Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) bea####.g####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) det-ta####.am####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) arcus-u####.am####.com:443
- TCP(TLS/1.0) t300-t2####.c####.glo.####.com:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) and####.a####.go####.com:443
- TCP(TLS/1.2) 1####.177.14.99:443
- TCP e####.ar####.com:10007
- UDP firebas####.google####.com:443
- UDP 1####.250.150.139:443
- TCP e####.ar####.com:10012
- UDP bea####.g####.com:443
- UDP rr3---s####.g####.com:443
- TCP e####.ar####.com:10006
- UDP rr2---s####.g####.com:443
- TCP e####.ar####.com:10008
Запросы DNS:
- ab49qxk####.api.amazonv####.com
- and####.a####.go####.com
- and####.google####.com
- arcus-u####.am####.com
- bea####.g####.com
- det-ta####.am####.com
- e####.ar####.com
- firebas####.google####.com
- gmscomp####.google####.com
- p####.google####.com
- ra####.tech
- rr2---s####.g####.com
- rr3---s####.g####.com
Запросы HTTP GET:
- t300-t2####.c####.glo.####.com:443/cdp/mobile/getDataByTransform/v1/dv-a...
- t300-t2####.c####.glo.####.com:443/cdp/usage/v3/GetAppStartupConfig?devi...
Запросы HTTP POST:
- arcus-u####.am####.com:443/
- det-ta####.am####.com:443/DeviceEventProxy/DETLogServlet?key=####
- firebas####.google####.com:443/v1/projects/amazon-video/installations
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ac
- /data/data/####/.nomedia
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...33.tmp
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...42.tmp
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...7700c9
- /data/data/####/CachePersistence.xml
- /data/data/####/CrashDetectionHelper.crashManager3rdParty.xml
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTozNTQ4MDA2NDUzM...Bi.xml
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTozNTQ4MDA2NDUzM...ml.bak
- /data/data/####/InternalPreferences.xml
- /data/data/####/InternalPreferences.xml.bak
- /data/data/####/Lambortish_Clock_Store.xml
- /data/data/####/LocalizationPreferences.xml
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTozNTQ4MDA2...i.json
- /data/data/####/PersistedInstallation2019877037tmp
- /data/data/####/PersistedInstallation360910919tmp
- /data/data/####/PersistentPreferences.xml
- /data/data/####/PersistentPreferences.xml.bak
- /data/data/####/SSOInfo.config.xml
- /data/data/####/account_change_observer.xml
- /data/data/####/account_change_observer.xml.bak
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...che.db
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...fs.xml
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...ournal
- /data/data/####/arn;aws;remote-config;us-west-2;570606408720;ap...che.db
- /data/data/####/arn;aws;remote-config;us-west-2;570606408720;ap...fs.xml
- /data/data/####/arn;aws;remote-config;us-west-2;570606408720;ap...ournal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.dex;classes9.dex
- /data/data/####/clearDataSentinel
- /data/data/####/com.amazon.client.metrics.xml
- /data/data/####/com.amazon.client.metrics.xml.bak
- /data/data/####/com.amazon.minerva.client.thirdparty.persistedC...es.xml
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/crashlog.v2.amzcl#data_app_crash#1c8e7a4f4d05b8...6c31b8
- /data/data/####/crashlog.v2.amzcl#data_app_crash#3ab505db6ecc24...31bdc8
- /data/data/####/distributed.datastore.info.store.xml
- /data/data/####/generatefid.lock
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/libjiagu_64.so
- /data/data/####/map_data_storage.db
- /data/data/####/map_data_storage.db-journal
- /data/data/####/mediaEvents-journal (deleted)
- /data/data/####/proc_auxv
- /data/data/####/response_cache.db-journal (deleted)
- /data/data/####/response_cache.db.lck
- /data/data/####/sync_dirty_data_store.xml
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- /system/xbin/which su
- logcat -d -v threadtime
- logcat -d -v threadtime -b events
Загружает динамические библиотеки:
- libcrashmanager-ndk
- libjiagu_64
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Получает информацию о сети.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
