Android.Spy.5768

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Spy.5530

Network activity:

Connects to:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) www.xinghen####.com:80
TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) 1####.177.14.94:443
TCP(TLS/1.2) www.google####.com:443
TCP(TLS/1.2) 1####.177.14.94:443
UDP www.google####.com:443

DNS requests:

a####.u####.com
and####.a####.go####.com
api.wsq.u####.com
gmscomp####.google####.com
m####.go####.com
md####.google####.com
pla####.google####.com
rr9---s####.g####.com
www.google####.com
www.xinghen####.com

HTTP GET requests:

www.xinghen####.com/showp.htm
www.xinghen####.com/xtk/pricesAndAds.do?productType=####&username=####&s...

HTTP POST requests:

a####.u####.com/app_logs
sh.wagbr####.alibaba####.com/v2/user/token?de=####&os=####&en=####&sdkv=...
sh.wagbr####.alibaba####.com/v2/user/token?dt=####&de=####&os=####&sdkv=...
www.xinghen####.com/webq/synans.do

File system changes:

Creates the following files:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/EVERSTAR_DB-journal
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/config.xml
/data/data/####/libOMX.11.so
/data/data/####/libOMX.14.so
/data/data/####/libOMX.18.so
/data/data/####/libOMX.9.so
/data/data/####/libarm.so
/data/data/####/libffmpeg.so
/data/data/####/libjiagu.so
/data/data/####/libstlport_shared.so
/data/data/####/libvao.0.so
/data/data/####/libvplayer.so
/data/data/####/libvscanner.so
/data/data/####/libvvo.0.so
/data/data/####/libvvo.7.so
/data/data/####/libvvo.8.so
/data/data/####/libvvo.9.so
/data/data/####/libvvo.j.so
/data/data/####/mobclick_agent_online_setting_com.xingheng.doctortext.xml
/data/data/####/proc_auxv
/data/data/####/umeng_community.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/media/####/(0.05,1).gif
/data/media/####/+.4.gif
/data/media/####/+.gif
/data/media/####/-3.gif
/data/media/####/-X.gif
/data/media/####/.nomedia
/data/media/####/0.01(3).gif
/data/media/####/0.01.gif
/data/media/####/0.05-2.gif
/data/media/####/0.05.gif
/data/media/####/0.gif
/data/media/####/1-2.gif
/data/media/####/1-4.gif
/data/media/####/1.gif
/data/media/####/10-11.gif
/data/media/####/10.gif
/data/media/####/12.gif
/data/media/####/125.gif
/data/media/####/13.gif
/data/media/####/139.gif
/data/media/####/157.gif
/data/media/####/19.gif
/data/media/####/2-3.gif
/data/media/####/2.gif
/data/media/####/201606171203.png
/data/media/####/201606241524.png
/data/media/####/201606241713.png
/data/media/####/201606291032.png
/data/media/####/201606291033.png
/data/media/####/201606291034.png
/data/media/####/201606291035.png
/data/media/####/201606291036.png
/data/media/####/2a.gif
/data/media/####/2b.gif
/data/media/####/3-.gif
/data/media/####/3-4.gif
/data/media/####/3-5.gif
/data/media/####/3.gif
/data/media/####/3a.gif
/data/media/####/3b.gif
/data/media/####/4+.gif
/data/media/####/4-5.gif
/data/media/####/4.gif
/data/media/####/5-6.gif
/data/media/####/5.gif
/data/media/####/50.gif
/data/media/####/50a13e49a8285599eb2a1f64d2683252.0.tmp
/data/media/####/50a13e49a8285599eb2a1f64d2683252.1.tmp
/data/media/####/6.gif
/data/media/####/65.gif
/data/media/####/7.gif
/data/media/####/8.gif
/data/media/####/849fbdf1111cdc797528c01ee63e407e.0.tmp
/data/media/####/849fbdf1111cdc797528c01ee63e407e.1.tmp
/data/media/####/9.gif
/data/media/####/A-a.gif
/data/media/####/P1-p2.gif
/data/media/####/Resource.zip
/data/media/####/V1.gif
/data/media/####/V5.gif
/data/media/####/X-.gif
/data/media/####/X.gif
/data/media/####/YS249_310_5_A.gif
/data/media/####/YS249_310_5_B.gif
/data/media/####/YS249_310_5_C.gif
/data/media/####/YS249_310_5_D.gif
/data/media/####/YS249_310_5_E.gif
/data/media/####/YS249_310_8.gif
/data/media/####/YS249_311_12_A.gif
/data/media/####/YS249_311_12_B.gif
/data/media/####/YS249_311_12_C.gif
/data/media/####/YS249_311_12_D.gif
/data/media/####/YS249_311_12_E.gif
/data/media/####/YS249_311_19_A.gif
/data/media/####/YS249_311_19_B.gif
/data/media/####/YS249_311_19_C.gif
/data/media/####/YS249_311_19_D.gif
/data/media/####/YS249_311_19_E.gif
/data/media/####/YS249_312_23.gif
/data/media/####/YS249_312_26_A.gif
/data/media/####/YS249_312_26_B.gif
/data/media/####/YS249_312_26_C.gif
/data/media/####/YS249_312_26_D.gif
/data/media/####/YS249_312_26_E.gif
/data/media/####/YS249_313_39.gif
/data/media/####/YS249_313_41.gif
/data/media/####/YS249_314_45_1.gif
/data/media/####/YS249_314_45_2.gif
/data/media/####/YS249_314_47.gif
/data/media/####/YS249_314_50.gif
/data/media/####/YS249_315_58_A.gif
/data/media/####/YS249_315_58_B.gif
/data/media/####/YS249_315_58_C.gif
/data/media/####/YS249_315_58_D.gif
/data/media/####/YS249_315_58_E.gif
/data/media/####/YS249_315_67_A.gif
/data/media/####/YS249_315_67_B.gif
/data/media/####/YS249_315_67_C.gif
/data/media/####/YS249_315_67_D.gif
/data/media/####/YS249_315_67_E.gif
/data/media/####/YS249_321_57.gif
/data/media/####/YS249_359_54_E.gif
/data/media/####/YS250_848_6_A.gif
/data/media/####/YS250_848_6_B.gif
/data/media/####/YS250_848_6_C.gif
/data/media/####/YS250_848_6_D.gif
/data/media/####/YS250_848_6_E.gif
/data/media/####/YS279_289_126_96.gif
/data/media/####/YS279_289_128_111.gif
/data/media/####/YS279_289_149_140.gif
/data/media/####/YS279_289_149_140_a.gif
/data/media/####/YS279_289_149_140_b.gif
/data/media/####/YS279_289_149_140_c.gif
/data/media/####/YS279_289_149_140_d.gif
/data/media/####/YS279_289_149_140_e.gif
/data/media/####/YS279_289_222_51.gif
/data/media/####/YS279_289_254_20.gif
/data/media/####/YS279_289_60_96.gif
/data/media/####/YS279_289_62_110.gif
/data/media/####/YS287_15_31.gif
/data/media/####/YS287_23_40.gif
/data/media/####/YS287_27_92.gif
/data/media/####/YS287_6_86.gif
/data/media/####/YS287_6_94.gif
/data/media/####/YS287_7_125.gif
/data/media/####/YS287_7_125_1.gif
/data/media/####/YS287_7_125_2.gif
/data/media/####/YS287_8_125_3.gif
/data/media/####/YS295_53_42.gif
/data/media/####/YS295_53_421.gif
/data/media/####/YS295_55_92.gif
/data/media/####/YS295_56_18.gif
/data/media/####/YS297_23_69.gif
/data/media/####/YS297_2_14.gif
/data/media/####/YS297_57_84.gif
/data/media/####/YS297_7_63.gif
/data/media/####/YS302_139_2.gif
/data/media/####/YS302_140_16.gif
/data/media/####/YS302_141_24.gif
/data/media/####/YS302_168_8.gif
/data/media/####/YS302_242_40.gif
/data/media/####/YS302_243_51.gif
/data/media/####/YS303_537_30.gif
/data/media/####/YS303_545_2.gif
/data/media/####/YS303_545_2_1.gif
/data/media/####/YS303_597_3.gif
/data/media/####/YS303_602_3.gif
/data/media/####/YS303_603_26.gif
/data/media/####/YS303_603_37.gif
/data/media/####/YS303_604_3.gif
/data/media/####/YS303_607_3.gif
/data/media/####/YS303_611_5.gif
/data/media/####/YS303_611_5_1.gif
/data/media/####/YS303_636_8.gif
/data/media/####/YS303_638_15.gif
/data/media/####/YS303_638_16.gif
/data/media/####/YS303_638_16_1.gif
/data/media/####/YS303_645_6.gif
/data/media/####/YS303_650_16.gif
/data/media/####/YS303_674_41.gif
/data/media/####/YS303_692_46.gif
/data/media/####/YS303_696_50.gif
/data/media/####/YS303_703_3.gif
/data/media/####/YS303_706_2.gif
/data/media/####/YS303_715_13.gif
/data/media/####/YS303_719_10.gif
/data/media/####/YS303_727_27.gif
/data/media/####/YS303_767_4.gif
/data/media/####/YS303_787_2.gif
/data/media/####/YS303_787_2_1.gif
/data/media/####/YS303_804_2.gif
/data/media/####/YS303_804_4.gif
/data/media/####/YS303_810_9.gif
/data/media/####/YS303_819_1.gif
/data/media/####/YS303_827_9.gif
/data/media/####/YS303_829_11.gif
/data/media/####/YS303_830_9.gif
/data/media/####/YS303_832_49.gif
/data/media/####/YS303_834_73.gif
/data/media/####/YS303_837_51.gif
/data/media/####/YS303_837_51_1.gif
/data/media/####/YS303_838_3.gif
/data/media/####/YS303_863_25.gif
/data/media/####/YS303_863_25_1.gif
/data/media/####/YS303_864_8.gif
/data/media/####/YS304_274_12_a.gif
/data/media/####/YS304_274_12_b.gif
/data/media/####/YS304_274_12_c.gif
/data/media/####/YS304_274_12_d.gif
/data/media/####/YS304_522_14.gif
/data/media/####/YS304_526_19_1.gif
/data/media/####/YS304_526_19_2.gif
/data/media/####/YS304_526_19_3.gif
/data/media/####/YS304_537_7.gif
/data/media/####/YS305_1406_16.gif
/data/media/####/YS305_1409_25.gif
/data/media/####/YS319_12_40.gif
/data/media/####/YS319_139_2.gif
/data/media/####/YS319_140_2.gif
/data/media/####/YS319_140_3.gif
/data/media/####/YS319_158_51.gif
/data/media/####/YS319_159_51.gif
/data/media/####/YS319_159_52.gif
/data/media/####/YS319_183_125.gif
/data/media/####/YS319_184_126.gif
/data/media/####/YS319_38_136.gif
/data/media/####/YS319_38_136_1.gif
/data/media/####/YS319_47_1.gif
/data/media/####/YS319_47_1_1.gif
/data/media/####/YS319_60_1.gif
/data/media/####/YS319_60_2.gif
/data/media/####/YS319_63_1.gif
/data/media/####/ZHIYEYISHI.db
/data/media/####/_i.gif
/data/media/####/a.gif
/data/media/####/a1.gif
/data/media/####/a2.gif
/data/media/####/b.gif
/data/media/####/b1.gif
/data/media/####/b2.gif
/data/media/####/chapterinfo.xml
/data/media/####/compass.xml
/data/media/####/d.gif
/data/media/####/e.gif
/data/media/####/everstarversion.xml
/data/media/####/is.gif
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/m.gif
/data/media/####/max.gif
/data/media/####/mu.gif
/data/media/####/p.gif
/data/media/####/zC.gif
/data/media/####/zH.gif
/data/media/####/zP.gif
/data/media/####/zX.gif
/data/media/####/z_3-1.gif
/data/media/####/zhuo.gif
/data/media/####/~+1.gif
/data/media/####/~+2.gif
/data/media/####/~+4.gif
/data/media/####/~+6.gif
/data/media/####/~-5.gif
/data/media/####/~11.gif
/data/media/####/~125.gif
/data/media/####/~13.gif
/data/media/####/~14+.gif
/data/media/####/~14.gif
/data/media/####/~15.gif
/data/media/####/~25+.gif
/data/media/####/~34.gif
/data/media/####/~4+.gif
/data/media/####/~41+.gif
/data/media/####/~6.gif
/data/media/####/~7.4-3.4.gif
/data/media/####/~7.gif
/data/media/####/~8+.gif
/data/media/####/~8.gif
/data/media/####/~99.gif
/data/media/####/~pKa-pH.gif
/data/misc/####/primary.prof

Miscellaneous:

Executes the following shell scripts:

chmod 755 /data/user/0/<Package>/files/libjiagu.so

Loads the following dynamic libraries:

libjiagu
libvinit

Uses the following algorithms to encrypt data:

AES-CBC-NoPadding

Uses special library to hide executable bytecode.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about APN settings.

Displays its own windows over windows of other apps.

Requests the system alert window permission.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial