Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) ada####.m.ta####.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) i####.hang####.com:80
- TCP(HTTP/1.1) d####.xinjuns####.net:80
- TCP(HTTP/1.1) v.g####.qq.com:80
- TCP(HTTP/1.1) ad####.m.ta####.com:80
- TCP(HTTP/1.1) ro####.g0.p####.####.cn:80
- TCP(HTTP/1.1) a####.7####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) i####.xinjuns####.net:80
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) ub####.baidust####.com:80
- TCP(TLS/1.0) mobads-####.b####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) cn-n1-c####.leanc####.cn:443
- TCP(TLS/1.0) api.leanc####.cn:443
Запросы DNS:
- a####.7####.com
- a####.man.aliy####.com
- a####.u####.com
- ad####.m.ta####.com
- ada####.m.ta####.com
- api.leanc####.cn
- app####.haosh####.com
- cn-n1-c####.leanc####.cn
- d####.xinjuns####.net
- h####.b####.com
- i####.hang####.com
- i####.xinjuns####.net
- imgc####.qq.com
- log.u####.com
- m.xinjuns####.net
- mi.g####.qq.com
- mo####.b####.com
- mobads-####.b####.com
- p####.ugd####.com
- ro####.g0.p####.####.cn
- s####.e.qq.com
- s####.u####.com
- ub####.baidust####.com
- v.g####.qq.com
Запросы HTTP GET:
- a####.7####.com/member_nouse/templets/images/dfboy.png
- a####.7####.com/xin.js
- ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
- d####.xinjuns####.net/junshitoutiao.apk
- et2-na6####.wagbr####.ali####.####.com/bar/get/51ae9a3956240b64c4008c75/...
- i####.hang####.com/api2.4/app.php?mod=####&aid=####
- i####.xinjuns####.net/160815/4-160Q5160UTS.jpg
- i####.xinjuns####.net/160901/4-160Z1130255H9.jpg
- i####.xinjuns####.net/181024/127344-1Q024093232N7.jpg
- i####.xinjuns####.net/allimg/181022/15958-1Q0221324110-L.jpg
- i####.xinjuns####.net/allimg/181022/21-1Q0221045070-L.jpg
- i####.xinjuns####.net/allimg/181023/103AG412-0.png
- i####.xinjuns####.net/allimg/181023/103AH128-1.jpg
- i####.xinjuns####.net/allimg/181023/103AJ296-2.jpg
- i####.xinjuns####.net/allimg/181023/10414HL5-2.jpg
- i####.xinjuns####.net/allimg/181023/10414J944-1.jpg
- i####.xinjuns####.net/allimg/181023/10414K9A-0.jpg
- i####.xinjuns####.net/allimg/181023/21-1Q0231031010-L.jpg
- i####.xinjuns####.net/allimg/181023/21-1Q0231035470-L.jpg
- i####.xinjuns####.net/allimg/181023/21-1Q023103J60-L.jpg
- i####.xinjuns####.net/allimg/181024/0R4511613-0.jpg
- i####.xinjuns####.net/allimg/181024/0R4512S8-1.jpg
- i####.xinjuns####.net/allimg/181024/0R4513561-3.jpg
- i####.xinjuns####.net/allimg/181024/0R4515452-4.jpg
- i####.xinjuns####.net/allimg/181024/0R4515616-5.jpg
- i####.xinjuns####.net/allimg/181024/0R451O30-2.jpg
- i####.xinjuns####.net/allimg/181024/0T04R605-2.jpg
- i####.xinjuns####.net/allimg/181024/0T04S4C-0.jpg
- i####.xinjuns####.net/allimg/181024/0T04UM6-1.jpg
- i####.xinjuns####.net/allimg/181024/127344-1Q0240939150-L.jpg
- i####.xinjuns####.net/allimg/181024/127344-1Q0240S9100-L.jpg
- i####.xinjuns####.net/allimg/181024/15958-1Q0240T1480-L.jpg
- i####.xinjuns####.net/allimg/181024/21-1Q0240949550-L.jpg
- i####.xinjuns####.net/allimg/181024/21-1Q024094U20-L.jpg
- i####.xinjuns####.net/allimg/181024/21-1Q0240UT70-L.jpg
- i####.xinjuns####.net/userup/130312/myface_1527590544.jpg
- mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
- mo####.b####.com/ads/pa/8/__pasys_remote_banner.php?bdr=####&os=####&v=#...
- mo####.b####.com/ads/pa/8/__xadsdk__remote__8.8006.jar
- mo####.b####.com/ads/preload.php
- mo####.b####.com/ads/sec.php
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1540380478986=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1540380479015=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1540380482918=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1540380493283=####
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- ro####.g0.p####.####.cn/v1/route?appId=####&installationId=####&secure=#...
- s####.tc.qq.com/gdt/0/DAAGUuqAUAALQABcBboK8NA67D3lpG.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAOTgCAUAALQABZBbK2TMBAgnjDg8.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAUvtwAUAALQABXBaIO6_DVxMhELq.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAUvtwAUAALQABaBboymzAj-FUQvq.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAe4CuAUAALQABfBbfP-mDcpERBR5.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAfUhRAUAALQABjBbyCMxCSI9Qo0m.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAg74cAUAALQABjBbpgNUAwhi5KAb.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAgPB_AUAALQABbBbmLNYC-PcUJ1z.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAgR4oAUAALQABZBbm1EoDCshTHSU.jpg/0?ck=####
- ub####.baidust####.com/media/v1/0f000AQsSzTnBgoIUs60if.jpg
Запросы HTTP POST:
- a####.u####.com/app_logs
- ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
- i####.hang####.com/api2.4/app.php?mod=####
- i####.hang####.com/api2.4/app.php?mod=####&act=####&page=####
- i####.hang####.com/api2.4/app.php?mod=####&aid=####&type=####
- i####.hang####.com/api2.4/app.php?mod=####&page=####
- s####.e.qq.com/activate
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
- v.g####.qq.com/gdt_stats.fcg
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1540380474068.log
- /data/data/####/2267.yaqcookie
- /data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- /data/data/####/AV_PUSH_SERVICE_APP_DATA.xml
- /data/data/####/Alvin2.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/CookiePrefsFile.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/UTCommon.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1540380473636
- /data/data/####/__x_adsdk_agent_header__.xml
- /data/data/####/__xadsdk__remote__final__builtin__.jar
- /data/data/####/__xadsdk__remote__final__builtinversion__.jar
- /data/data/####/__xadsdk__remote__final__d0ba92ef-9d83-4e8c-8ec...77.jar
- /data/data/####/__xadsdk__remote__final__running__.jar
- /data/data/####/__xadsdk_downloaded__version__.xml
- /data/data/####/ap.Lock
- /data/data/####/app_sp.xml
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
- /data/data/####/com.avos.push.router.server.cachezja4gnztqflo4x...6d.xml
- /data/data/####/com.avoscloud.chat.message.xml
- /data/data/####/com.baidu.mobads.loader.xml
- /data/data/####/com.shenyuan.militarynews_preferences.xml
- /data/data/####/dbProvider.db-journal
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/dexMethod.82560842.dat
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdt_config.cfg
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/install_sent.xml
- /data/data/####/installation
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1308218362.so
- /data/data/####/libyaqbasic.82560842.so
- /data/data/####/libyaqpro.82560842.so
- /data/data/####/multidex.version.xml
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_socialize.xml.bak
- /data/data/####/update_lc
- /data/data/####/ut.db
- /data/data/####/ut.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/yaqsdkcookie
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/10ftalibep0za5mgmfe2mahi5
- /data/media/####/13t09spwewe34q4yu7uyq44xn
- /data/media/####/1fynnoglkp0qx52xej6onk9rr
- /data/media/####/1l04sx517y4h1975ma5vlc1qb
- /data/media/####/21riv55iacnoi071zhx81rnka
- /data/media/####/234f5ol7y71idbj5k3yw3deo3
- /data/media/####/23gcn77kz5jqeltdp1qp210kd
- /data/media/####/24o6d628ik4gy2nh5ijj66sv6
- /data/media/####/25phdmqw0jow3k5i62jco8d8r
- /data/media/####/2a3ie6zvvkd4jizg3iuooj0mr
- /data/media/####/2d0gidnwppfuvplenq910c392
- /data/media/####/2dncagycygxs8kji5wyxffqim
- /data/media/####/2hkaxp7rrpdu0c0izzw2viwjh
- /data/media/####/2k5df8sn1ylymr0yvt1ojqhbv
- /data/media/####/3gw89fjlwa8w8atybpr6cipci
- /data/media/####/3lfqffmdbpepuiyrtq6wj3bh4
- /data/media/####/3olzez9zvpqgunggi7fq91zer
- /data/media/####/3v8cj0tnz6ww716ebpg0r0ikk
- /data/media/####/48q9krq47kcrllpnbqrbppomw
- /data/media/####/4dp7qpx8mie6x8ejp7cr7ru9s
- /data/media/####/4jo29d8fh5qe9h4za1tnxzwid
- /data/media/####/4m68j9azd9m39k1gmeea93tgw
- /data/media/####/4yhy57b0pucf2s22dar1w650n
- /data/media/####/58qo7catqrfkz8ahbbv1q32ks
- /data/media/####/5cyxphzyfamuazbyz35ee65y
- /data/media/####/5dw2llurqlqoxdk1t9jkqu92x
- /data/media/####/5m7g68r7cc3bymmx8xyrlsow4
- /data/media/####/6syc189qkli9ph1zjwjjm60g5
- /data/media/####/710n7hlwnxg5lp4abhbof5bix
- /data/media/####/72wdf1tofmdh2laax3eu7ttmi
- /data/media/####/75ky1jgij7ae39q7tom57dudc
- /data/media/####/7b9ny5h3i8robyl0lfq078do0
- /data/media/####/7dsk0i59w9fyukypp9xb2b8un
- /data/media/####/7hq71pig1s893h9tte76p7yte
- /data/media/####/7k6e0u9epjprkrfc4wvnquj3y
- /data/media/####/9x3s5ok6jpoylnnzgfn44i1w
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/dontpanic.cp
- /data/media/####/j9rtcdkjdr1ek9taf1mc6iaa
- /data/media/####/jc7co5sepdfvbn6cha4pb0jt
- /data/media/####/junshitoutiao.apk
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- chmod 755 <Package Folder>/.jiagu/libjiagu-1308218362.so
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- crash_analysis
- libjiagu-1308218362
- libyaqbasic.82560842
- libyaqpro.82560842
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
