Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Kyview.2.origin
Предлагает установить сторонние приложения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) pin####.qq.com:80
- TCP(HTTP/1.1) www.jove####.com:80
- TCP(HTTP/1.1) x####.clou####.net:80
- TCP(TLS/1.0) rr5---s####.g####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) rr4---s####.g####.com:443
- TCP(TLS/1.0) 1####.251.39.99:443
- TCP(TLS/1.0) rr3---s####.g####.com:443
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) digital####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.2) 1####.251.39.99:443
- TCP(TLS/1.2) 1####.250.179.170:443
- UDP 1####.250.179.170:443
- UDP digital####.google####.com:443
Запросы DNS:
- and####.google####.com
- digital####.google####.com
- int.d####.s####.####.cn
- p####.google####.com
- pi####.qq.com
- pin####.qq.com
- pla####.google####.com
- rr3---s####.g####.com
- rr4---s####.g####.com
- rr5---s####.g####.com
- www.b####.com
- www.jove####.com
- x####.clou####.net
Запросы HTTP GET:
- www.a.sh####.com:443/
- www.jove####.com/www.jovetech.com/down/YST/A/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/B/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/C/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/D/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/H/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/N/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/S/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SC/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SD/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SE/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SF/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SG/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SH/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SK/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SL/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SN/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SP/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SQ/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/ST/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SV/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SW/yst_index.txt
- www.jove####.com/www.jovetech.com/down/YST/SY/yst_index.txt
- x####.clou####.net/publicService/otherManage/getAdPower.do?mobileType=##...
Запросы HTTP POST:
- pin####.qq.com/request
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1556435502-580086987
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/130f9022-7f6a-4b41-9cfd-9c3ad83aa6c9
- /data/data/####/2ee9ff93-a2a0-4ce9-836b-a72c1b25089c
- /data/data/####/4e1eff9f-e32a-4cfa-a777-633fd1001b15
- /data/data/####/BackgroundLogger.db-journal
- /data/data/####/JVCONFIG.xml
- /data/data/####/JVCONFIG.xml.bak
- /data/data/####/Web Data-journal (deleted)
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/app_update_metadata_valuestore.pb.lock
- /data/data/####/background_counters.db-journal
- /data/data/####/base_value_store.pb
- /data/data/####/base_value_store.pb.tmp
- /data/data/####/cache_performance_summary.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes2.dex
- /data/data/####/com.jovetech.CloudSee.temp_preferences.xml
- /data/data/####/counters.db-journal
- /data/data/####/dataloader_streaming_info_valuestore.pb.lock
- /data/data/####/disk_entries_list_image_cache_-1958860868.xml
- /data/data/####/download_service-journal
- /data/data/####/download_service_preferences_key.xml
- /data/data/####/event_generator_6.xml
- /data/data/####/eventlog.store1202760054.log
- /data/data/####/eventlog.store128164377.log
- /data/data/####/eventlog.store1544606205.log
- /data/data/####/eventlog.store1937362899.log
- /data/data/####/eventlog.store539582410.log
- /data/data/####/fae60272-330a-4680-8355-88904f4fa6c4
- /data/data/####/finsky-restore-logging-context.xml
- /data/data/####/finsky.xml
- /data/data/####/finsky.xml.bak
- /data/data/####/frosting.db-journal
- /data/data/####/install_source.db-journal
- /data/data/####/journal
- /data/data/####/latchsky_timestamp_valuestore.pb.lock
- /data/data/####/libjiagu.so
- /data/data/####/logs_upload_attempt.log
- /data/data/####/metrics_guid
- /data/data/####/multi_proc.pb
- /data/data/####/multi_proc.pb.lock
- /data/data/####/notification_cache-journal
- /data/data/####/pai_apps.db-journal
- /data/data/####/phenotype.db
- /data/data/####/phenotype.db-shm (deleted)
- /data/data/####/phenotype.db-wal
- /data/data/####/phenotype.db-wal (deleted)
- /data/data/####/play_metalog.log
- /data/data/####/pri_tencent_analysis.db-journal
- /data/data/####/proc_auxv
- /data/data/####/proc_background.pb
- /data/data/####/proc_background.pb.tmp
- /data/data/####/profile
- /data/data/####/quick_launch_counters.db-journal
- /data/data/####/scheduler_background-journal
- /data/data/####/scheduler_main-journal
- /data/data/####/selfupdate_scheduler.xml
- /data/data/####/streamdatastore.db-journal
- /data/data/####/temp-experiment-flags-process-stable
- /data/data/####/temp-experiment-flags-regular-null-account
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/time_adjustment_valuestore.pb.lock
- /data/data/####/verify_apps.db-journal
- /data/data/####/warm_multi_proc.pb.lock
- /data/data/####/warm_multi_proc.pb.tmp
- /data/media/####/A_index.dat
- /data/media/####/B_index.dat
- /data/media/####/C_index.dat
- /data/media/####/D_index.dat
- /data/media/####/N_index.dat
- /data/media/####/SC_index.dat
- /data/media/####/SD_index.dat
- /data/media/####/SE_index.dat
- /data/media/####/SF_index.dat
- /data/media/####/SG_index.dat
- /data/media/####/SH_index.dat
- /data/media/####/SK_index.dat
- /data/media/####/SL_index.dat
- /data/media/####/SN_index.dat
- /data/media/####/SP_index.dat
- /data/media/####/SQ_index.dat
- /data/media/####/ST_index.dat
- /data/media/####/SV_index.dat
- /data/media/####/SW_index.dat
- /data/media/####/SY_index.dat
- /data/media/####/S_index.dat
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libMtaNativeCrash
- libalu
- libgnustl_shared
- libjac-jni
- libjiagu
- libjpushcli-jni
- libnplayer
- libplay
- libstlport_shared
- libtools
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- RSA-NONE-PKCS1PADDING
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
