_data_8.tmp
- /data/data/####/billingPref.xml
- /data/data/####/classes.dex
- /data/data/####/classes.odex
- /data/data/####/classes.odex.flock (deleted)
- /data/data/####/classes2.dex
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml.bak
- /data/data/####/com.mobileapptracking.xml
- /data/data/####/db_default_job_manager-journal
- /data/data/####/libjiagu.so
- /data/data/####/line_notice_pref.xml
- /data/data/####/line_notice_pref.xml (deleted)
- /data/data/####/line_notice_pref.xml.bak
- /data/data/####/line_notice_pref.xml.bak (deleted)
- /data/data/####/linenotice_pref.db
- /data/data/####/linenotice_pref.db-journal
- /data/data/####/mat_queue.xml
- /data/data/####/mat_queue.xml.bak
- /data/data/####/naver_app_nstat
- /data/data/####/naver_app_nstat-journal
- /data/data/####/nelo2_app_version_B612-b612_android-release.id
- /data/data/####/nelo2_install.id
- /data/data/####/plugin.apk
- /data/data/####/proc_auxv
- /data/data/####/profile
- /data/data/####/recorded_audio.tmp
- /data/data/####/sticker.db-journal
- /data/data/####/tracker.tmp
- /data/data/####/tracker.tmp (deleted)
- /data/media/####/.log.sf
- /data/media/####/2aacf8f280dc036312763c18ae87da486d748adc46987f....0.tmp
- /data/media/####/332656fa62efcfa68b778aee64e8aefc4c64970a049599....0.tmp
- /data/media/####/com.linecorp.trident.keychain
- /data/media/####/journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Осуществляет доступ к интерфейсу камеры.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
