Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.906.origin
- Android.DownLoader.999.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sky.xind####.com:80
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 1####.217.168.202:443
- TCP(TLS/1.0) 1####.217.168.234:443
- TCP(TLS/1.2) 1####.251.36.46:443
- TCP(TLS/1.2) 1####.250.179.142:443
- UDP 2####.85.226.8:443
- UDP 1####.217.168.234:443
- UDP 74.1####.100.234:443
Запросы DNS:
- a####.u####.com
- gm.usha####.com
- gm.usha####.com.####.8
- m####.go####.com
- md####.google####.com
- oc.u####.com
- sky.xind####.com
- su####.leno####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- sky.xind####.com/n?requestId=####&g=####&c=####&t=####&ua=####
- sky.xind####.com/s
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.jgck
- /data/data/####/Settings.xml
- /data/data/####/Settings.xml.bak
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/beyla.db-journal
- /data/data/####/beyla_settings.xml
- /data/data/####/beyla_settings.xml.bak
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/cmd.db-journal
- /data/data/####/cmd.xml
- /data/data/####/cmd.xml.bak
- /data/data/####/com.niyan.wocai121_preferences.xml
- /data/data/####/db33.db
- /data/data/####/db33.db-journal
- /data/data/####/history.db-journal
- /data/data/####/ka.xml
- /data/data/####/libjiagu.so
- /data/data/####/mdata
- /data/data/####/mdata.dex
- /data/data/####/mdata.dex.flock (deleted)
- /data/data/####/metrics_guid
- /data/data/####/mobclick_agent_online_setting_com.niyan.wocai121.xml
- /data/data/####/playGuess.db-journal
- /data/data/####/skey.xml
- /data/data/####/temp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/x3.xml
- /data/data/####/x3.xml.bak
- /data/media/####/.nomedia
- /data/media/####/1440658417468.png
- /data/media/####/1440658461948.png
- /data/media/####/1440658482862.png
- /data/media/####/1440658623127.png
- /data/media/####/1440660820543.png
- /data/media/####/1440660900027.png
- /data/media/####/1440660996438.png
- /data/media/####/1440661141972.png
- /data/media/####/1440661468228.jpg
- /data/media/####/1440661489839.jpg
- /data/media/####/1440661513185.jpg
- /data/media/####/1440661781581.jpg
- /data/media/####/1440669513735.jpg
- /data/media/####/1440669539385.jpg
- /data/media/####/1440669869067.jpg
- /data/media/####/1440669895845.jpg
- /data/media/####/1440669911523.jpg
- /data/media/####/1440669924886.jpg
- /data/media/####/1440669958144.jpg
- /data/media/####/1440669977114.jpg
- /data/media/####/1440670038946.jpg
- /data/media/####/1440670058490.png
- /data/media/####/1440670104923.jpg
- /data/media/####/1440670117434.jpg
- /data/media/####/1440670148080.png
- /data/media/####/1440670215609.jpg
- /data/media/####/1440670233173.jpg
- /data/media/####/1440670272181.jpg
- /data/media/####/1440681197770.jpg
- /data/media/####/1440681225773.jpg
- /data/media/####/1440681258466.jpg
- /data/media/####/1440681284431.jpg
- /data/media/####/1440681301860.jpg
- /data/media/####/1440681312673.jpg
- /data/media/####/1440681335509.jpg
- /data/media/####/1440681359690.jpg
- /data/media/####/1440681376922.jpg
- /data/media/####/1440681509018.jpg
- /data/media/####/1440681523184.jpg
- /data/media/####/1440681547495.jpg
- /data/media/####/1440681569384.jpg
- /data/media/####/1440681592263.jpg
- /data/media/####/1440681612708.jpg
- /data/media/####/1440681634079.jpg
- /data/media/####/1440681663640.jpg
- /data/media/####/1440681679635.jpg
- /data/media/####/1440682407714.jpg
- /data/media/####/1440682460112.jpg
- /data/media/####/1440682477925.jpg
- /data/media/####/1440682493484.jpg
- /data/media/####/1440682504631.jpg
- /data/media/####/1440682941423.jpg
- /data/media/####/1440682971441.jpg
- /data/media/####/1440682992776.jpg
- /data/media/####/1440683040028.jpg
- /data/media/####/1440683221377.jpg
- /data/media/####/1440683237389.jpg
- /data/media/####/1440683359290.jpg
- /data/media/####/1440683378595.jpg
- /data/media/####/1440683399914.jpg
- /data/media/####/1440683455579.jpg
- /data/media/####/1440683516627.jpg
- /data/media/####/1440683557231.jpg
- /data/media/####/1440683605938.jpg
- /data/media/####/1440683632142.jpg
- /data/media/####/1440683662711.jpg
- /data/media/####/1440683677595.jpg
- /data/media/####/1440683708189.jpg
- /data/media/####/1440683727354.jpg
- /data/media/####/1440683746983.jpg
- /data/media/####/1440683810957.jpg
- /data/media/####/1440683835120.jpg
- /data/media/####/1440683857964.jpg
- /data/media/####/1440683886073.jpg
- /data/media/####/1440683904451.jpg
- /data/media/####/1440683934399.jpg
- /data/media/####/1440683950548.png
- /data/media/####/1440683986756.jpg
- /data/media/####/1440684006512.jpg
- /data/media/####/1440684052980.jpg
- /data/media/####/1440684131593.jpg
- /data/media/####/1440684157335.jpg
- /data/media/####/1440684181497.jpg
- /data/media/####/1440684350757.jpg
- /data/media/####/1440684540637.jpg
- /data/media/####/1440684559759.jpg
- /data/media/####/1440684577137.jpg
- /data/media/####/1440684637576.jpg
- /data/media/####/1440684660928.jpg
- /data/media/####/1440684670907.png
- /data/media/####/1440684703345.jpg
- /data/media/####/1440684717021.jpg
- /data/media/####/1440684744024.png
- /data/media/####/1440684778693.jpg
- /data/media/####/1440684808779.jpg
- /data/media/####/1440684823392.jpg
- /data/media/####/1440684849256.jpg
- /data/media/####/1440684862853.jpg
- /data/media/####/1440684883677.jpg
- /data/media/####/1440684911291.jpg
- /data/media/####/1440684927307.jpg
- /data/media/####/1440684952929.jpg
- /data/media/####/1440685092468.jpg
- /data/media/####/1440685127490.jpg
- /data/media/####/1440685153038.jpg
- /data/media/####/1440685171376.jpg
- /data/media/####/1444618961575.png
- /data/media/####/1444619059116.png
- /data/media/####/StorageVolumeHelper.tmp (deleted)
- /data/media/####/cards_102.zip
- /data/media/####/cards_1302.zip
- /data/media/####/cards_1402.zip
- /data/media/####/cards_202.zip
- /data/media/####/cards_302.zip
- /data/media/####/cards_402.zip
- /data/media/####/cards_502.zip
- /data/media/####/cards_602.zip
- /data/media/####/cards_702.zip
- /data/media/####/cards_902.zip
- /data/media/####/root.txt
- /data/media/####/sa
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop net.dns1
Загружает динамические библиотеки:
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
