Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) res####.bx####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) s29.9####.cn:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) s28.9####.cn:80
- TCP(HTTP/1.1) ti####.bx####.com:80
- TCP(TLS/1.0) ti####.bx####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- a####.u####.com
- and####.cli####.go####.com
- apm-col####.qte####.com
- d####.opensp####.cn
- log.u####.com
- mt####.go####.com
- res####.bx####.com
- s####.u####.com
- s28.9####.cn
- s29.9####.cn
- scs.opensp####.cn
- ti####.bx####.com
Запросы HTTP GET:
- s28.9####.cn/static/upload/a/180803170022-193_m.jpg
- s28.9####.cn/static/upload/a/180810172936-234_m.jpg
- s29.9####.cn/attach/download/app/pic/1e/1d753fd7effa3ba483cbe944e9dcf7bf...
- s29.9####.cn/attach/download/app/pic/24/c0c8b7363766987a7b0fba448e314a92...
- s29.9####.cn/attach/download/app/pic/42/978bf0b7c0f0e2db0f92d0dc6fbaf73e...
- s29.9####.cn/attach/download/app/pic/93/77df0bb988d1062c0f2cd4bafbd05b56...
- s29.9####.cn/attach/download/app/pic/d2/92ea39c415611c8261c9cdd28b101643...
- s29.9####.cn/attach/wenwen/7e/cd/7ecd9434e7da7caa4b9ea957889480db_IMGINF...
- s29.9####.cn/res/bxdapp/bxd6.0.0/images/example/a10.png
- s29.9####.cn/res/bxdapp/bxd6.0.0/images/example/a11.png
- s29.9####.cn/res/bxdapp/bxd6.0.0/images/example/a13.jpg
- s29.9####.cn/res/bxdapp/bxd6.0.0/images/example/a15.jpg?2017####
- s29.9####.cn/res/bxdapp/images/daibingtoubao.png
- s29.9####.cn/res/bxdapp/images/yanxuanbaoxian.png
- s29.9####.cn/res/bxdapp/images/zaixianzixun.png
- s29.9####.cn/res/bxdapp/images/zengxianfuli.png
- sh.wagbr####.alibaba####.com/bar/get/54ab977dfd98c51d120006bf/?ud_get=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- res####.bx####.com/api/common/keywordplaceholder
- res####.bx####.com/api/common/popads
- res####.bx####.com/api/solution/lists
- ti####.bx####.com/api/article/lists
- ti####.bx####.com/api/common/ads
- ti####.bx####.com/api/common/checkversion
- ti####.bx####.com/api/common/keywordplaceholder
- ti####.bx####.com/api/common/keywordsearch
- ti####.bx####.com/api/common/launchstat
- ti####.bx####.com/api/common/searchhotkeyword
- ti####.bx####.com/api/common/services
- ti####.bx####.com/api/common/settings
- ti####.bx####.com/api/planner/lists
- ti####.bx####.com/api/solution/lists
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/000b4fc44f8837460b4ae8c34083abc1675a92c85d312a4....0.tmp
- /data/data/####/0e5a05b1fb7595858f66550b8379a930e39f2a4d00f515e....0.tmp
- /data/data/####/1533939170907.log
- /data/data/####/1baa5094b0fdf3549883bca31ff47445f54f1ccbc3e3b14....0.tmp
- /data/data/####/20b903ac59607f676a7aeb5b370ed8e60992757e2356886....0.tmp
- /data/data/####/2a86ca61db344e72798b8203f9899570abab114ce2d17f3....0.tmp
- /data/data/####/31f5570c3377422ce0ce277007d093b6deb54018e64957f....0.tmp
- /data/data/####/36b93e95572eb79c17fc4c0c69fe4f1cd390f9f4edbe1af....0.tmp
- /data/data/####/691ce88c93e87129e37757f87ae011d3e4acd401aebaf34....0.tmp
- /data/data/####/QALConfigStore.dat
- /data/data/####/TLS_DEVICE_INFO.xml
- /data/data/####/TestinAgent.db
- /data/data/####/TestinAgent.db-journal
- /data/data/####/TestinCrash.xml
- /data/data/####/WLOGIN_DEVICE_INFO.xml
- /data/data/####/b0033ccf34d48cd7471a35a44878a66560cf9c7ddb81f9d....0.tmp
- /data/data/####/bb238027259ae3f3678e4d758de84a1db6e331025474db3....0.tmp
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/com.jiuyang.baoxian_preferences.xml
- /data/data/####/com.jiuyang.baoxian_preferences.xml.bak
- /data/data/####/d53b76e89b1f5ae468f29021985c17b56cafb936ab8ba56....0.tmp
- /data/data/####/db1b079e5574924e45d815eecb05195f88e6a0732e5384b....0.tmp
- /data/data/####/dbd9fe0c4ec5b6ffd58380a6ceacc21633de862bcc8339b....0.tmp
- /data/data/####/e3c824385ddc72329fb5d150a94d6014048d7296a983831....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/f9b2e1a9d18fc45ff8e55626200e51afa6bee207139ecbe....0.tmp
- /data/data/####/ffe2bb0a4630897958ed5a8de928ed93fc677d8b34bbc7b....0.tmp
- /data/data/####/iflytek_state_com.jiuyang.baoxian.xml
- /data/data/####/imei
- /data/data/####/insure.db-journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-214755050.so
- /data/data/####/multidex.version.xml
- /data/data/####/pri_tencent_analysis.db_com.jiuyang.baoxian-journal
- /data/data/####/pri_tencent_analysis.db_com.jiuyang.baoxian;QAL...ournal
- /data/data/####/report_v5.msgstore-journal
- /data/data/####/tencent_analysis.db_com.jiuyang.baoxian-journal
- /data/data/####/tencent_analysis.db_com.jiuyang.baoxian;QALSERVICE-journal
- /data/data/####/tls_device.dat
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/wlogin_device.dat
- /data/media/####/app.18.08.10.22.log
- /data/media/####/iflyworkdir_test
- /data/media/####/sdk.18.08.10.22.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu-214755050.so
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- NativeCrash
- _imcore_jni_gyp
- libjiagu-214755050
- libwtcrypto
- msc
- qalcodecwrapper
- qalmsfboot
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
