Technical information
Malicious functions:
Executes code of the following detected threats:
- Android.RemoteCode.337.origin
Network activity:
Connects to:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) tp####.com:16310
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.2) 2####.85.233.94:443
- TCP e####.ar####.com:10013
- UDP tp####.com:16310
- UDP p####.google####.com:443
- TCP e####.ar####.com:10012
DNS requests:
- 2.and####.p####.####.org
- e####.ar####.com
- m####.go####.com
- p####.google####.com
- tp####.com
HTTP GET requests:
- tp####.com:16310/index.php/api2022/xsession/checkhwinfo?did=####&fingerp...
- tp####.com:16310/index.php/localboss/api/getinfo/MD272AC047254
File system changes:
Creates the following files:
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/61c871e63335f_EXgm.jpg
- /data/data/####/61c8721bedf6f_22S1.jpg
- /data/data/####/61c87b709473b_crgT.jpg
- /data/data/####/61c87ba5a0dfd_2exa.jpg
- /data/data/####/61c87c017e89c_3fvy.jpg
- /data/data/####/JS_CONFIG.xml
- /data/data/####/Preferences.xml
- /data/data/####/TVATA
- /data/data/####/TVATA-journal
- /data/data/####/Tvata.WAE.UISettings.xml
- /data/data/####/VatataKeyMove.js
- /data/data/####/VatataPublic.js
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/background.jpg
- /data/data/####/bg.jpg
- /data/data/####/bg.loc
- /data/data/####/bg_body.jpg
- /data/data/####/bg_bottom.png
- /data/data/####/bg_top.jpg
- /data/data/####/bg_top.png
- /data/data/####/btn.png
- /data/data/####/btnah.png
- /data/data/####/btnh.png
- /data/data/####/cate.js
- /data/data/####/charge.html
- /data/data/####/check.html
- /data/data/####/check_wintv.html
- /data/data/####/checkv.html
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.oat
- /data/data/####/cleardata.png
- /data/data/####/cloudy.png
- /data/data/####/cloudynight.png
- /data/data/####/com.tvata.ott.v2017.epmtv_preferences.xml
- /data/data/####/config.js
- /data/data/####/default.css
- /data/data/####/deviceinfo.js
- /data/data/####/drizzle.png
- /data/data/####/dusty.png
- /data/data/####/errordev.html
- /data/data/####/flurries.png
- /data/data/####/hail.png
- /data/data/####/haze.png
- /data/data/####/heavy-rain.png
- /data/data/####/ico_usb.png
- /data/data/####/ico_wifi.png
- /data/data/####/ico_wifi_1.png
- /data/data/####/ico_wifi_2.png
- /data/data/####/ico_wifi_3.png
- /data/data/####/index
- /data/data/####/index.html
- /data/data/####/itemf.png
- /data/data/####/jl_add.png
- /data/data/####/jomi.html
- /data/data/####/jomiapp.html
- /data/data/####/jquery.min.js
- /data/data/####/jsget.js
- /data/data/####/key.js
- /data/data/####/lan_fail.png
- /data/data/####/lan_ok.png
- /data/data/####/laoding.gif
- /data/data/####/libjiagu.so
- /data/data/####/libjiagu_64.so
- /data/data/####/lightning.png
- /data/data/####/line.png
- /data/data/####/loading.gif
- /data/data/####/loadingbg.jpg
- /data/data/####/locweather.js
- /data/data/####/log.png
- /data/data/####/logo.png
- /data/data/####/main.html
- /data/data/####/main_wintv.html
- /data/data/####/menubg.png
- /data/data/####/message.js
- /data/data/####/message.png
- /data/data/####/messagenum.js
- /data/data/####/metrics_guid
- /data/data/####/mostlycloudy.png
- /data/data/####/name
- /data/data/####/neterr.png
- /data/data/####/night.png
- /data/data/####/no.png
- /data/data/####/ok.png
- /data/data/####/partly-sunny.png
- /data/data/####/partlycloudy.png
- /data/data/####/peerconfig.ini
- /data/data/####/portal.css
- /data/data/####/portal.json
- /data/data/####/portaldata.js
- /data/data/####/proxy
- /data/data/####/proxy.js
- /data/data/####/qrcode.html
- /data/data/####/qrcode.min.js
- /data/data/####/rAQCmw9NdT_e0io5SyGUxg
- /data/data/####/rainny.png
- /data/data/####/recaction.js
- /data/data/####/refresh.png
- /data/data/####/report.js
- /data/data/####/seguisb.ttf
- /data/data/####/sleet.png
- /data/data/####/snowy.png
- /data/data/####/subportal.html
- /data/data/####/subportalv.html
- /data/data/####/sunny.png
- /data/data/####/syskey.js
- /data/data/####/the-real-index
- /data/data/####/thunderstorm.png
- /data/data/####/timedate.js
- /data/data/####/tornado.png
- /data/data/####/update_config.xml
- /data/data/####/usbstatus.js
- /data/data/####/version
- /data/data/####/version.json
- /data/data/####/version_all.json
- /data/data/####/vkkp2p.bin.so
- /data/data/####/vkkp2p64.bin.so
- /data/data/####/vline.png
- /data/data/####/wae_update.zip
- /data/data/####/waebo.xml
- /data/data/####/waebo.xml.bak
- /data/data/####/welcome.loc
- /data/data/####/wifi_normal.png
- /data/data/####/wifi_strong.png
- /data/data/####/wifi_super.png
- /data/data/####/wifi_weak.png
- /data/data/####/wifistatus.js
- /data/data/####/windy.png
- /data/data/####/wintvbg1.jpg
- /data/data/####/wljc.js
- /data/data/####/xtream.html
- /data/data/####/xtream_main.html
- /data/misc/####/primary.prof
Miscellaneous:
Executes the following shell scripts:
- iptables -L -n --line-number
Loads the following dynamic libraries:
- libjiagu_64
- vkkp2p.bin
- vkkp2p64.bin
Uses the following algorithms to encrypt data:
- RSA-ECB-PKCS1Padding
Uses the following algorithms to decrypt data:
- RSA-ECB-PKCS1Padding
Uses special library to hide executable bytecode.
Gets information about network.
Displays its own windows over windows of other apps.
Requests the system alert window permission.
