Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.cto####.com:80
- TCP(HTTP/1.1) a####.oss-cn-####.aliy####.com:80
- TCP(SSL/3.0) 312fdc5####.bug####.com:443
- TCP(TLS/1.0) 312fdc5####.bug####.com:443
Запросы DNS:
- 312fdc5####.bug####.com
- a####.oss-cn-####.aliy####.com
- c####.cto####.com
Запросы HTTP GET:
- a####.oss-cn-####.aliy####.com/1447cebaa29d96b89ee379bc09c17996.jpg
- a####.oss-cn-####.aliy####.com/1ccc589dd4e0b2fbdba841cb99190483.jpg
- a####.oss-cn-####.aliy####.com/27f60d5da4815f039dacdefc1dbd8757.jpg
- a####.oss-cn-####.aliy####.com/2a4109770cfa63cf3cf428b3240a3c36.jpg
- a####.oss-cn-####.aliy####.com/2db990c821de49e3facc4e7b19522cd9.jpg
- a####.oss-cn-####.aliy####.com/35f83fc23c0aaaee7bb91810d722551b.jpg
- a####.oss-cn-####.aliy####.com/39260dc1bcd4e98b9889ecdf6f444ad6.jpg
- a####.oss-cn-####.aliy####.com/392a27d980fa05860ea655a3436b1ff9.jpg
- a####.oss-cn-####.aliy####.com/43430daf4698afcb3ed74065a5ceb9bf.jpg
- a####.oss-cn-####.aliy####.com/4817be77155768843ddc8746b61636a6.jpg
- a####.oss-cn-####.aliy####.com/88587a7ae31b1476d735911c13edd266.jpg
- a####.oss-cn-####.aliy####.com/a7f433293a52d5926e10653c4908896b.jpg
- a####.oss-cn-####.aliy####.com/c8620118d672fb736f21ea3c88688ec2.jpg
- a####.oss-cn-####.aliy####.com/cfbe6c3f78efcc1920c518080ae6c191.jpg
- a####.oss-cn-####.aliy####.com/dd791d8f95b9e1b1429faceee2eaf3b1.jpg
- a####.oss-cn-####.aliy####.com/e18e84a2c425aba8ccc93ca7beaa3f10.jpg
- a####.oss-cn-####.aliy####.com/e1a0f8a1f9a57108037a2d9fb0b20c86.jpg
- a####.oss-cn-####.aliy####.com/f41714dd05c3a2e713912fbb50654f7f.jpg
- a####.oss-cn-####.aliy####.com/fb6b01a3d8fc36a3b427e53eb401d3dc.jpg
Запросы HTTP POST:
- c####.cto####.com/chuyi/home/homezone
- c####.cto####.com/chuyi/home/homezoneproduct
- c####.cto####.com/chuyi/product/detail
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1lh0egxlzhebhiju7w3x8jjql0.tmp
- /data/data/####/2crj3ca0jebnkojuw0byqd3sm0.tmp
- /data/data/####/2gm5lu5v6ccac6jbjp3mqd6fj0.tmp
- /data/data/####/2ls80we6mc50z0mbp1t251rjj0.tmp
- /data/data/####/2opkt8z87yrro0ycmbz6ss8gs0.tmp
- /data/data/####/2q3pxv5gms54yasmi4tpy9efp0.tmp
- /data/data/####/2qp6nbx7sy49tua8ir5gcagwa0.tmp
- /data/data/####/3be4rg70jshc2ncvrjhbcao2k0.tmp
- /data/data/####/3m8vzqdsjksxydde6glx7nzbk0.tmp
- /data/data/####/3s3vb10yxb0x8uwj84f4gsurf0.tmp
- /data/data/####/446sj1x6wzj99qdi5e7pm61hy0.tmp
- /data/data/####/4egrydz811gq1l1f2onpa1wbn0.tmp
- /data/data/####/5m1o00ddn8vmottp7jhmb8h6m0.tmp
- /data/data/####/5t1blvz6l2xzu1sga6pv26gru0.tmp
- /data/data/####/6yok2ka32siuws76ggr5bluqo0.tmp
- /data/data/####/7j41l5v15btzkw0ug555had8q0.tmp
- /data/data/####/7jypepbb25s1yt355r7yuilxa0.tmp
- /data/data/####/com.hcb.apparel_preferences.xml
- /data/data/####/journal.tmp
- /data/data/####/le0g520a1fzv4iyiysc4gyrs0.tmp
- /data/data/####/libjiagu.so
- /data/data/####/qytw1xyvyysyrmiez5439yjb0.tmp
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- Bugtags
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
