Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ip####.com:80
- TCP(HTTP/1.1) up####.sdk.jig####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) bmob-cd####.b0.upa####.com:80
- TCP(HTTP/1.1) o####.b####.cn:80
- TCP(TLS/1.0) o####.b####.cn:443
- TCP(TLS/1.0) bmob-cd####.b0.upa####.com:443
- TCP(TLS/1.0) s####.j####.cn:443
- UDP s.j####.cn:19000
- TCP 1####.230.236.46:7004
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- bmob-cd####.b0.upa####.com
- ip####.com
- o####.b####.cn
- o####.b####.cn
- s####.j####.cn
- s.j####.cn
- sis.j####.io
- up####.sdk.jig####.cn
Запросы HTTP GET:
- bmob-cd####.b0.upa####.com/2018/09/19/bb103bb0b4c5439b9426cdc3b0ea20b5.png
- bmob-cd####.b0.upa####.com/2018/11/23/6af203e19c494b45abf5b9de1dbf29d7.png
- bmob-cd####.b0.upa####.com/2018/12/25/16d99cbeb26c4860af39a54ecb66b21a.png
- bmob-cd####.b0.upa####.com/2018/12/25/53bcd88f79a94325b39bab3ec072109a.png
- bmob-cd####.b0.upa####.com/2019/01/22/42832ae156744e34a3789a0741c0eb48.png
- bmob-cd####.b0.upa####.com/2019/01/22/d511d6f9c53e4ca788d4d943243077fa.png
- ip####.com/json
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- o####.b####.cn/8/init
- o####.b####.cn/8/secret
- up####.sdk.jig####.cn/v1/push/sdk/postlist
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-106815946
- /data/data/####/-1256049348
- /data/data/####/-1795434967
- /data/data/####/-1813379398
- /data/data/####/-894512560
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/065d0a878445476a1b8bbba5ba8039290c2d88621d7db89....0.tmp
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/1391917710
- /data/data/####/13c2c15ba03d397f09aaaa69bdae0ae623e5baad84fd16b....0.tmp
- /data/data/####/1413326915
- /data/data/####/17195168
- /data/data/####/1fb82ca2308e0f0028c2b11dbedbb267c5f0a38051d7fa3....0.tmp
- /data/data/####/2110136299
- /data/data/####/2490ae08e5d33498037ca82bfd91401852c950cf9f9d1b0....0.tmp
- /data/data/####/2a75d71ef2695b0c0318352c087b46f574adcf7daadc290....0.tmp
- /data/data/####/3d1d6f00d280321101367e646ffd6cee1cd355a41b30c84....0.tmp
- /data/data/####/66668f9651e66b77a6be25b0d63c2e99a4eca9009c3bc71....0.tmp
- /data/data/####/782269f898564120538c383fd8eb58eefd4840d1221c09d....0.tmp
- /data/data/####/7afd23f5261e65617ed3bf145b241edfe97e6f273c4ebeb....0.tmp
- /data/data/####/7b4bcfd5345c9a1c07ebabcaaa5a3eb0e067535a8dda129....0.tmp
- /data/data/####/93cd1dfcd8ee80659c518cb483e4c1a095ca300ebeceabe....0.tmp
- /data/data/####/97775d754d5856ccf71c0d50faa73b3277dd44cce43febb....0.tmp
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/JPushSA_Config.xml
- /data/data/####/a.b.c.d.e-10-10-143.jar
- /data/data/####/a.b.c.d.e.cache-10-10-100.dex
- /data/data/####/a.b.c.d.e.cache-10-10-100.jar
- /data/data/####/a3d6b44efb14672178441ee2e78144cb1083f3a793a6c3e....0.tmp
- /data/data/####/a943a76e0a560c728ba6d25f9c1d5e2b90dc27f7863476b....0.tmp
- /data/data/####/appPackageNames_v2
- /data/data/####/bmob_sp.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.jbh.pandawhite.BETA_VALUES.xml
- /data/data/####/com.jbh.pandawhite.BETA_VALUES.xml.bak (deleted)
- /data/data/####/crashrecord.xml
- /data/data/####/crashrecord.xml (deleted)
- /data/data/####/d12302d6645e9b920b31de178d4c92287eb017cdb5d45fe....0.tmp
- /data/data/####/e44dbb0f1aee62160817294b6f3dcf36ccc78c6887c4b3c....0.tmp
- /data/data/####/ef535f8f2f59f2db7b4af76adb010e0eb9574b21d1ba828....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f5bebf36e606c4d8c4101a8fa2ccbcc25ee39fbe1d51574....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_local_notification.db-wal
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/jpush_statistics.db-shm (deleted)
- /data/data/####/jpush_statistics.db-wal
- /data/data/####/libjiagu-1765699352.so
- /data/data/####/local_crash_lock
- /data/data/####/native_record_lock
- /data/data/####/native_record_lock (deleted)
- /data/data/####/p.l
- /data/data/####/plugin_376d44695d5a674865.xml
- /data/data/####/plugin_com.jbh.pandawhite_preferences.xml
- /data/data/####/plugin_v3_a.b.c.d.e-10-10-143.jar.lock
- /data/data/####/plugin_v3_a.b.c.d.e.cache-10-10-100.jar.lock
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/wakeup_cache.json
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/ormlite-db-date.db
- /data/media/####/ormlite-db-date.db-journal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- getprop
Загружает динамические библиотеки:
- Bugly
- bmob
- jcore119
- libjiagu-1765699352
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
