Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.icaipia####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) api.icaipia####.com:443
Запросы DNS:
- a####.u####.com
- a.appj####.com
- api.icaipia####.com
- p.zhangko####.cn
- s0.icaipia####.com
- so####.icaipia####.com
Запросы HTTP GET:
- api.icaipia####.com/api/v1/c/p?p=####
- api.icaipia####.com/api/v2/rank/landing?lottery_key=####
- api.icaipia####.com/api/v5/server/timestamp
- api.icaipia####.com/api/v6/lotterynums/latest/all
- api.icaipia####.com/api/v7/social/hitlist?count=####&max_id=####
- api.icaipia####.com/api/v7/social/hotlist?count=####&page=####
- api.icaipia####.com/api/v7/social/newlist?count=####&max_id=####
- api.icaipia####.com/api/v7/social/topandnoticelist
- api.icaipia####.com/static/icon/avatar.jpg?imageVi####
- t####.c####.q####.####.com/20180522/CD51EFEE6100DACA642BFE46B45139F3.jpg...
- t####.c####.q####.####.com/20181020/539366550C47F6579B177BE291561941.jpg...
- t####.c####.q####.####.com/20181126/ecaba05f33be6b6923c95cd712b17166.jpe...
- t####.c####.q####.####.com/20181127/06907f6788e79683987e7efdc33cbbd6.jpe...
- t####.c####.q####.####.com/20181127/a0690eaecf002c34c134ad8b1cfe5da2.jpe...
- t####.c####.q####.####.com/20181127/a405d4b1410e67c2630fdb5e235dfb5b.png...
- t####.c####.q####.####.com/20181127/a9a463f1a1885d080a0b699ea9ecd2f6.jpe...
- t####.c####.q####.####.com/20181127/bba28aaf2c5dfec85606577bbeea18ed.jpe...
- t####.c####.q####.####.com/20181127/be3de021fd21f3957d1aeac825cc0a70.png...
- t####.c####.q####.####.com/avatar/170117/30478243ab08fd67444746757130a05...
- t####.c####.q####.####.com/avatar/180705/4c2d47cf0a212e03a2802feaa24b201...
- t####.c####.q####.####.com/avatar/180820/164d5fd1a1c9dcaa8e9c88bf259df93...
- t####.c####.q####.####.com/avatar/181126/ec63ae9dd8d487000ee8b0089709237...
- t####.c####.q####.####.com/usericon_default.jpg?imageVi####
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- api.icaipia####.com/api/v5/server/activate
- api.icaipia####.com/api/v5/server/config
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-12116281631291240761
- /data/data/####/-12900595312022230669
- /data/data/####/-1334767784-752301165
- /data/data/####/-14932529442085446822
- /data/data/####/-149325294475075523
- /data/data/####/-157045110-1743029638
- /data/data/####/-1602307460-1378032039
- /data/data/####/-1690724853287298599
- /data/data/####/-17893987121944668222
- /data/data/####/-18389851321175655205
- /data/data/####/-1882240712-1288737698
- /data/data/####/-2020606643-186266873
- /data/data/####/-3087401091685983510
- /data/data/####/-618093335-1696870425
- /data/data/####/-838660796281488814
- /data/data/####/-89253449283544710
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/08aec4fa056ff92bd2f1f0ef854a18aa600e7abeb1149a8....0.tmp
- /data/data/####/105e7f83c241d69424447ba2ec274a62d0e08cb34e6ffff....0.tmp
- /data/data/####/1725fefe29f007baee8f799eaa95ffc0f57ff1649a277e5....0.tmp
- /data/data/####/1785704582-119718588
- /data/data/####/1f053faccf420c6dd947fbc8ddf740f8cf1d7a05b55c513....0.tmp
- /data/data/####/21090119561046727059
- /data/data/####/216572e39dcde5db80d38561734533983cc005eb64fe1bb....0.tmp
- /data/data/####/247688528481415754
- /data/data/####/253193064-1619705854
- /data/data/####/253193064-2039568853
- /data/data/####/363214831-101004511
- /data/data/####/36321483127994478
- /data/data/####/367472543943249124
- /data/data/####/391493655-401392928
- /data/data/####/3c1c9cd4b0c5cff6349ba6892a2dbb4ba613033c4834b8a....0.tmp
- /data/data/####/3f1caddab0556712a0390cd176aad71a70ac9d49b4161f0....0.tmp
- /data/data/####/4660908074315.0
- /data/data/####/49192526356261030
- /data/data/####/5f18c9ecd140a50fce52dd66dcceea806e486095b7e1b94....0.tmp
- /data/data/####/67652a45672d32d9ca47832374090cf3f54d49f94dcbf2e....0.tmp
- /data/data/####/7a81d93981e53a1da5bb3ef72b683428cc36912d6a0eef4....0.tmp
- /data/data/####/8189759841848542199
- /data/data/####/9060920413399.0
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/__cfg_lk_1312
- /data/data/####/b7fe75cb4bafb843baaf814bfca1fc435d90d76223f134d....0.tmp
- /data/data/####/baa215e7eb8ab8c95bed67c2d60faedd463e8cc04f6e080....0.tmp
- /data/data/####/c7a7e36a6b1509265800e4c7d73ea32622b08462c0a738c....0.tmp
- /data/data/####/cache.xml
- /data/data/####/cache_int.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.caokuku.caipiaobaodianha_preferences.xml
- /data/data/####/d62639b49ac4e795d1b493b89ebc40e2e436f9b980ea78b....0.tmp
- /data/data/####/d9a1c389a445eb8369de8f377d252feb8bdaf2372c4d29b....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/sfe.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/wv.xml
- /data/media/####/1ugitk6q9v1r6fpw5pgrlagv
- /data/media/####/2htxx2uxydy3f37wdxirb65f0
- /data/media/####/2k21vfy2cvwj5p3cgh90dewr1
- /data/media/####/5vgspxpwsz6c1i7yf31m7kfrl
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/kyhzd4i0r0lz38wookmp7mgi
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- _lbrl739
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
