Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.MulDrop.1139
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) pum####.kairo####.jp:80
- TCP(TLS/1.0) 1####.251.36.42:443
- TCP(TLS/1.0) 1####.250.179.202:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) prd-le####.cdp.inte####.####.com:443
- TCP(TLS/1.0) pag####.googlea####.com:443
- TCP(TLS/1.0) 2####.58.208.106:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) co####.uca.c####.####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.2) 1####.251.36.42:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) 1####.251.36.46:443
- UDP 1####.251.36.42:443
- UDP 2####.58.208.106:443
Запросы DNS:
- a.appj####.com
- api.jiu####.com
- api.uca.c####.####.com
- co####.uca.c####.####.com
- googl####.g.doublec####.net
- pag####.googlea####.com
- pag####.googles####.com
- pum####.kairo####.jp
- s####.uni####.com
- s####.uni####.com.####.8
- ssl.google-####.com
- tpc.googles####.com
- www.googlet####.com
Запросы HTTP GET:
- co####.uca.c####.####.com:443/6add78c7-4677-4779-8760-3c465e43481b.json
- googl####.g.doublec####.net:443/mads/static/mad/sdk/native/production/mr...
- pag####.googlea####.com:443/pagead/adview?ai=####&sigh=####&cid=####&gvr...
- pum####.kairo####.jp/android/gm130/cgi/get_time.php?_ts=####
- ssl.google-####.com:443/collect?&v=####&tid=####&cid=####&t=####&dl=####...
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- prd-le####.cdp.inte####.####.com:443/v1/events
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-139605349995085421
- /data/data/####/.hptc.cache_d.densha_en.vqs
- /data/data/####/.jg.ic
- /data/data/####/0000
- /data/data/####/0001
- /data/data/####/0002
- /data/data/####/0003
- /data/data/####/0004
- /data/data/####/0005
- /data/data/####/0006
- /data/data/####/0007
- /data/data/####/0008
- /data/data/####/0009
- /data/data/####/0010
- /data/data/####/0011
- /data/data/####/0012
- /data/data/####/0013
- /data/data/####/0014
- /data/data/####/0015
- /data/data/####/0016
- /data/data/####/0017
- /data/data/####/0018
- /data/data/####/0019
- /data/data/####/0020
- /data/data/####/0021
- /data/data/####/0022
- /data/data/####/0023
- /data/data/####/0024
- /data/data/####/0025
- /data/data/####/0026
- /data/data/####/0027
- /data/data/####/0028
- /data/data/####/0029
- /data/data/####/0030
- /data/data/####/0031
- /data/data/####/0032
- /data/data/####/08149ea9fb91b2bb_0
- /data/data/####/0aaf942f52794366_0
- /data/data/####/1633031840514.dex
- /data/data/####/1633031840514.dex.flock (deleted)
- /data/data/####/1633031840514.jar
- /data/data/####/1633031840514.tmp
- /data/data/####/1abef2e47472b3e7_0
- /data/data/####/20c59f6cedb4fc16_0
- /data/data/####/20c59f6cedb4fc16_1
- /data/data/####/2b64b1d97fdf467a_0
- /data/data/####/2b64b1d97fdf467a_1
- /data/data/####/30464f3e87388bfd_0
- /data/data/####/30464f3e87388bfd_1
- /data/data/####/8ac677589e841ac8_0
- /data/data/####/8ac677589e841ac8_1
- /data/data/####/Cookies-journal
- /data/data/####/Main.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/admob.xml
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/d08ebe3165fe8f51_0
- /data/data/####/d08ebe3165fe8f51_1
- /data/data/####/dfe6b2497a7513ba_0
- /data/data/####/f038e94cb33282ab_0
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/net.kairosoft.android.densha_en.vqs.v2.playerprefs.xml
- /data/data/####/net.kairosoft.android.densha_en.vqs_preferences.xml
- /data/data/####/proc_auxv
- /data/data/####/savegame.xml
- /data/data/####/the-real-index
- /data/data/####/vqs_shared_data.xml
- /data/media/####/Compat.browser
- /data/media/####/DefaultWsdlHelpGenerator.aspx
- /data/media/####/browscap.ini
- /data/media/####/config
- /data/media/####/config.xml
- /data/media/####/e
- /data/media/####/global-metadata.dat
- /data/media/####/machine.config
- /data/media/####/mscorlib.dll-resources.dat
- /data/media/####/s
- /data/media/####/settings.map
- /data/media/####/values
- /data/media/####/web.config
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libil2cpp
- libjiagu
- libmain
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
