Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Egame.1
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(NTP) 1.cn.p####.####.org:123
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) 1####.250.102.95:443
- TCP(TLS/1.2) 1####.250.102.94:443
- TCP(TLS/1.2) 1####.250.27.139:443
Запросы DNS:
- 1.cn.p####.####.org
- i####.cn
- id1.cn.8.####.8
- m####.go####.com
- p####.google####.com
- pg.x####.com
- pg.x####.com.####.8
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/anr/traces.txt (deleted)
- /data/data/####/.sdk.lck
- /data/data/####/GoogleBackupTransport.dex
- /data/data/####/GoogleBackupTransport.dex.flock (deleted)
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/apkInfo
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/cn_egame_openapi_opt.xml
- /data/data/####/gameInfo.xml
- /data/data/####/kxqpplatform2.dex
- /data/data/####/kxqpplatform2.dex.flock (deleted)
- /data/data/####/kxqpplatform2.jar
- /data/data/####/kxqpplatform2.jar.lock
- /data/data/####/lb_amcfg
- /data/data/####/lb_packages
- /data/data/####/libexecloader.so
- /data/data/####/libexecloader.so (deleted)
- /data/data/####/libjiagu.so
- /data/data/####/libkxqpplatform.sinfo
- /data/data/####/libkxqpplatform.sinfo (deleted)
- /data/data/####/libkxqpplatform.so
- /data/data/####/libzmapk.so
- /data/data/####/libzmnp.so
- /data/data/####/libzvmhelper.so
- /data/data/####/main.dex
- /data/data/####/main.dex.flock (deleted)
- /data/data/####/main.jar
- /data/data/####/platform.xml
- /data/data/####/proc_auxv
- /data/data/####/sdk_load_info.xml
- /data/data/####/sig_0.key
- /data/data/####/td.lock
- /data/data/####/tmp1003279374tmp
- /data/data/####/tmp1027963311tmp
- /data/data/####/tmp1079703560tmp
- /data/data/####/tmp1085774508tmp
- /data/data/####/tmp1085774508tmp (deleted)
- /data/data/####/tmp1130615936tmp
- /data/data/####/tmp1179348836tmp (deleted)
- /data/data/####/tmp1189714025tmp
- /data/data/####/tmp1189714025tmp (deleted)
- /data/data/####/tmp1209001359tmp
- /data/data/####/tmp1209001359tmp (deleted)
- /data/data/####/tmp126081241tmp
- /data/data/####/tmp1268645176tmp
- /data/data/####/tmp1268645176tmp (deleted)
- /data/data/####/tmp1299458239tmp
- /data/data/####/tmp1299458239tmp (deleted)
- /data/data/####/tmp1301699913tmp (deleted)
- /data/data/####/tmp1324452761tmp
- /data/data/####/tmp132759890tmp
- /data/data/####/tmp132759890tmp (deleted)
- /data/data/####/tmp1335685444tmp
- /data/data/####/tmp1433721448tmp
- /data/data/####/tmp1443738726tmp (deleted)
- /data/data/####/tmp1501808177tmp
- /data/data/####/tmp1501808177tmp (deleted)
- /data/data/####/tmp1503081525tmp (deleted)
- /data/data/####/tmp1540528401tmp
- /data/data/####/tmp1540528401tmp (deleted)
- /data/data/####/tmp1545725999tmp
- /data/data/####/tmp1551593771tmp
- /data/data/####/tmp1551593771tmp (deleted)
- /data/data/####/tmp1571076805tmp (deleted)
- /data/data/####/tmp1594652469tmp
- /data/data/####/tmp1594652469tmp (deleted)
- /data/data/####/tmp1613526308tmp (deleted)
- /data/data/####/tmp1649565581tmp
- /data/data/####/tmp1666758981tmp
- /data/data/####/tmp1666758981tmp (deleted)
- /data/data/####/tmp1672262215tmp (deleted)
- /data/data/####/tmp1694581202tmp
- /data/data/####/tmp1694581202tmp (deleted)
- /data/data/####/tmp1729334164tmp
- /data/data/####/tmp175379759tmp (deleted)
- /data/data/####/tmp176803106tmp
- /data/data/####/tmp176803106tmp (deleted)
- /data/data/####/tmp1773893051tmp
- /data/data/####/tmp1783179430tmp
- /data/data/####/tmp1783179430tmp (deleted)
- /data/data/####/tmp1815883086tmp
- /data/data/####/tmp1815883086tmp (deleted)
- /data/data/####/tmp1827425553tmp
- /data/data/####/tmp1853097749tmp
- /data/data/####/tmp1853097749tmp (deleted)
- /data/data/####/tmp1877442910tmp
- /data/data/####/tmp1877442910tmp (deleted)
- /data/data/####/tmp1888576692tmp
- /data/data/####/tmp1888576692tmp (deleted)
- /data/data/####/tmp1940210229tmp
- /data/data/####/tmp1940210229tmp (deleted)
- /data/data/####/tmp197317320tmp
- /data/data/####/tmp197317320tmp (deleted)
- /data/data/####/tmp1974000849tmp
- /data/data/####/tmp1974515593tmp (deleted)
- /data/data/####/tmp1999716427tmp (deleted)
- /data/data/####/tmp2008168040tmp
- /data/data/####/tmp2008168040tmp (deleted)
- /data/data/####/tmp2013922790tmp
- /data/data/####/tmp2013922790tmp (deleted)
- /data/data/####/tmp2020954250tmp
- /data/data/####/tmp2020954250tmp (deleted)
- /data/data/####/tmp2033266035tmp
- /data/data/####/tmp2033266035tmp (deleted)
- /data/data/####/tmp2037792468tmp
- /data/data/####/tmp2037792468tmp (deleted)
- /data/data/####/tmp2120064390tmp
- /data/data/####/tmp2120064390tmp (deleted)
- /data/data/####/tmp2137155409tmp (deleted)
- /data/data/####/tmp247541657tmp
- /data/data/####/tmp249126492tmp
- /data/data/####/tmp249126492tmp (deleted)
- /data/data/####/tmp257829244tmp
- /data/data/####/tmp257829244tmp (deleted)
- /data/data/####/tmp287957510tmp
- /data/data/####/tmp287957510tmp (deleted)
- /data/data/####/tmp350642tmp
- /data/data/####/tmp350642tmp (deleted)
- /data/data/####/tmp391255746tmp
- /data/data/####/tmp391255746tmp (deleted)
- /data/data/####/tmp396807838tmp (deleted)
- /data/data/####/tmp429286702tmp
- /data/data/####/tmp429286702tmp (deleted)
- /data/data/####/tmp484298967tmp
- /data/data/####/tmp484298967tmp (deleted)
- /data/data/####/tmp486728878tmp
- /data/data/####/tmp486728878tmp (deleted)
- /data/data/####/tmp51697975tmp
- /data/data/####/tmp51697975tmp (deleted)
- /data/data/####/tmp517132046tmp
- /data/data/####/tmp517132046tmp (deleted)
- /data/data/####/tmp557094888tmp
- /data/data/####/tmp557094888tmp (deleted)
- /data/data/####/tmp560756240tmp (deleted)
- /data/data/####/tmp581056589tmp
- /data/data/####/tmp581056589tmp (deleted)
- /data/data/####/tmp671550143tmp
- /data/data/####/tmp671550143tmp (deleted)
- /data/data/####/tmp725225389tmp
- /data/data/####/tmp725225389tmp (deleted)
- /data/data/####/tmp745149044tmp
- /data/data/####/tmp745149044tmp (deleted)
- /data/data/####/tmp751889442tmp
- /data/data/####/tmp751889442tmp (deleted)
- /data/data/####/tmp854459251tmp
- /data/data/####/tmp854459251tmp (deleted)
- /data/data/####/tmp86456835tmp (deleted)
- /data/data/####/tmp910815261tmp (deleted)
- /data/data/####/tmp925043958tmp (deleted)
- /data/data/####/tmp937396782tmp (deleted)
- /data/data/####/tmp971435871tmp
- /data/data/####/tmp971435871tmp (deleted)
- /data/data/####/unipay.dex
- /data/media/####/am
- /data/media/####/compVersion
- /data/media/####/verinfo.cfg
Другие:
Запускает следующие shell-скрипты:
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.platformcache/kxqpplatform2.jar
- chmod 755 <Package Folder>/.platformcache/main.jar
Загружает динамические библиотеки:
- libjiagu
- libkxqpplatform
- libme_unipay
- libzvmhelper
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Запрашивает разрешение на отображение системных уведомлений.
