Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) err.ta####.com:80
- TCP(HTTP/1.1) exbi####.q####.q####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) jiulv####.qun####.q####.com:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) jiulv####.qun####.q####.com:443
- TCP(TLS/1.0) ed45d2f####.bug####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
Запросы DNS:
- and####.cli####.go####.com
- api.jiulv####.com
- api.map.b####.com
- apis-ho####.ta####.com
- ed45d2f####.bug####.com
- err.ta####.com
- exbi####.q####.com
- sdk.o####.p####.####.com
- sen####.jiulv####.com
Запросы HTTP GET:
- err.ta####.com/error1.html
- jiulv####.qun####.q####.com/config/Android.conf?project=####
- jiulv####.qun####.q####.com/login/index.html?to=/config/Android.conf?pro...
- jiulv####.qun####.q####.com/login/index.html?to=/sa?project=####&project...
Запросы HTTP POST:
- exbi####.q####.q####.com/hybridUpgrade
- jiulv####.qun####.q####.com/sa?project=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.jg.ic
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/_andfix_.xml
- /data/data/####/authStatus_com.justravel.flight.xml
- /data/data/####/city_v13.db
- /data/data/####/city_v13.db-journal
- /data/data/####/com.justravel.flight
- /data/data/####/com.justravel.flight-journal
- /data/data/####/com.justravel.flight.xml
- /data/data/####/com.justravel.flight_preferences.xml
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
- /data/data/####/flight_app_font@0.0.1619590395.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/init_c1.pid
- /data/data/####/init_er.pid
- /data/data/####/journal.tmp
- /data/data/####/libBaiduMapSDK_base_v4_2_1.so
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/qunar_hy_res.xml
- /data/data/####/qunar_hy_res.xml.bak
- /data/data/####/sensorsdata.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/01e75ce0-b836-4550-ab6e-22879767493e
- /data/media/####/1350a375-611d-4ea9-9825-69670b59de61
- /data/media/####/20728de3-2895-4c25-a925-6c64d93218bd
- /data/media/####/21981692-76f9-4cb2-a97a-15f344d8f8cf
- /data/media/####/295d1c81-7a77-4156-8618-0e07c73c2198
- /data/media/####/29f33f71-0d0b-4ea2-9c0a-12dd03a766e9
- /data/media/####/38287dbf-21c1-4ca6-b814-2dec6aa0385c
- /data/media/####/5b4a798c-c3f9-4014-8c34-d719a534568c
- /data/media/####/5baad560-6c56-42a0-a974-2decbf181142
- /data/media/####/84fe894a-d36b-4269-8184-6f239721d6e1
- /data/media/####/94942445-74e1-4dec-85e7-42e69629e5b8
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/af6f636a-bd3a-4c6f-92d9-096cf44df3e1
- /data/media/####/bde4bc98-404b-48d0-89f3-64347a14b509
- /data/media/####/bf0418ef-959a-4b08-b1b6-987bfd23ade7
- /data/media/####/d2b6b9f0-739f-46f3-b468-a0233fd8e8f1
- /data/media/####/ea22c278-a09e-43fc-ba61-b8f48c3baeb1
- /data/media/####/f231aab1-3544-4986-8822-62de0d4ab0f7
- /data/media/####/fe8521c2-440a-4507-bc71-458f887dae08
- /data/media/####/flight_app_23_20170401161448.qp
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- logcat -v time -t 500 2291
- logcat -v time -t 500 2409
- logcat -v time -t 500 2585
- logcat -v time -t 500 2691
- logcat -v time -t 500 2861
- logcat -v time -t 500 3047
- logcat -v time -t 500 3565
- logcat -v time -t 500 3696
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_2_1
- Bugtags
- fb
- fbjni
- folly_json
- getuiext2
- glog
- gnustl_shared
- icu_common
- jsc
- libBaiduMapSDK_base_v4_2_1
- libfbjni
- libjiagu
- libreactnativejni
- maxent
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Отрисовывает собственные окна поверх других приложений.
