Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) www.ppz####.com:80
- TCP(HTTP/1.1) apilo####.a####.com:80
- TCP(HTTP/1.1) cdn.ppz####.cn:80
- TCP(HTTP/1.1) st####.ppz####.com:80
- TCP(HTTP/1.1) s####.startca####.com:80
- TCP(HTTP/1.1) oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) www.google-####.com:80
- TCP(HTTP/1.1) s####.j####.cn:80
- TCP(HTTP/1.1) m.ppz####.com:80
- TCP(TLS/1.0) api.ppz####.com:443
- TCP(TLS/1.0) tag.b####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) s####.tc.qq.com:443
- TCP 1####.229.215.54:7003
- UDP s.j####.cn:19000
Запросы DNS:
- api####.a####.com
- api.ppz####.com
- api.startca####.com
- cdn.ppz####.cn
- hm.b####.com
- i####.startca####.com
- m.ppz####.com
- m.startca####.com
- oss-cn-####.aliy####.com
- r####.wx.qq.com
- s####.j####.cn
- s####.startca####.com
- s.j####.cn
- ssl.google-####.com
- st####.ppz####.com
- tag.b####.com
- www.google-####.com
- www.ppz####.com
Запросы HTTP GET:
- cdn.ppz####.cn/img/1609/2/160928b4c92de002.png
- cdn.ppz####.cn/img/1609/5/160951b4be4f3eb2.png
- cdn.ppz####.cn/img/1609/8/160981b4c3e8f4e2.png
- cdn.ppz####.cn/img/1609/8/160984b4b8cf49c2.png
- cdn.ppz####.cn/img/1612/8/16128118f6cb3801.jpg
- cdn.ppz####.cn/img/1612/8/161283210fa67971.jpg
- cdn.ppz####.cn/img/1612/9/1612981f29562bd1.jpg
- hm.b####.com/hm.gif?cc=####&cf=####&ci=####&ck=####&cl=####&cp=####&cu=#...
- hm.b####.com/hm.js?0eb8eb5####
- m.ppz####.com/bj/changzu/?refer=####&utm_source=####&utm_medium=####&utm...
- m.ppz####.com/dars/collect?brand=####&model=####&os=####&os_version=####...
- m.ppz####.com/static/hybrid/common/ga/ga.fb8e7a2c.js
- m.ppz####.com/static/hybrid/common/layout/base/base.d41d8cd9.css
- m.ppz####.com/static/hybrid/common/layout/static_page_layout/static_page...
- m.ppz####.com/static/hybrid/common/pkg/common_widget.5be6cf09.js
- m.ppz####.com/static/hybrid/common/pkg/common_widget.6bd43d00.css
- m.ppz####.com/static/hybrid/common/ui/animate.e01ac58e.css
- m.ppz####.com/static/hybrid/common/ui/font/icomoon.3aa98694.ttf
- m.ppz####.com/static/hybrid/common/ui/font/icomoon.5f814a4c.svg
- m.ppz####.com/static/hybrid/common/ui/global.9d49977b.css
- m.ppz####.com/static/hybrid/common/ui/icomoon.3ec89309.css
- m.ppz####.com/static/hybrid/huodong/layout/ua-parser/ua-parser.3ad6566b.js
- m.ppz####.com/static/hybrid/huodong/layout/ua-parser/up-deviceInfo.f6dd4...
- m.ppz####.com/static/hybrid/huodong/page/long_rent/images/icons/selectBg...
- m.ppz####.com/static/hybrid/huodong/page/long_rent/images/new_LR-959/go_...
- m.ppz####.com/static/hybrid/huodong/page/long_rent/images/new_LR-959/new...
- m.ppz####.com/static/hybrid/huodong/page/long_rent/index.604771bc.js
- m.ppz####.com/static/hybrid/huodong/page/long_rent/index.7494bcd7.css
- m.ppz####.com/static/hybrid/huodong/pkg/huodong_widget_pkg.40e1601a.css
- m.ppz####.com/static/hybrid/huodong/pkg/huodong_widget_pkg.7f61a44f.js
- m.ppz####.com/thirdPlugin/weiChatApi?fr=http://m.startcarlife.com/bj/cha...
- oss-cn-####.aliy####.com/icarsclub-img/img/common/android.1495528467334....
- s####.startca####.com/w/dcs.gif?utmwv=5.5.3&utms=1&utmn=743581759&utmhn=...
- s####.startca####.com/w/dcs.gif?utmwv=5.5.3&utms=2&utmn=1497354933&utmhn...
- st####.ppz####.com/apps/start/6.4.1/start_6.4.1.apk
- www.google-####.com/__utm.gif?utmwv=5.5.3&utms=1&utmn=743581759&utmhn=m....
- www.google-####.com/__utm.gif?utmwv=5.5.3&utms=2&utmn=1497354933&utmhn=m...
- www.ppz####.com/m/longrent/salecars?refer=####&utm_source=####&utm_mediu...
Запросы HTTP POST:
- apilo####.a####.com/v3/log/init
- s####.j####.cn/v2/report
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1215165014-620872683
- /data/data/####/-2033244966-1123752176
- /data/data/####/-2033244966-1194700699
- /data/data/####/-841494985-286274373
- /data/data/####/-841494985816380558
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1011919181640866273
- /data/data/####/32833897223516981
- /data/data/####/32833897521973578
- /data/data/####/582550395-546382592
- /data/data/####/582550395557009974
- /data/data/####/JPushSA_Config.xml
- /data/data/####/PP_Analytics.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.icarsclub.android_preferences.xml
- /data/data/####/configuration
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v2.db-journal
- /data/data/####/home_config1
- /data/data/####/home_config110100
- /data/data/####/icarsclub.db-journal
- /data/data/####/index
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/last_know_location.xml
- /data/data/####/libjiagu.so
- /data/data/####/libjiagu316129198.so
- /data/data/####/mobclick_agent_cached_com.icarsclub.android315
- /data/data/####/multidex.version.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1015368352.tmp
- /data/media/####/-1127702118.tmp
- /data/media/####/-1808295674.tmp
- /data/media/####/-508628387.tmp
- /data/media/####/.push_deviceid
- /data/media/####/108369878.tmp
- /data/media/####/15317691548326.4.1.apk
- /data/media/####/15317691625716.4.1.apk
- /data/media/####/1805742696.tmp
- /data/media/####/5.1.7.ppk
- /data/media/####/645675797.tmp
- /data/media/####/app_common_widget_resource_ic_arrow_left.png
- /data/media/####/app_project_example_widget_resource_ic_browse_at.png
- /data/media/####/app_project_example_widget_resource_ic_browse_mt.png
- /data/media/####/app_project_example_widget_resource_ic_carlist_subway.png
- /data/media/####/app_project_ppzuche_images_empty_car.png
- /data/media/####/app_project_ppzuche_images_fav_car.jpg
- /data/media/####/app_project_ppzuche_images_phone.png
- /data/media/####/app_project_ppzuche_images_rightbtn.png
- /data/media/####/app_project_ppzuche_images_sms.png
- /data/media/####/com.icarsclub.android
- /data/media/####/index.bundlejs
- /data/media/####/index.bundlejs.meta
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/node_modules_reactnative_libraries_customcompo...on.png
- /data/media/####/uuid_58e6204d-fd1f-4c2f-9e11-5a29c836019d
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu316129198.so
Загружает динамические библиотеки:
- jpush215
- libjiagu
- libjiagu316129198
- libppzuche
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
