Android.Backdoor.1337

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Backdoor.627.origin

Network activity:

Connecting to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) cdn.abcdse####.com.####.com:8080
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) cba.abcdse####.com:8888
TCP(TLS/1.0) bcd.abcdse####.com:9240
TCP(TLS/1.0) p####.ou####.com:4433
TCP(TLS/1.0) abc.abcdse####.com:8888

DNS requests:

abc.abcdse####.com
and####.b####.qq.com
bcd.abcdse####.com
cba.abcdse####.com
cdn.abcdse####.com
down####.007f####.com
p####.ou####.com

HTTP GET requests:

cdn.abcdse####.com.####.com:8080/group1/M01/00/00/ChtYq1mlDFaAJTUyAAHiKg...

HTTP POST requests:

and####.b####.qq.com/rqd/async?aid=####
cba.abcdse####.com:8888/log/biz

Modified file system:

Creates the following files:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/2078793401
/data/data/####/273091138.jar
/data/data/####/273091180.jar
/data/data/####/273091234.jar
/data/data/####/273091313.jar
/data/data/####/4278304db9792bc5c5cc1063fe7ee769.jar
/data/data/####/6f8a016be5e175b20bf96625ec0669e82072.temp
/data/data/####/bugly_db_-journal
/data/data/####/com.llq.linglingqihd2.BETA_VALUES.xml
/data/data/####/crashrecord.xml
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/security_info
/data/data/####/web2072.temp
/data/data/####/web2114.temp
/data/data/####/webview.db-journal
/data/media/####/7108537956afa2a526f96cc9da7b0c36_12.71
/data/media/####/7108537956afa2a526f96cc9da7b0c36_4.71
/data/media/####/Combined Shape.png
/data/media/####/Rectangle.png
/data/media/####/activity_banner.png
/data/media/####/activity_bg.png
/data/media/####/activity_buy.png
/data/media/####/activity_icon1.png
/data/media/####/activity_icon2.png
/data/media/####/activity_icon3.png
/data/media/####/activity_rule.png
/data/media/####/activity_subscript.png
/data/media/####/activity_subscript2.png
/data/media/####/activity_subscript3.png
/data/media/####/activity_title1.png
/data/media/####/activity_title2.png
/data/media/####/activitymain.png
/data/media/####/alipay.png
/data/media/####/apply.png
/data/media/####/applyBtn.png
/data/media/####/arrow_down.png
/data/media/####/arrow_right.png
/data/media/####/auth-credit.png
/data/media/####/auto_deduct_off.png
/data/media/####/auto_deduct_on.png
/data/media/####/banner.png
/data/media/####/bannerQuota.png
/data/media/####/bg.png
/data/media/####/bgColor.png
/data/media/####/blank_note.png
/data/media/####/blanknote-banner.png
/data/media/####/blanknote-graduate.png
/data/media/####/blanknote-hua.png
/data/media/####/bottom-line.png
/data/media/####/bounce.png
/data/media/####/boy_head.png
/data/media/####/btn_enter.png
/data/media/####/bundle-ver.meta
/data/media/####/button.png
/data/media/####/buy.png
/data/media/####/camera.png
/data/media/####/car-nomale.png
/data/media/####/card.png
/data/media/####/cash.png
/data/media/####/cashActivity.png
/data/media/####/cate1.png
/data/media/####/cate2.png
/data/media/####/cate35.png
/data/media/####/cate44.png
/data/media/####/cate45.png
/data/media/####/cate46.png
/data/media/####/cfg.xml
/data/media/####/close.png
/data/media/####/code_dialog.png
/data/media/####/company_logo.png
/data/media/####/confirm-document.png
/data/media/####/controls_approve_bar2@3x.png
/data/media/####/controls_approve_bar3@2x.png
/data/media/####/controls_approve_bar3@3x.png
/data/media/####/controls_approve_bar@2x.png
/data/media/####/controls_approve_bar@3x.png
/data/media/####/coupon-bg.png
/data/media/####/coupon-bg1.png
/data/media/####/coupon-bg2.png
/data/media/####/coupon-bgS.png
/data/media/####/coupon-expired.png
/data/media/####/coupon-fetched.png
/data/media/####/coupon-fetched1.png
/data/media/####/coupon-use.png
/data/media/####/credit-null.png
/data/media/####/creditCard.png
/data/media/####/creditRating.png
/data/media/####/default-head.png
/data/media/####/default-man-head.png
/data/media/####/detail.png
/data/media/####/empty-img.png
/data/media/####/empty.png
/data/media/####/evaluate.png
/data/media/####/favorite.png
/data/media/####/flash.png
/data/media/####/freeCoupon.png
/data/media/####/get-coupon.png
/data/media/####/getGift.png
/data/media/####/girl_head.png
/data/media/####/global.xml
/data/media/####/gold.png
/data/media/####/head_boy.png
/data/media/####/head_girl.png
/data/media/####/help.png
/data/media/####/hongbao.png
/data/media/####/ic-collection-normal.png
/data/media/####/ic-collection-selected.png
/data/media/####/ic-comment-normal.png
/data/media/####/ic-comment-selected.png
/data/media/####/ic-head-bg.png
/data/media/####/ic-head-bg2.png
/data/media/####/icon.png
/data/media/####/icon_approve_add.png
/data/media/####/icon_approve_idcard_negative.png
/data/media/####/icon_approve_idcard_positive.png
/data/media/####/icon_approve_student_select.png
/data/media/####/icon_approve_student_unselect.png
/data/media/####/icon_approve_work_select.png
/data/media/####/icon_approve_work_unselect.png
/data/media/####/icon_approve_xuexin.png
/data/media/####/icon_approve_yunying.png
/data/media/####/icon_approve_zhima.png
/data/media/####/icon_credit_linglingqi_byj.png
/data/media/####/icon_credit_linglingqi_lhh.png
/data/media/####/icon_credit_strip_byj.png
/data/media/####/icon_credit_strip_lhh.png
/data/media/####/icon_money.png
/data/media/####/icon_my_approve_lose.png
/data/media/####/icon_my_approve_status_noapplied.png
/data/media/####/icon_my_approve_status_nopass.png
/data/media/####/icon_my_approve_status_pass.png
/data/media/####/icon_my_approve_status_review.png
/data/media/####/icon_my_improve_gongjijin.png
/data/media/####/icon_my_improve_jingdong.png
/data/media/####/icon_my_improve_shebao.png
/data/media/####/icon_my_improve_taobao.png
/data/media/####/icon_my_improve_weixin.png
/data/media/####/icon_my_improve_yinhangliushui.png
/data/media/####/icon_my_improve_zhifubao.png
/data/media/####/icon_recharge.png
/data/media/####/icon_refund.png
/data/media/####/image_approve_background.jpg
/data/media/####/image_approve_identify.png
/data/media/####/image_approve_identify_tick.png
/data/media/####/image_approve_nopass.png
/data/media/####/image_credit_cardbg_biyejin.png
/data/media/####/image_credit_cardbg_linghuahua.png
/data/media/####/image_my_approve_banner.jpg
/data/media/####/image_my_approve_lose.png
/data/media/####/image_my_improve_banner.jpg
/data/media/####/image_my_quota_nothing.png
/data/media/####/image_pay_success.png
/data/media/####/image_select_identity.png
/data/media/####/img_submit_success.png
/data/media/####/index.jsbundle
/data/media/####/index.jsbundle.meta
/data/media/####/informationAuth.png
/data/media/####/internship.png
/data/media/####/invit.png
/data/media/####/invitePig.png
/data/media/####/invite_reward.png
/data/media/####/invite_rule.png
/data/media/####/invited_reward.png
/data/media/####/invited_reward_bg.png
/data/media/####/jd.png
/data/media/####/label-jd.png
/data/media/####/label-wy.png
/data/media/####/label-yx.png
/data/media/####/loading-normal.gif
/data/media/####/loading.gif
/data/media/####/msg.png
/data/media/####/my-advice.png
/data/media/####/my-bill.png
/data/media/####/my-card.png
/data/media/####/my-coupon.png
/data/media/####/my-identification.png
/data/media/####/my-join.png
/data/media/####/my-order.png
/data/media/####/my-red.png
/data/media/####/my-student.png
/data/media/####/my-wallet.png
/data/media/####/myCoupon-bg1.png
/data/media/####/myCoupon-bg2.png
/data/media/####/myRed-bg1.png
/data/media/####/myWork.png
/data/media/####/myfriends.png
/data/media/####/myjob.png
/data/media/####/myvisitcode.png
/data/media/####/nav-aging-selected.png
/data/media/####/nav-aging.png
/data/media/####/nav-blanknote-selected.png
/data/media/####/nav-blanknote.png
/data/media/####/nav-earn-selected.png
/data/media/####/nav-earn.png
/data/media/####/nav-enter-selected.png
/data/media/####/nav-enter.png
/data/media/####/nav-profile-selected.png
/data/media/####/nav-profile.png
/data/media/####/norealname.png
/data/media/####/notice.png
/data/media/####/person.png
/data/media/####/phone.png
/data/media/####/pig.png
/data/media/####/plcfg.xml
/data/media/####/pluralize.png
/data/media/####/prompt.png
/data/media/####/punchCard.png
/data/media/####/qq.png
/data/media/####/qrcode.png
/data/media/####/quotaBanner.png
/data/media/####/qzone.png
/data/media/####/ranking_bg.png
/data/media/####/ranking_d.png
/data/media/####/ranking_m.png
/data/media/####/ranking_w.png
/data/media/####/recharge.png
/data/media/####/red.png
/data/media/####/renren.png
/data/media/####/repay.png
/data/media/####/resume.png
/data/media/####/rule_dialog.png
/data/media/####/safety.png
/data/media/####/sale.png
/data/media/####/scratchBtn.png
/data/media/####/shidaitu-banner.png
/data/media/####/slide-bg1.png
/data/media/####/slide-bg2.png
/data/media/####/slide-bg3.png
/data/media/####/slide-bg4.png
/data/media/####/task-banner.png
/data/media/####/task-do-background.png
/data/media/####/task.png
/data/media/####/timeline.png
/data/media/####/title_invited_reward.png
/data/media/####/title_ranking.png
/data/media/####/title_withdraw.png
/data/media/####/topic-banner.png
/data/media/####/topic-like-select.png
/data/media/####/topic-like-unselect.png
/data/media/####/txwb.png
/data/media/####/userlogo.png
/data/media/####/visitfriend.png
/data/media/####/walmart.png
/data/media/####/web.apk
/data/media/####/webadlist_1.cache
/data/media/####/webadlist_1.xml
/data/media/####/webadlist_1_last.cache
/data/media/####/webinfo.xml
/data/media/####/weibo.png
/data/media/####/weixin-code.jpg
/data/media/####/weixin.png
/data/media/####/withdraw_arrow.png
/data/media/####/withdraw_bg.png
/data/media/####/wxbanner.png

Miscellaneous:

Executes next shell scripts:

/system/bin/sh -c getprop
/system/bin/sh -c type su
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop

Loads the following dynamic libraries:

Bugly
libjiagu

Uses the following algorithms to encrypt data:

AES-GCM-NoPadding
DES-ECB-NoPadding
Des-ECB-NoPadding
RSA-ECB-PKCS1Padding

Uses the following algorithms to decrypt data:

AES-GCM-NoPadding
DES-ECB-NoPadding
Des-ECB-NoPadding

Uses special library to hide executable bytecode.

Gains access to telephone information (number, imei, etc.).

Gains access to information about installed applications.

Tecnologie

Termini

Formazione ed informazione

Falsi miti

Technical information

Curing recommendations

Free trial