Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.f####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) ad.tou####.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) sni.c####.q####.####.net:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) www.f####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- ad.tou####.com
- api.w####.com
- c####.g####.ig####.com
- c-h####.g####.com
- c.appj####.com
- cgi.con####.qq.com
- pi####.qq.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.f####.com
Запросы HTTP GET:
- ad.tou####.com/link_monitor/cdn_failed?web_url=http://www.fuawa.com/inde...
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- sni.c####.q####.####.net/config/hz-hzv3.conf
- sni.c####.q####.####.net/tdata_Soq141
- sni.c####.q####.####.net/tdata_vxj811
- t####.c####.q####.####.com/tdata_EDT356
- www.f####.com/Public/static/jfmobile/css/css.css
- www.f####.com/Public/static/jfmobile/css/mui.min.css
- www.f####.com/Public/static/jfmobile/css/reset.css
- www.f####.com/Public/static/jfmobile/iconfont/iconfont.css
- www.f####.com/Public/static/jfmobile/iconfont/iconfont.ttf?t=####
- www.f####.com/Public/static/jfmobile/images/no-data.png
- www.f####.com/Public/static/jfmobile/images/num.png
- www.f####.com/Public/static/jfmobile/js/base.js
- www.f####.com/Public/static/jfmobile/js/jquery-1.11.2.min.js
- www.f####.com/Public/static/jfmobile/js/jquery.mobile.min.js
- www.f####.com/Public/static/jfmobile/js/jquery.popd.js
- www.f####.com/Public/static/jfmobile/js/jufu.js
- www.f####.com/Public/static/jfmobile/js/mui.min.js
- www.f####.com/Public/static/jfmobile/js/mui.view.js
- www.f####.com/Uploads/Editor/2018-07-19/5b50125d2c911.png
- www.f####.com/Uploads/Editor/2018-07-19/5b501274e8cfb.jpg
- www.f####.com/Uploads/Editor/2018-07-19/5b5012750bf89.jpg
- www.f####.com/Uploads/Editor/2018-07-19/5b50127523a86.jpg
- www.f####.com/Uploads/Editor/2018-07-19/5b5012753f286.jpg
- www.f####.com/Uploads/Editor/2018-07-19/5b5012755ca4e.jpg
- www.f####.com/Uploads/Editor/2018-07-19/5b50129febd9d.png
- www.f####.com/Uploads/Editor/2018-07-20/5b51adda9464d.png
- www.f####.com/Uploads/Editor/2018-07-20/5b51adfa1d04e.jpg
- www.f####.com/Uploads/Editor/2018-07-20/5b51adfa3b1a3.jpg
- www.f####.com/Uploads/Editor/2018-07-20/5b51adfa54796.jpg
- www.f####.com/Uploads/Editor/2018-07-20/5b51adfa88472.jpg
- www.f####.com/Uploads/Editor/2018-07-20/5b51ae23e0141.png
- www.f####.com/Uploads/Picture/2017-03-29/58db5caed74f3.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db5d456f847.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db60ee1d7da.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db63164fd0c.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db648d3a6d9.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db650c8b9b0.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db65dd05ec8.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db663fd5811.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db66f2ccfa2.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db679e3a394.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db6a186683e.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db6ce22e8b5.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db6d94034f7.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db7120daa56.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db7246e16c1.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db74f2332d9.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db760a79b9a.jpg
- www.f####.com/Uploads/Picture/2017-03-29/58db768ac3ae9.jpg
- www.f####.com/index.php?s=####
- www.f####.com/index.php?s=####&token=####&username=####
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- c.appj####.com/ad/splash/stats.html
- pi####.qq.com/mstat/report
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.f####.com/index.php?s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/VersionUpdate.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/b9458f694890
- /data/data/####/com.hzgxr.jufu_preferences.xml
- /data/data/####/com.tencent.open.config.json.1106042802
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/session.xml
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_vxj811
- /data/data/####/tdata_vxj811.jar
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/weibo_sdk_aid1
- /data/media/####/-1003144658.tmp
- /data/media/####/-1804470996.tmp
- /data/media/####/.nomedia
- /data/media/####/1006804815.tmp
- /data/media/####/1481659859.tmp
- /data/media/####/257585880.tmp
- /data/media/####/685029553.tmp
- /data/media/####/app.db
- /data/media/####/app_logs.txt
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.hzgxr.jufu.bin
- /data/media/####/com.hzgxr.jufu.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_vxj811
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.hzgxr.services.DemoPushService 24416 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
Загружает динамические библиотеки:
- MtaNativeCrash
- getuiext2
- libjiagu
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- RSA
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
