Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.1.origin
- Android.DownLoader.589.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 52.52.2####.56:80
- TCP(HTTP/1.1) subscri####.mo####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) m.mo####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) go.hotw####.top:80
- TCP(HTTP/1.1) cdn.app.kac####.####.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- a####.u####.com
- a.appj####.com
- c####.g####.ig####.com
- cdn.app.kac####.cn
- cdn.game####.org
- go.hotw####.top
- loc.map.b####.com
- m.mo####.com
- p####.mo####.com
- s####.map.b####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- subscri####.mo####.com
Запросы HTTP GET:
- cdn.app.kac####.####.com/sfile/201805/17/all/cp_V2.8.5.txt
- cdn.game####.org/strategy/UnknownDev
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/larger4.3
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdn.game####.org/strategy/symlink-adbd
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- go.hotw####.top/cpgg/e/bgm/ot
- go.hotw####.top/cpgg/lqm/iasiy
- go.hotw####.top/cpgg/mri/h
- go.hotw####.top/cpgg/ohy/unof
- go.hotw####.top/cpgg/oofla/tgwvn
- go.hotw####.top/cpgg/rc/dtnm
- go.hotw####.top/cpgg/tuzo/jz/t
- go.hotw####.top/cpgg/uqt/rszbx/ouedl
- go.hotw####.top/cpgg/va/g
- go.hotw####.top/sdf/a
- go.hotw####.top/sdf/ibvmb
- go.hotw####.top/sdf/v
- loc.map.b####.com/sdk.php
- m.mo####.com/search/subscription
- sdk.o####.p####.####.com/api.php?action=####&format=####
- sdk.o####.p####.####.com/api.php?action=####&session_last=####&format=##...
- subscri####.mo####.com/api/v1
- subscri####.mo####.com/user/put
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/0cdc2430-f853-4acf-be3e-20bde6d307a4
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/1808ba75-6d4e-47fa-aacb-6593d8cfe05b
- /data/data/####/1eea7eca-8a79-4e86-a563-2cb859472168
- /data/data/####/209c5507-0a61-4a1d-b8de-307784f13418
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/3cec9102-af97-4a63-9ad2-c72f1364ba4c
- /data/data/####/70c710ad-5416-48af-b878-cd3012d10c8e
- /data/data/####/71a434c5-7d47-45fd-9b07-89545213591b
- /data/data/####/74e6fb79-bc99-4b35-82fb-f15bb96d2ac1
- /data/data/####/84de3928-8230-4da0-b04b-ee67cf17587a
- /data/data/####/8b6f263391259b7a8e5f58ee71852ca8
- /data/data/####/9840fcf4-f909-4d93-bdcc-e7f6b4f6b114
- /data/data/####/9cfde102-4431-43b2-b1c3-2dec88eab744
- /data/data/####/9d506648-6de9-4a93-a7cf-b3abbd2453ab
- /data/data/####/9ebc03d8-1452-4244-8632-b4eb9c7f3040
- /data/data/####/CMRequire.dat
- /data/data/####/DVDirectory.cfg
- /data/data/####/DVHotcity.cfg
- /data/data/####/DVVersion.cfg
- /data/data/####/DeviceManager.xml
- /data/data/####/Matrix
- /data/data/####/ResPack.rs
- /data/data/####/SUBOXLOG_
- /data/data/####/VerDatset.dat
- /data/data/####/a04ae558-6cc9-4da0-a447-2bbffa0a5493
- /data/data/####/a613f39f-2752-4cd9-b25d-8d21dfd4409f
- /data/data/####/aa4e1c7f-c132-4158-a051-f0e176a1f6f4
- /data/data/####/applicationId
- /data/data/####/b0141e478b25af7c40a8cca8de6c4708
- /data/data/####/b18a021d11a3004d25017230b681476b
- /data/data/####/bac83982-7d14-4b5e-9e2a-2164f5e2561b
- /data/data/####/be547640-bd51-4c9d-962a-cab506812971
- /data/data/####/bids.xml
- /data/data/####/c61913b615fb6224701377a119081f36
- /data/data/####/checker.jar
- /data/data/####/chumenwenwen.db-journal
- /data/data/####/cj.jar
- /data/data/####/d136415c-f0c7-4f42-b23f-f8566acad9de
- /data/data/####/d9ae3f5d-e9e8-43ac-b524-e74038976d37
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/eq.jar
- /data/data/####/ff215cab-74d6-4e07-a1b6-33468b5feffe
- /data/data/####/fileWork
- /data/data/####/gxdbapp.db-journal
- /data/data/####/gxsdkdb.db
- /data/data/####/gxsdkdb.db-journal
- /data/data/####/imei.dat
- /data/data/####/install-recovery.sh
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kr.xml
- /data/data/####/kr.xml.bak
- /data/data/####/libjiagu.so
- /data/data/####/mapstyle.sty
- /data/data/####/mobclick_agent_header_com.gdfsfdg.fgfds.xml
- /data/data/####/mobclick_agent_state_com.gdfsfdg.fgfds.xml
- /data/data/####/nu.jar
- /data/data/####/pidof
- /data/data/####/qsb.xml
- /data/data/####/root3
- /data/data/####/satellitestyle.sty
- /data/data/####/stop.lock
- /data/data/####/su
- /data/data/####/subox.xml
- /data/data/####/subscription.xml
- /data/data/####/supolicy
- /data/data/####/sz.jar
- /data/data/####/t_u.db-journal
- /data/data/####/toolbox
- /data/data/####/trafficstyle.sty
- /data/data/####/uy.jar
- /data/data/####/ver.dat
- /data/data/####/wsroot.sh
- /data/data/####/wv.xml
- /data/media/####/.cuid
- /data/media/####/V2.8.5.txt
- /data/media/####/app.db
- /data/media/####/com.gdfsfdg.fgfds.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/imsi.db
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- BaiduMapSDK_v2_3_5
- _oktko240
- _uqy429
- _vs950
- libjiagu
- locSDK3
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
