Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) www.c####.cn.####.cn:443
- TCP(TLS/1.0) app.c####.cn:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- and####.b####.qq.com
- and####.cli####.go####.com
- app.c####.cn
- mt####.go####.com
- plb####.u####.com
- u####.u####.com
- www.c####.cn
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-CacheDBManager-journal
- /data/data/####/-ECloud-journal
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/2281_com.ctg.itrdc.ecloud_22_46_46.mmap2
- /data/data/####/2386_com.ctg.itrdc.ecloud_22_46_51.mmap2
- /data/data/####/2469_com.ctg.itrdc.ecloud_22_46_56.mmap2
- /data/data/####/2549_com.ctg.itrdc.ecloud_22_46_59.mmap2
- /data/data/####/2633_com.ctg.itrdc.ecloud_22_47_04.mmap2
- /data/data/####/2688_com.ctg.itrdc.ecloud_22_47_05.mmap2
- /data/data/####/26f39782f0a65dce37595ee7b7b594ac.0.tmp
- /data/data/####/26f39782f0a65dce37595ee7b7b594ac.1.tmp
- /data/data/####/2742_com.ctg.itrdc.ecloud_22_47_06.mmap2
- /data/data/####/2795_com.ctg.itrdc.ecloud_22_47_08.mmap2
- /data/data/####/2849_com.ctg.itrdc.ecloud_22_47_10.mmap2
- /data/data/####/2904_com.ctg.itrdc.ecloud_22_47_11.mmap2
- /data/data/####/2960_com.ctg.itrdc.ecloud_22_47_20.mmap2
- /data/data/####/3015_com.ctg.itrdc.ecloud_22_47_21.mmap2
- /data/data/####/3070_com.ctg.itrdc.ecloud_22_47_22.mmap2
- /data/data/####/3129_com.ctg.itrdc.ecloud_22_47_27.mmap2
- /data/data/####/3181_com.ctg.itrdc.ecloud_22_47_28.mmap2
- /data/data/####/3233_com.ctg.itrdc.ecloud_22_47_29.mmap2
- /data/data/####/3332_com.ctg.itrdc.ecloud_22_47_46.mmap2
- /data/data/####/3904fc7c21965ceda9cd4b4475db0fef.0.tmp
- /data/data/####/3904fc7c21965ceda9cd4b4475db0fef.1.tmp
- /data/data/####/3e61df93c298ee94eb9f870cc3ecd30f.0.tmp
- /data/data/####/3e61df93c298ee94eb9f870cc3ecd30f.1.tmp
- /data/data/####/482542eb665698252c011a4ecef6e8e6.0.tmp
- /data/data/####/482542eb665698252c011a4ecef6e8e6.1
- /data/data/####/4fc622f88ad73e1c599537ef4df399b0.0.tmp
- /data/data/####/4fc622f88ad73e1c599537ef4df399b0.1.tmp
- /data/data/####/5d05844a504f2440f6b8a5e0d7d98d4d61d6c40c0e89f80....0.tmp
- /data/data/####/69d1144464ba27ea27879716fdd59460c4637061fd1dc1f....0.tmp
- /data/data/####/75e19da2bc02707ca0a882af294bce695a8c752dd46268e....0.tmp
- /data/data/####/8df71a2ef80f798e247fb7376583dd52.0.tmp
- /data/data/####/8df71a2ef80f798e247fb7376583dd52.1.tmp
- /data/data/####/9c5a933e8e189ac88dae00953ecbe82a.0.tmp
- /data/data/####/9c5a933e8e189ac88dae00953ecbe82a.1.tmp
- /data/data/####/IMEI.xml
- /data/data/####/MultiDex.lock
- /data/data/####/Settings.xml
- /data/data/####/a8bb106900d29f4d1f16033ab6642ede.0.tmp
- /data/data/####/a8bb106900d29f4d1f16033ab6642ede.1.tmp
- /data/data/####/a==7.5.0&&1.2.7_1538088408441_envelope.log
- /data/data/####/bf824a3725bea5799d48e79f7d33ce46c6a39ad78cfc61d....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c7a278fa2fc41a13a4b37b9310d1ac9d.0.tmp
- /data/data/####/c7a278fa2fc41a13a4b37b9310d1ac9d.1.tmp
- /data/data/####/crashrecord.xml
- /data/data/####/d1b22051e6ad9003c6d601b9f54d50bd5454d1b352a1d75....0.tmp
- /data/data/####/e383ec364ffaaa2b2c2e0ac97da9d1e9e203014208b9a3b....0.tmp
- /data/data/####/edefe36ac747eb15c20fdf43ad4c6508.0.tmp
- /data/data/####/edefe36ac747eb15c20fdf43ad4c6508.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f42bf9013f2306f3af54c8c4356d50aa99710706e1a811c....0.tmp
- /data/data/####/i==1.2.0&&1.2.7_1538088407460_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1671662011.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/restart_counter.xml
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/2281_com.ctg.itrdc.ecloud_22_46_46_20180927.xlog
- /data/media/####/2386_com.ctg.itrdc.ecloud_22_46_51_20180927.xlog
- /data/media/####/2469_com.ctg.itrdc.ecloud_22_46_56_20180927.xlog
- /data/media/####/2549_com.ctg.itrdc.ecloud_22_46_59_20180927.xlog
- /data/media/####/2633_com.ctg.itrdc.ecloud_22_47_04_20180927.xlog
- /data/media/####/2688_com.ctg.itrdc.ecloud_22_47_05_20180927.xlog
- /data/media/####/2742_com.ctg.itrdc.ecloud_22_47_06_20180927.xlog
- /data/media/####/2795_com.ctg.itrdc.ecloud_22_47_08_20180927.xlog
- /data/media/####/2849_com.ctg.itrdc.ecloud_22_47_10_20180927.xlog
- /data/media/####/2904_com.ctg.itrdc.ecloud_22_47_11_20180927.xlog
- /data/media/####/2960_com.ctg.itrdc.ecloud_22_47_20_20180927.xlog
- /data/media/####/3015_com.ctg.itrdc.ecloud_22_47_21_20180927.xlog
- /data/media/####/3070_com.ctg.itrdc.ecloud_22_47_22_20180927.xlog
- /data/media/####/3129_com.ctg.itrdc.ecloud_22_47_27_20180927.xlog
- /data/media/####/3181_com.ctg.itrdc.ecloud_22_47_28_20180927.xlog
- /data/media/####/3233_com.ctg.itrdc.ecloud_22_47_29_20180927.xlog
- /data/media/####/3332_com.ctg.itrdc.ecloud_22_47_46_20180927.xlog
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu-1671662011.so
- getprop
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- libjiagu-1671662011
- marsxlog
- stlport_shared
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
