Android.Backdoor.2101

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.2.origin
Android.Backdoor.627.origin

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) plg.abcdse####.com:7901
TCP(HTTP/1.1) p####.ou####.com:9230
TCP(HTTP/1.1) abc.abcdse####.com:7901
TCP(HTTP/1.1) a.appj####.com:80
TCP(TLS/1.0) 1####.217.168.206:443

DNS requests:

a.appj####.com
abc.abcdse####.com
down####.007f####.com
p####.ou####.com
plg.abcdse####.com

HTTP POST requests:

a.appj####.com/ad-service/ad/mark
a.appj####.com/jiagu/check/upgrade
abc.abcdse####.com:7901/
p####.ou####.com:9230/
plg.abcdse####.com:7901/pl/config

File system changes:

Creates the following files:

/data/anr/traces.txt
/data/com.llq.linglingqihd/####/178322363.dex
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/178321607.jar
/data/data/####/178321653.jar
/data/data/####/178321704.jar
/data/data/####/178321736.jar
/data/data/####/178321790.jar
/data/data/####/178321833.dex
/data/data/####/178321833.jar
/data/data/####/178321883.jar
/data/data/####/178321915.jar
/data/data/####/178321978.jar
/data/data/####/178322019.dex
/data/data/####/178322019.jar
/data/data/####/178322068.jar
/data/data/####/178322100.jar
/data/data/####/178322153.jar
/data/data/####/178322199.dex
/data/data/####/178322199.jar
/data/data/####/178322262.jar
/data/data/####/178322298.jar
/data/data/####/178322363.jar
/data/data/####/178322391.jar
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/monitor.so
/data/data/####/multidex.version.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/web1.dex
/data/data/####/web1.jar
/data/data/####/web2283.temp
/data/data/####/web2283.temp (deleted)
/data/data/####/web2311.temp
/data/data/####/web2376.temp
/data/data/####/web2412.temp
/data/data/####/web2475.temp
/data/data/####/web2521.temp
/data/data/####/web2574.temp
/data/data/####/web2606.temp
/data/data/####/web2655.temp
/data/data/####/web2696.temp
/data/data/####/web2759.temp
/data/data/####/web2791.temp
/data/data/####/web2841.temp
/data/data/####/web2884.temp
/data/data/####/web2938.temp
/data/data/####/web2970.temp
/data/data/####/web3021.temp
/data/data/####/web3067.temp
/data/media/####/0acd8e86a03edb1437c7a65bc152d4bf_1.0a
/data/media/####/Combined Shape.png
/data/media/####/Rectangle.png
/data/media/####/activity_banner.png
/data/media/####/activity_bg.png
/data/media/####/activity_buy.png
/data/media/####/activity_icon1.png
/data/media/####/activity_icon2.png
/data/media/####/activity_icon3.png
/data/media/####/activity_rule.png
/data/media/####/activity_subscript.png
/data/media/####/activity_subscript2.png
/data/media/####/activity_subscript3.png
/data/media/####/activity_title1.png
/data/media/####/activity_title2.png
/data/media/####/activitymain.png
/data/media/####/alipay.png
/data/media/####/applyBtn.png
/data/media/####/auth-complete.png
/data/media/####/auth-credit-tip.png
/data/media/####/auth-credit.png
/data/media/####/auth-four.png
/data/media/####/auth-graduate.png
/data/media/####/auth-mobile.png
/data/media/####/auth-one.png
/data/media/####/auth-three.png
/data/media/####/auth-two.png
/data/media/####/auth-weixin.png
/data/media/####/auth-xuexin.png
/data/media/####/banner.png
/data/media/####/bannerQuota.png
/data/media/####/bg.png
/data/media/####/bgColor.png
/data/media/####/blank_note.png
/data/media/####/blanknote-banner.png
/data/media/####/blanknote-graduate.png
/data/media/####/blanknote-hua.png
/data/media/####/bottom-line.png
/data/media/####/bounce.png
/data/media/####/boy_head.png
/data/media/####/bundle-ver.meta
/data/media/####/button.png
/data/media/####/buy.png
/data/media/####/camera.png
/data/media/####/car-nomale.png
/data/media/####/card.png
/data/media/####/cash.png
/data/media/####/cashActivity.png
/data/media/####/cate1.png
/data/media/####/cate2.png
/data/media/####/cate35.png
/data/media/####/cate44.png
/data/media/####/cate45.png
/data/media/####/cate46.png
/data/media/####/cfg.xml
/data/media/####/close.png
/data/media/####/company_logo.png
/data/media/####/confirm-document.png
/data/media/####/coupon-bg.png
/data/media/####/coupon-bg1.png
/data/media/####/coupon-bg2.png
/data/media/####/coupon-bgS.png
/data/media/####/coupon-expired.png
/data/media/####/coupon-fetched.png
/data/media/####/coupon-fetched1.png
/data/media/####/coupon-use.png
/data/media/####/credit-null.png
/data/media/####/creditCard.png
/data/media/####/creditRating.png
/data/media/####/cutoff_5.png
/data/media/####/cutoff_7.png
/data/media/####/cutoff_8.png
/data/media/####/cutoff_link.png
/data/media/####/cutoff_title.png
/data/media/####/default-head.png
/data/media/####/default-man-head.png
/data/media/####/detail.png
/data/media/####/empty-img.png
/data/media/####/empty.png
/data/media/####/evaluate.png
/data/media/####/favorite.png
/data/media/####/freeCoupon.png
/data/media/####/game.png
/data/media/####/get-coupon.png
/data/media/####/getGift.png
/data/media/####/girl_head.png
/data/media/####/global.xml
/data/media/####/goodsCoupon.png
/data/media/####/h_line.png
/data/media/####/hand_identity_no.jpg
/data/media/####/help.png
/data/media/####/hongbao.png
/data/media/####/icon.png
/data/media/####/idbackground.png
/data/media/####/idenitity_no.jpg
/data/media/####/identity_no_back.jpg
/data/media/####/index.jsbundle
/data/media/####/index.jsbundle.meta
/data/media/####/informationAuth.png
/data/media/####/internship.png
/data/media/####/invit.png
/data/media/####/invitePig.png
/data/media/####/jd.png
/data/media/####/label-jd.png
/data/media/####/label-wy.png
/data/media/####/loading-normal.gif
/data/media/####/loading.gif
/data/media/####/lucky.png
/data/media/####/mobile_1.png
/data/media/####/mobile_2.png
/data/media/####/mobile_3.png
/data/media/####/mobile_4.png
/data/media/####/mobile_5.png
/data/media/####/mobile_6.png
/data/media/####/mobile_banner.png
/data/media/####/mobile_nav.png
/data/media/####/mobile_nav2.png
/data/media/####/mobile_title.png
/data/media/####/my-advice.png
/data/media/####/my-bill.png
/data/media/####/my-card.png
/data/media/####/my-coupon.png
/data/media/####/my-identification.png
/data/media/####/my-join.png
/data/media/####/my-order.png
/data/media/####/my-red.png
/data/media/####/my-student.png
/data/media/####/my-wallet.png
/data/media/####/myCoupon-bg1.png
/data/media/####/myCoupon-bg2.png
/data/media/####/myRed-bg1.png
/data/media/####/myWork.png
/data/media/####/myfriends.png
/data/media/####/myjob.png
/data/media/####/myvisitcode.png
/data/media/####/nav-aging-selected.png
/data/media/####/nav-aging.png
/data/media/####/nav-blanknote-selected.png
/data/media/####/nav-blanknote.png
/data/media/####/nav-earn-selected.png
/data/media/####/nav-earn.png
/data/media/####/nav-enter-selected.png
/data/media/####/nav-enter.png
/data/media/####/nav-profile-selected.png
/data/media/####/nav-profile.png
/data/media/####/newExclusive.png
/data/media/####/norealname.png
/data/media/####/notice.png
/data/media/####/party_1.png
/data/media/####/party_2.png
/data/media/####/party_3.png
/data/media/####/party_4.png
/data/media/####/party_5.png
/data/media/####/party_6.png
/data/media/####/party_7.png
/data/media/####/party_8.png
/data/media/####/party_title.png
/data/media/####/phone.png
/data/media/####/pig.png
/data/media/####/plcfg.xml
/data/media/####/pluralize.png
/data/media/####/prompt.png
/data/media/####/punchCard.png
/data/media/####/qq.png
/data/media/####/quotaBanner.png
/data/media/####/qzone.png
/data/media/####/recharge.png
/data/media/####/red.png
/data/media/####/redCoupon.png
/data/media/####/renren.png
/data/media/####/repay.png
/data/media/####/resume.png
/data/media/####/safety.png
/data/media/####/sale.png
/data/media/####/scratchBtn.png
/data/media/####/share1.png
/data/media/####/share2.png
/data/media/####/shidaitu-banner.png
/data/media/####/slide-bg1.png
/data/media/####/slide-bg2.png
/data/media/####/slide-bg3.png
/data/media/####/slide-bg4.png
/data/media/####/step1_1.png
/data/media/####/step1_2.png
/data/media/####/step2_1.png
/data/media/####/step2_2.png
/data/media/####/step3_1.png
/data/media/####/step3_2.png
/data/media/####/student_id.jpg
/data/media/####/sub1_1.png
/data/media/####/sub1_2.png
/data/media/####/sub1_3.png
/data/media/####/sub1_4.png
/data/media/####/sub1_5.png
/data/media/####/sub1_6.png
/data/media/####/sub1_7.png
/data/media/####/sub2_1.png
/data/media/####/sub2_2.png
/data/media/####/sub2_3.png
/data/media/####/sub2_4.png
/data/media/####/sub2_5.png
/data/media/####/sub2_6.png
/data/media/####/sub3_1.png
/data/media/####/sub3_2.png
/data/media/####/sub3_3.png
/data/media/####/sub3_4.png
/data/media/####/sub3_5.png
/data/media/####/sub3_6.png
/data/media/####/sub_title1.png
/data/media/####/sub_title2.png
/data/media/####/sub_title3.png
/data/media/####/sub_title4.png
/data/media/####/task-banner.png
/data/media/####/task-do-background.png
/data/media/####/task.png
/data/media/####/tick.png
/data/media/####/timeline.png
/data/media/####/txwb.png
/data/media/####/userlogo.png
/data/media/####/v_line.png
/data/media/####/visitfriend.png
/data/media/####/walmart.png
/data/media/####/webadlist.xml
/data/media/####/webinfo.xml
/data/media/####/weibo.png
/data/media/####/weixin-code.jpg
/data/media/####/weixin.png
/data/media/####/weixinAuth.png
/data/media/####/work_certificate.png
/data/media/####/wxbanner.png
/data/media/####/xuexin.png
/data/media/####/xuexin_or_entrance.jpg
/data/media/####/zmxy.png

Miscellaneous:

Executes the following shell scripts:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.generally.ItsService
chmod 755 <Package Folder>/.jiagu/libjiagu.so

Loads the following dynamic libraries:

libjiagu
monitor

Uses the following algorithms to encrypt data:

DES-ECB-NoPadding

Uses the following algorithms to decrypt data:

DES-ECB-NoPadding

Uses special library to hide executable bytecode.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Displays its own windows over windows of other apps.

Technologies

Begriffe

Schulung und Training

Mythen

Technical information

Curing recommendations

Free trial