Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) res####.bx####.com:80
- TCP(HTTP/1.1) s29.9####.cn:80
- TCP(HTTP/1.1) ping####.qq.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
Запросы DNS:
- pi####.qq.com
- pi####.qq.com
- ping####.qq.com
- res####.bx####.com
- s29.9####.cn
Запросы HTTP GET:
- ping####.qq.com/pingd?dm=####&pvi=####&si=####&url=####&arg=####&ty=####...
- res####.bx####.com/html/newsign/home
- s####.tc.qq.com/h5/stats.js?v2####
- s29.9####.cn/attach/download/app/pic/50/107c0abc6dd343ef47e54cb2d7c1e4df...
- s29.9####.cn/attach/download/app/pic/d3/da0f8579ae4b5318f8c617333e91346c...
- s29.9####.cn/attach/download/app/pic/f4/c088245412abae91556194ba4998f13c...
- s29.9####.cn/attach/zhushou/index/1c/1c6eea598f88fce0b415dbb55bec93a3.jpg
- s29.9####.cn/attach/zhushou/index/23/230e18147b3273b8ebde5caa35295474.jpg
- s29.9####.cn/attach/zhushou/index/30/306567f5975f3d0461049047eda578ad.jpg
- s29.9####.cn/attach/zhushou/index/4a/4a1f39b91f95897edfb12836c86dfaab.jpg
- s29.9####.cn/attach/zhushou/index/54/54b9888a321eec1203ad95292d953af3.jpg
- s29.9####.cn/attach/zhushou/index/5d/5de31e2e39ad9fb418cbe3782e2c948c.jpg
- s29.9####.cn/attach/zhushou/index/84/8493a47ede04ca826c9003d50a70db37.jpg
- s29.9####.cn/attach/zhushou/index/8a/8a3f61d2d22b4b76a3ad42d26a57756f.jpg
- s29.9####.cn/attach/zhushou/index/8d/8d464455a69fe71f866890bf1c1df990.jpg
- s29.9####.cn/attach/zhushou/index/8e/8ecab384c4d60a17a114677fb93dfede.jpg
- s29.9####.cn/attach/zhushou/index/a0/a0d574dbd1727fbfed02a7d8350deb55.jpg
- s29.9####.cn/attach/zhushou/index/b0/b094f92269efdf17432cbfbe16b7e015.jpg
- s29.9####.cn/attach/zhushou/index/b5/b53eeac34715321249ebeffe96355746.jpg
- s29.9####.cn/attach/zhushou/index/c1/c1a53feec68d142222d50bacf0a29c0a.jpg
- s29.9####.cn/attach/zhushou/index/d6/d68e42da4e1781d993f3e143212c38df.jpg
- s29.9####.cn/attach/zhushou/index/e5/e5a6205ed6add9b6c4d888638662dca9.jpg
- s29.9####.cn/attach/zhushou/index/ea/ea47c1342fdef30cb3ec2154b3e2bc9e.jpg
- s29.9####.cn/res/crowdsource/lib/vue.min.js
- s29.9####.cn/res/zhushou/staticVue/jssdk/zsapp.min.js?v=####
- s29.9####.cn/res/zhushou/staticVue/newSign/index.min.css?v=####
- s29.9####.cn/res/zhushou/staticVue/newSign/index.min.js?v=####
- s29.9####.cn/res/zhushou/staticVue/signjs/encode.min.js?v=####
Запросы HTTP POST:
- pi####.qq.com/mstat/report/?index=####
- res####.bx####.com//api/ads/get
- res####.bx####.com/activity_log
- res####.bx####.com/api/homepush/lists
- res####.bx####.com/api/indexalert/webviewList
- res####.bx####.com/api/planbook/pblistbycomplan
- res####.bx####.com/api/showPlanbook/check
- res####.bx####.com/api/tool/myTool
- res####.bx####.com/getWelcomeImages
- res####.bx####.com/pushready
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0a9db96111e87f3f10422672a3a428d43578d745c751dad....0.tmp
- /data/data/####/12b488a441575c166064f316d53773861afaff3dff372df....0.tmp
- /data/data/####/1b3aa826bda162380a6bf6969a9c6ef06d0cc1b926dfee4....0.tmp
- /data/data/####/2ef9f31ea097958674c612695a94d0506d9bfab0874866b....0.tmp
- /data/data/####/41704975fa9695f04262459f733675bea26a3a39de2ae76....0.tmp
- /data/data/####/6900ebdb079254e2592fc2be519240f1de1d2259c8ff690....0.tmp
- /data/data/####/88862399e9c0af14e3be12c3a0f251ee222d56cbca480cf....0.tmp
- /data/data/####/8df3e04def9a00748c58540c4e5a1bcf8d8fbed40f7757c....0.tmp
- /data/data/####/961735f84fe4a7790b24c52b8ec2589037faba304a3a545....0.tmp
- /data/data/####/9840da002e8f40cbd996139c5f93fb9953c1d0eed343431....0.tmp
- /data/data/####/98d147562b493cb811510a2bb288459d7a15c555e367b4f....0.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/QALConfigStore.dat
- /data/data/####/TLS_DEVICE_INFO.xml
- /data/data/####/WLOGIN_DEVICE_INFO.xml
- /data/data/####/ab1ec9837f131b1b9292ef5cdac05ab516a94326628985e....0.tmp
- /data/data/####/af18a93345a11ea2f8f767e4ddaddf750d56c7076e02761....0.tmp
- /data/data/####/b5fb1bd447efbc6e4d24faa6099fea44d2e0a542c3c3e53....0.tmp
- /data/data/####/b6e2860fd34e2cbde1920eb59e6ae459f94ab431e2cdbb7....0.tmp
- /data/data/####/com.bxd365.helper.mid.world.ro.xml
- /data/data/####/com.bxd365.helper_preferences.xml
- /data/data/####/d5144f84c108a989d5ac6d6dd51a0b8aaa7fa4bcce54440....0.tmp
- /data/data/####/d791513a7a1f190cfe5114cad2f42ea684db52bc67604dc....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/helper.db-journal
- /data/data/####/helper.xml
- /data/data/####/imei
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-817253483.so
- /data/data/####/multidex.version.xml
- /data/data/####/pri_tencent_analysis.db_com.bxd365.helper-journal
- /data/data/####/report_v5.msgstore-journal
- /data/data/####/tencent_analysis.db_com.bxd365.helper-journal
- /data/data/####/tls_device.dat
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wlogin_device.dat
- /data/media/####/-1212477102.tmp
- /data/media/####/.nomedia
- /data/media/####/1962604472.tmp
- /data/media/####/654817799.tmp
- /data/media/####/app.18.07.24.18.log
- /data/media/####/imsdk_20180724.log
- /data/media/####/sdk.18.07.24.18.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu-817253483.so
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- _imcore_jni_gyp
- libjiagu-817253483
- libwtcrypto
- qalcodecwrapper
- qalmsfboot
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации о телефонных контактах.
