Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) www.c####.cn.####.com:443
- TCP(TLS/1.0) app.c####.cn:443
Запросы DNS:
- and####.b####.qq.com
- app.c####.cn
- m.c####.cn
- mt####.go####.com
- plb####.u####.com
- u####.u####.com
- www.c####.cn
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-CacheDBManager-journal
- /data/data/####/-ECloud-journal
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/03486b8c7a254bc0e982bc16d5197786e561b9607fff8c3....0.tmp
- /data/data/####/1004
- /data/data/####/1bdb8f286b7e5b9e6a62a4edb5307514ff49340f6967475....0.tmp
- /data/data/####/1c1a8b2551ef9a0de5cb054dcdcd64c0d98b0129bf48cee....0.tmp
- /data/data/####/2060_com.ctg.itrdc.ecloud_13_29_42.mmap2
- /data/data/####/2157_com.ctg.itrdc.ecloud_13_29_47.mmap2
- /data/data/####/2244_com.ctg.itrdc.ecloud_13_29_51.mmap2
- /data/data/####/2324_com.ctg.itrdc.ecloud_13_29_55.mmap2
- /data/data/####/2404_com.ctg.itrdc.ecloud_13_29_59.mmap2
- /data/data/####/2491_com.ctg.itrdc.ecloud_13_30_03.mmap2
- /data/data/####/2571_com.ctg.itrdc.ecloud_13_30_07.mmap2
- /data/data/####/259f73209b4f6ffaf862259e859284e9.0.tmp
- /data/data/####/259f73209b4f6ffaf862259e859284e9.1.tmp
- /data/data/####/2626_com.ctg.itrdc.ecloud_13_30_08.mmap2
- /data/data/####/2680_com.ctg.itrdc.ecloud_13_30_09.mmap2
- /data/data/####/2783_com.ctg.itrdc.ecloud_13_30_38.mmap2
- /data/data/####/2837_com.ctg.itrdc.ecloud_13_30_39.mmap2
- /data/data/####/2891_com.ctg.itrdc.ecloud_13_30_40.mmap2
- /data/data/####/40a08da49cca3bfbd53483a25cfb97f9.0.tmp
- /data/data/####/40a08da49cca3bfbd53483a25cfb97f9.1.tmp
- /data/data/####/4859f3df878043fae32e04a50940d389.0.tmp
- /data/data/####/4859f3df878043fae32e04a50940d389.1.tmp
- /data/data/####/4afe7df5c2eb2d16027c731881f399310a3ce4dfe1116b4....0.tmp
- /data/data/####/595c1496df08ec612a4f2ba6ef5258d1.0.tmp
- /data/data/####/595c1496df08ec612a4f2ba6ef5258d1.1.tmp
- /data/data/####/60b7af99651b76ec6017222f79816ac1496323657ec5e19....0.tmp
- /data/data/####/69bcddb6199fdbce5921dbdf3a13aaf7.0.tmp
- /data/data/####/69bcddb6199fdbce5921dbdf3a13aaf7.1.tmp
- /data/data/####/73d42ac4d732cb22af8bc2504398a034.0.tmp
- /data/data/####/73d42ac4d732cb22af8bc2504398a034.1.tmp
- /data/data/####/7497d939261173c2ba2378ef54456b8e.0.tmp
- /data/data/####/7497d939261173c2ba2378ef54456b8e.1.tmp
- /data/data/####/76811a5989d8c95b80a26d05dc25316665effa035fcf052....0.tmp
- /data/data/####/8ff29ebdce23c0105ccd915403857bc1.0.tmp
- /data/data/####/8ff29ebdce23c0105ccd915403857bc1.1.tmp
- /data/data/####/9ff7c785606127d4af63e6940741b6d32ded6207bc0a7e0....0.tmp
- /data/data/####/IMEI.xml
- /data/data/####/MultiDex.lock
- /data/data/####/Settings.xml
- /data/data/####/a5e83deee46b16c63ba353107c64517008dfc012f98e5d5....0.tmp
- /data/data/####/a86b70e3fc61c538fadeec22d0d98ab49dfca692db3cf91....0.tmp
- /data/data/####/a==7.5.0&&1.2.3_1533734983771_envelope.log
- /data/data/####/be58fdc6ff70314027d1bffc422c1841d50364e55b8cace....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/crashrecord.xml
- /data/data/####/d47bcbf7fa76ae1e50f74f2df2b8a11e208359e9d8e01fe....0.tmp
- /data/data/####/d92755ab81f5e5627611c6be1443a544.0.tmp
- /data/data/####/d92755ab81f5e5627611c6be1443a544.1.tmp
- /data/data/####/debab9a9ff546366c616175a153df2e42b8d2af24abc07c....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f42338723794915d199c4bd6138457b5.0.tmp
- /data/data/####/f42338723794915d199c4bd6138457b5.1.tmp
- /data/data/####/f4c5c0c3bae1fff7de1b374ad66b8162a48a620878a19fc....0.tmp
- /data/data/####/i==1.2.0&&1.2.3_1533734983139_envelope.log
- /data/data/####/i==1.2.0&&1.2.3_1533734988256_envelope.log
- /data/data/####/i==1.2.0&&1.2.3_1533735000149_envelope.log
- /data/data/####/i==1.2.0&&1.2.3_1533735004509_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1671662011.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/restart_counter.xml
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/2060_com.ctg.itrdc.ecloud_13_29_42_20180808.xlog
- /data/media/####/2157_com.ctg.itrdc.ecloud_13_29_47_20180808.xlog
- /data/media/####/2244_com.ctg.itrdc.ecloud_13_29_51_20180808.xlog
- /data/media/####/2324_com.ctg.itrdc.ecloud_13_29_55_20180808.xlog
- /data/media/####/2404_com.ctg.itrdc.ecloud_13_29_59_20180808.xlog
- /data/media/####/2491_com.ctg.itrdc.ecloud_13_30_03_20180808.xlog
- /data/media/####/2571_com.ctg.itrdc.ecloud_13_30_07_20180808.xlog
- /data/media/####/2626_com.ctg.itrdc.ecloud_13_30_08_20180808.xlog
- /data/media/####/2680_com.ctg.itrdc.ecloud_13_30_09_20180808.xlog
- /data/media/####/2783_com.ctg.itrdc.ecloud_13_30_38_20180808.xlog
- /data/media/####/2837_com.ctg.itrdc.ecloud_13_30_39_20180808.xlog
- /data/media/####/2891_com.ctg.itrdc.ecloud_13_30_40_20180808.xlog
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu-1671662011.so
- getprop
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- libjiagu-1671662011
- marsxlog
- stlport_shared
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
