Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.icaipia####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(TLS/1.0) api.icaipia####.com:443
- TCP(TLS/1.0) t####.c####.q####.####.net:443
- TCP(TLS/1.0) u.zhug####.com:443
Запросы DNS:
- a####.u####.com
- api.icaipia####.com
- p.wangca####.com
- p.zhangko####.cn
- s0.icaipia####.com
- so####.icaipia####.com
- u.zhug####.com
Запросы HTTP GET:
- api.icaipia####.com/api/v1/c/p?p=####
- api.icaipia####.com/api/v2/rank/landing?lottery_key=####
- api.icaipia####.com/api/v5/server/timestamp
- api.icaipia####.com/api/v6/lotterynums/latest/all
- api.icaipia####.com/api/v7/social/hotlist?count=####&page=####
- api.icaipia####.com/api/v7/social/topandnoticelist
- api.icaipia####.com/static/icon/avatar.jpg?imageVi####
- t####.c####.q####.####.com/avatar/170823/f02e66bc5bae3dfa8b7392895b7a6e5...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.icaipia####.com/api/v5/server/activate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1173559517-1840388227
- /data/data/####/-11788933491545824674
- /data/data/####/-117889334996384371
- /data/data/####/-14932529442085446822
- /data/data/####/-149325294475075523
- /data/data/####/-1570451101685003514
- /data/data/####/-1787269381162696172
- /data/data/####/-17893987121944668222
- /data/data/####/-19096045061170456815
- /data/data/####/-645535823-71355857
- /data/data/####/-869140753-917244819
- /data/data/####/-915840814-1805711250
- /data/data/####/-9158408141521878550
- /data/data/####/-9158408141604603669
- /data/data/####/-915840814532375045
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0cef800d8833364d30a6597be9be9c4d0953446c8a0fa91....0.tmp
- /data/data/####/1a57ae83a737b5f4b66137c04cda74dcb6f2e8000bef684....0.tmp
- /data/data/####/21090119561046727059
- /data/data/####/253193064-1619705854
- /data/data/####/253193064-2039568853
- /data/data/####/3961870fa78c02c53bce715ae8dcacf5de2a9e480b0283a....0.tmp
- /data/data/####/3a05539d2afc305ddd5f59ca0c60f11a5e21b5d75e47e30....0.tmp
- /data/data/####/5a6ec951c0468171097310864fd81b923392f084dbb909c....0.tmp
- /data/data/####/5b6ec43516f0ec8e688994a5aabf9700e0bf036350f6400....0.tmp
- /data/data/####/94c07b771df68b2b1bd6eaae3930ffb57b99157ea14659d....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/__cfg_lk_1312
- /data/data/####/b3b56ad82e3f31d4c2650330a6ae2d69a4971da2a78022b....0.tmp
- /data/data/####/cache.xml
- /data/data/####/cache_int.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.mango.kaijiangthreed.xml
- /data/data/####/com.mango.kaijiangthreed_preferences.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f3c82d3f37144b5a88cca74557f9d584c6e53822b31ff90....0.tmp
- /data/data/####/fc2d79270bb0c2c6833ea2f3f9257429a49c2476a93b3b6....0.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/init_c1.pid
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/zhuge
- /data/data/####/zhuge-journal
- /data/media/####/2k21vfy2cvwj5p3cgh90dewr1
- /data/media/####/6ps7ytm0q9suaubk4e5vxux7p
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
