Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.c####.cn.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) www.c####.cn.####.com:443
- TCP(TLS/1.0) app.c####.cn:443
Запросы DNS:
- and####.b####.qq.com
- app.c####.cn
- mt####.go####.com
- plb####.u####.com
- u####.u####.com
- www.c####.cn
Запросы HTTP GET:
- www.c####.cn.####.com/static/images/product-v1.0/cdn-m.png
- www.c####.cn.####.com/static/images/product-v1.0/cloud-m.png
- www.c####.cn.####.com/static/images/product-v1.0/oos-m.png
- www.c####.cn.####.com/static/images/product-v1.0/yjgs-m.png
- www.c####.cn.####.com/static/images/product-yzj/dgzq.jpg
- www.c####.cn.####.com/static/images/product-yzj/dptc.jpg
- www.c####.cn.####.com/static/images/product-yzj/hzjdjt.jpg
- www.c####.cn.####.com/static/images/product-yzj/jhrj.jpg
- www.c####.cn.####.com/static/images/product-yzj/jiansheyinhang.jpg
- www.c####.cn.####.com/static/images/product-yzj/twyh.jpg
- www.c####.cn.####.com/static/images/product-yzj/wlj.jpg
- www.c####.cn.####.com/static/images/product-yzj/zgtj.jpg
- www.c####.cn.####.com/static/images/product-yzj/zgtt.jpg
- www.c####.cn.####.com/static/images/product-yzj/zjsrmzf.jpg
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-CacheDBManager-journal
- /data/data/####/-ECloud-journal
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/2f52c8917826ee2f68ac40f1f386e7fa0e48c028826589b....0.tmp
- /data/data/####/3d36833512b0b560af19645082eec976b277680087adabe....0.tmp
- /data/data/####/4a6d0fd7d413ea2cf606c713290c514d14456435834f314....0.tmp
- /data/data/####/4c6288d061878c3231dbd3eff42b0d77.0.tmp
- /data/data/####/4c6288d061878c3231dbd3eff42b0d77.1.tmp
- /data/data/####/4f1e7590ec508df1c6346837e1a8ee2f84bad0444144165....0.tmp
- /data/data/####/53d39136f3656de46429e319af0f427b69e65ea9787ce7e....0.tmp
- /data/data/####/548fc962b220e345525a119fd2cbfe1d.0.tmp
- /data/data/####/548fc962b220e345525a119fd2cbfe1d.1.tmp
- /data/data/####/5bee66a2c1cee33db796a093116f8d4b6858912439819ad....0.tmp
- /data/data/####/60c8f0a3ae4a55ff6279551496b0eba960a7b409bdf0149....0.tmp
- /data/data/####/721e23cd3091b3e027b71d3136f50dae.0.tmp
- /data/data/####/721e23cd3091b3e027b71d3136f50dae.1.tmp
- /data/data/####/762169efdd3ec69c39fdee6c96827572.0.tmp
- /data/data/####/762169efdd3ec69c39fdee6c96827572.1.tmp
- /data/data/####/77d9eecd8eeb62eb78e34c3faf51a77f3892a7225f7e403....0.tmp
- /data/data/####/8292c49865e48df395680ebfe78a702c.0.tmp
- /data/data/####/8292c49865e48df395680ebfe78a702c.1.tmp
- /data/data/####/8ac491cb08a52a5a8ee839d52ca01e77.0.tmp
- /data/data/####/8ac491cb08a52a5a8ee839d52ca01e77.1.tmp
- /data/data/####/904da37d32dea02e532d5d1bb992f672.0.tmp
- /data/data/####/904da37d32dea02e532d5d1bb992f672.1.tmp
- /data/data/####/9edd80ca87d5e39e25198c6340ae3a8408e995c27edc3e5....0.tmp
- /data/data/####/9ee7a746ae70ee25a679e7dcbdbf0ee0.0.tmp
- /data/data/####/9ee7a746ae70ee25a679e7dcbdbf0ee0.1.tmp
- /data/data/####/IMEI.xml
- /data/data/####/MultiDex.lock
- /data/data/####/Settings.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a==7.5.3&&1.2.1_1531844431376_envelope.log
- /data/data/####/b45c35feb378152e179261b2fe6662262a7a1c0bc588588....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c75a3d0b34096bdbbeb2355b389c2044.0.tmp
- /data/data/####/c75a3d0b34096bdbbeb2355b389c2044.1.tmp
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e6bca72fed24cd216f510883951454c4.0.tmp
- /data/data/####/e6bca72fed24cd216f510883951454c4.1.tmp
- /data/data/####/e7f71ed3e964c00bf42da306bbd6a94f.0.tmp
- /data/data/####/e7f71ed3e964c00bf42da306bbd6a94f.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/i==1.2.0&&1.2.1_1531844430657_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1671662011.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/restart_counter.xml
- /data/data/####/restart_counter.xml.bak
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/2087_com.ctg.itrdc.ecloud_16_20_30.mmap2
- /data/media/####/2087_com.ctg.itrdc.ecloud_16_20_30_20180717.xlog
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu-1671662011.so
- getprop
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- libjiagu-1671662011
- marsxlog
- stlport_shared
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
