Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dangbei.1.origin
- Android.Siggen.Susp2.4876
- Tool.Obfuscator.TrashCode.1
Сетевая активность:
Подключается к:
- UDP(???) and####.google####.com:443
- UDP(???) pla####.google####.com:443
- UDP(???) rr6---s####.g####.com:443
- UDP(???) rr1---s####.g####.com:443
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ip.3####.cn:80
- TCP(HTTP/1.1) dat####.avc####.com:80
- TCP(HTTP/1.1) tb-meta####.c####.ufi####.com:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) alog-de####.u####.com:80
- TCP(HTTP/1.1) ip####.com:80
- TCP(HTTP/1.1) s####.v2.c####.####.net:80
- TCP(TLS/1.0) 2####.58.198.99:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) chec####.cc:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) log-re####.com:443
- TCP(TLS/1.0) 360m####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.2) 2####.58.198.99:443
- TCP(TLS/1.2) 2####.239.38.223:443
- TCP(TLS/1.2) 1####.217.17.195:443
- TCP(TLS/1.2) 1####.251.157.119:443
- TCP(TLS/1.2) and####.google####.com:443
- TCP(TLS/1.2) 2####.239.36.223:443
- TCP(TLS/1.2) 1####.250.180.14:443
Запросы DNS:
- 360m####.com
- alog-de####.u####.com
- and####.a####.go####.com
- and####.google####.com
- android####.go####.com
- chec####.cc
- dat####.avc####.com
- devicei####.google####.com
- firebas####.google####.com
- ip####.com
- ip.3####.cn
- log-re####.com
- pla####.google####.com
- rr1---s####.g####.com
- rr6---s####.g####.com
- s####.v2.c####.####.net
- tb-meta####.c####.ufi####.com
- www.a.sh####.com
- www.google####.com
Запросы HTTP GET:
- 1####.29.29.29/d?dn=####
- 360m####.com:443/feature/config?api_version=####&app_id=####&app_version...
- chec####.cc:443/jd?a=####&av=####&cv=####&d=####&p=####&v=####&vc=####
- dat####.avc####.com/vst/ott?Msgtype=####&mac=####&oemid=####&opentime=##...
- dat####.avc####.com/vst/ott?Msgtype=####&mac=####&oemid=####&package_nam...
- ip####.com/json?lang=####
- ip.3####.cn/IPShare/info
- tb-meta####.c####.ufi####.com/240738/cm.json
- www.a.sh####.com:443/
Запросы HTTP POST:
- alog-de####.u####.com/app_logs
- log-re####.com:443/report
- s####.v2.c####.####.net/action/custom_event
Изменения в файловой системе:
Создает следующие файлы:
- /data/app/####/config.en
- /data/app/####/config.x86_64
- /data/data/####/.fsgkea
- /data/data/####/.imprint
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/AlwayAnalytic.xml
- /data/data/####/CBGr2.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/android.jar
- /data/data/####/bi.jar
- /data/data/####/biOdex
- /data/data/####/biOdex.flock (deleted)
- /data/data/####/c3efea8bc61f72170d4a79a845a3f287791c9c8bb24c4ac...leted)
- /data/data/####/c3efea8bc61f72170d4a79a845a3f287791c9c8bb24c4ac...xz.apk
- /data/data/####/c3efea8bc61f72170d4a79a845a3f287791c9c8bb24c4ac...xz.dex
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/checkQuantityBrush.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.oat
- /data/data/####/com.cm.live_preferences.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/libjiagu.so
- /data/data/####/main.xml
- /data/data/####/metrics_guid
- /data/data/####/recode.db-journal
- /data/data/####/setting.xml
- /data/data/####/setting.xml.bak
- /data/data/####/setting.xml.bak (deleted)
- /data/data/####/so_dex.xml
- /data/data/####/temp.dex
- /data/data/####/temp.dex.flock (deleted)
- /data/data/####/temp.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/vstAnalytic.db
- /data/data/####/vstAnalytic.db-journal
- /data/media/####/analytic_uuid
- /data/media/####/crash.txt
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- adb connect 127.0.0.1
- adb devices
- cat /sys/class/net/eth0/address
- cat /sys/class/net/wlan0/address
- logcat
- setprop persist.service.adb.enable 1
- sh
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
