Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) n####.tu####.me:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) a####.b####.com:80
- TCP(HTTP/1.1) 1####.144.131.205:80
- TCP(HTTP/1.1) 1####.144.131.204:80
- TCP(HTTP/1.1) gt####.win:80
- TCP(HTTP/1.1) 1####.144.131.206:80
- TCP(TLS/1.0) kln.g####.sina####.com:443
- TCP(TLS/1.0) p####.126.net:443
- TCP(TLS/1.0) www.p####.com:443
Запросы DNS:
- a####.b####.com
- a####.u####.com
- gt####.win
- n####.tu####.me
- n.sin####.cn
- p####.126.net
- www.p####.com
Запросы HTTP GET:
- a####.b####.com/libs/zepto/1.1.4/zepto.min.js
- gt####.win/huodong/banner/201807020938/banner.jpg
- gt####.win/huodong/banner/201807020938/images/background.jpg
- gt####.win/huodong/banner/201807020938/index.html?mobile=####
- gt####.win/huodong/banner/201807020938/js/jquery.min.js
- gt####.win/huodong/banner/201807021659/banner.jpg
- gt####.win/huodong/banner/201807170944/banner.jpg
- gt####.win/huodong/floatnews/201807041716.png
- gt####.win/huodong/myActivities/new7Day2/7day.jpg
- n####.tu####.me/QhWebNewsServer/api/live/top?apiLevel=####&channel=####&...
- n####.tu####.me/QhWebNewsServer/api/main/new?species=####&version=####&a...
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1249180243-1606056690
- /data/data/####/-166785743-507589160
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1925662694-1243770200
- /data/data/####/20e4f307d8424153cf65ac063f5d5e802f26fe5847742d8....0.tmp
- /data/data/####/2fbad5c2d1a0137e00dccdff591e41d936569415668edaa....0.tmp
- /data/data/####/3803193961827586920
- /data/data/####/3e56d22866c224467c80e4f3a6bd1eeaa03f445310f7abc....0.tmp
- /data/data/####/443329867-824318156
- /data/data/####/4a37f607854863c6d3d8367be1a4bec3b060610ead39993....0.tmp
- /data/data/####/79abdcd8c569c826599d01a3f2647ed41b378557dc7ca10....0.tmp
- /data/data/####/7d582c30cc69ac6653eabd16d94aa8ef5f89caee838faea....0.tmp
- /data/data/####/7eb91dd7d761901cdfa9eaacd128cb0b5d1346ab55e946a....0.tmp
- /data/data/####/8583240351293699139
- /data/data/####/8836f206afbdd6d960c55ec41d549135bd1d60a714f7d3c....0.tmp
- /data/data/####/8ea2219fc8935553aa934e0a9142da0f632c1dab852f62d....0.tmp
- /data/data/####/954bb2c50cab1061beb34be1fae375243111f06d3c2c59f....0.tmp
- /data/data/####/9a284f18e8e6ce6107f97aa0b6f2ba92db186d28636ca1c....0.tmp
- /data/data/####/AntSPUtil.xml
- /data/data/####/a886e2c87cc9d8a4faf637f35034c9eaa21755d76d2c3f2....0.tmp
- /data/data/####/aa00ef8479fa614d692e7551e548dbb4ee791a8100e031e....0.tmp
- /data/data/####/b4dd810d29e4a1fa2d57cd3b798a068a06cb70c6e6769b1....0.tmp
- /data/data/####/b652ce4e99ef5d57d39b74e8491bba27df303bb91ffe187....0.tmp
- /data/data/####/c0e3b4cce1c3c303a518298a1ccbad4fb9351ef3d646d44....0.tmp
- /data/data/####/c73e6ea3f866d4baab5ae58b15fb2f4e344312ab9c5b774....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ce4985ab7bdd2f4292b54a28f5dc846bcf1e32f1e5b5476....0.tmp
- /data/data/####/d1515628d2ca03963a3ebb6e37e552a52e36b8e19259dc7....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e43135c258d7068f6cca21758e517b7a25cc1b066f09018....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/pgyersdk.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-ISO10126Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-ISO10126Padding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
