Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) www.c####.cn.####.cn:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) www.c####.cn.####.cn:443
- TCP(TLS/1.0) app.c####.cn:443
Запросы DNS:
- and####.b####.qq.com
- app.c####.cn
- plb####.u####.com
- u####.u####.com
- www.c####.cn
Запросы HTTP GET:
- www.c####.cn.####.cn/static/images/product-v1.0/cdn-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/desktop_cloud-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/gpu-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/mysql-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/wdsjk-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/yjgs-m.png
- www.c####.cn.####.cn/static/images/product-v1.0/yrq-m.png
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-CacheDBManager-journal
- /data/data/####/-ECloud-journal
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0017b7e7bd1f91546267b6f9bb4ddb1c.0.tmp
- /data/data/####/0017b7e7bd1f91546267b6f9bb4ddb1c.1.tmp
- /data/data/####/0144c071c6c1cd4fe33d860cb08015ec571bf986f18e1ee....0.tmp
- /data/data/####/02bb2d55f7912a3e4f1443835f566bbb.0.tmp
- /data/data/####/02bb2d55f7912a3e4f1443835f566bbb.1.tmp
- /data/data/####/0dfcf1752813c6a7be18013f5ac1742e.0.tmp
- /data/data/####/0dfcf1752813c6a7be18013f5ac1742e.1.tmp
- /data/data/####/1004
- /data/data/####/2083_com.ctg.itrdc.ecloud_11_17_13.mmap2
- /data/data/####/2179_com.ctg.itrdc.ecloud_11_17_18.mmap2
- /data/data/####/2260_com.ctg.itrdc.ecloud_11_17_22.mmap2
- /data/data/####/2341_com.ctg.itrdc.ecloud_11_17_26.mmap2
- /data/data/####/2415_com.ctg.itrdc.ecloud_11_17_30.mmap2
- /data/data/####/2493_com.ctg.itrdc.ecloud_11_17_34.mmap2
- /data/data/####/2576_com.ctg.itrdc.ecloud_11_17_58.mmap2
- /data/data/####/2629_com.ctg.itrdc.ecloud_11_17_59.mmap2
- /data/data/####/2683_com.ctg.itrdc.ecloud_11_18_00.mmap2
- /data/data/####/2735_com.ctg.itrdc.ecloud_11_18_05.mmap2
- /data/data/####/2789_com.ctg.itrdc.ecloud_11_18_06.mmap2
- /data/data/####/2842_com.ctg.itrdc.ecloud_11_18_07.mmap2
- /data/data/####/2916_com.ctg.itrdc.ecloud_11_18_14.mmap2
- /data/data/####/2aadc4baca0c9c1441fa191d4f3c8bbb.0.tmp
- /data/data/####/2aadc4baca0c9c1441fa191d4f3c8bbb.1.tmp
- /data/data/####/2ac8fbcbae84a1652106a717a6a6f6d6.0.tmp
- /data/data/####/2ac8fbcbae84a1652106a717a6a6f6d6.1.tmp
- /data/data/####/2e828ae8c865bcbabaffe4727e65ac1062cde1b9cf17112....0.tmp
- /data/data/####/3c09af2554d96653a73ab7b74dc73f40c18969aefb7a1e4....0.tmp
- /data/data/####/4f1e7590ec508df1c6346837e1a8ee2f84bad0444144165....0.tmp
- /data/data/####/68b371d95f0d7c186e4cd072399fc331c0176cbe4e70bc1....0.tmp
- /data/data/####/6babd81f3ea9689ddc49d9fc7302f695.0.tmp
- /data/data/####/6babd81f3ea9689ddc49d9fc7302f695.1.tmp
- /data/data/####/71f722000c013659cc7bc5880b1b52059f2c39e5867d88c....0.tmp
- /data/data/####/79ca705fc65edc44fd699dac0d62878e.0.tmp
- /data/data/####/79ca705fc65edc44fd699dac0d62878e.1.tmp
- /data/data/####/89063ddeede40476fb45390b6c8c03616ea5999bc65dfc5....0.tmp
- /data/data/####/8c76dda252e67c80335519325b28a527.0.tmp
- /data/data/####/8c76dda252e67c80335519325b28a527.1.tmp
- /data/data/####/97169f6c40a95d9dec69489de8112c8f.0.tmp
- /data/data/####/97169f6c40a95d9dec69489de8112c8f.1.tmp
- /data/data/####/9ec0904c9038a2a3435f32787637a1f17da2c74bc73531c....0.tmp
- /data/data/####/IMEI.xml
- /data/data/####/MultiDex.lock
- /data/data/####/Settings.xml
- /data/data/####/a==7.5.0&&1.2.6_1536751034585_envelope.log
- /data/data/####/bugly_db_-journal
- /data/data/####/crashrecord.xml
- /data/data/####/eec82f42c35017218f6386d61885a4d1.0.tmp
- /data/data/####/eec82f42c35017218f6386d61885a4d1.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fd235fff6b0231869f30ccf43ff40b584f8f3708d355316....0.tmp
- /data/data/####/i==1.2.0&&1.2.6_1536751033919_envelope.log
- /data/data/####/i==1.2.0&&1.2.6_1536751038996_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1671662011.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/restart_counter.xml
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_config.xml.bak
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/2083_com.ctg.itrdc.ecloud_11_17_13_20180912.xlog
- /data/media/####/2179_com.ctg.itrdc.ecloud_11_17_18_20180912.xlog
- /data/media/####/2260_com.ctg.itrdc.ecloud_11_17_22_20180912.xlog
- /data/media/####/2341_com.ctg.itrdc.ecloud_11_17_26_20180912.xlog
- /data/media/####/2415_com.ctg.itrdc.ecloud_11_17_30_20180912.xlog
- /data/media/####/2493_com.ctg.itrdc.ecloud_11_17_34_20180912.xlog
- /data/media/####/2576_com.ctg.itrdc.ecloud_11_17_58_20180912.xlog
- /data/media/####/2629_com.ctg.itrdc.ecloud_11_17_59_20180912.xlog
- /data/media/####/2683_com.ctg.itrdc.ecloud_11_18_00_20180912.xlog
- /data/media/####/2735_com.ctg.itrdc.ecloud_11_18_05_20180912.xlog
- /data/media/####/2789_com.ctg.itrdc.ecloud_11_18_06_20180912.xlog
- /data/media/####/2842_com.ctg.itrdc.ecloud_11_18_07_20180912.xlog
- /data/media/####/2916_com.ctg.itrdc.ecloud_11_18_14_20180912.xlog
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu-1671662011.so
- getprop
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- libjiagu-1671662011
- marsxlog
- stlport_shared
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
