Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) oss.newairc####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) h5.newairc####.com:80
- TCP(TLS/1.0) oss.newairc####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- a.appj####.com
- c####.g####.ig####.com
- c.sz.gt.####.com
- d####.opensp####.cn
- h####.opensp####.cn
- h5.newairc####.com
- img.newairc####.com
- oss.newairc####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- h####.opensp####.cn/launchconfig?t=####&p=####
- h5.newairc####.com/api/getArticles?sid=####&cid=####&lastFileID=####&row...
- h5.newairc####.com/api/getColumns?sid=####&cid=####
- h5.newairc####.com/api/getConfig?sid=####
- oss.newairc####.com/global/user/xjsyb/mobile/config/kelamayiV4.1.2.apk
- oss.newairc####.com/xjsyb/pic/201608/17/5e0497a1-e190-48b9-9e56-90749b87...
- oss.newairc####.com/xjsyb/pic/201704/26/c6a589b7-6abf-4dd3-904b-d213b81a...
- oss.newairc####.com/xjsyb/pic/201705/03/276e966f-3106-4bbb-99d2-ac248a28...
- oss.newairc####.com/xjsyb/pic/201807/04/67852da4-439f-4af9-90fb-4586634a...
- oss.newairc####.com/xjsyb/pic/201809/12/ec50bcc5-baf0-4f89-ad5a-e1d07607...
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1312716470
- /data/data/####/-1382243045
- /data/data/####/-1382243046
- /data/data/####/-1382243047
- /data/data/####/-1382243048
- /data/data/####/-1382902230
- /data/data/####/-1383102238
- /data/data/####/-1383110019
- /data/data/####/-1383907527
- /data/data/####/-1384064140
- /data/data/####/-1384064143
- /data/data/####/-1384064165
- /data/data/####/-2079508869
- /data/data/####/-350544798
- /data/data/####/-381564605
- /data/data/####/-412584412
- /data/data/####/-443604219
- /data/data/####/.jg.ic
- /data/data/####/1245811404
- /data/data/####/1338870825
- /data/data/####/1368508736
- /data/data/####/1389023919
- /data/data/####/1695857311
- /data/data/####/1835892740
- /data/data/####/197274163
- /data/data/####/2014112968
- /data/data/####/2014112974
- /data/data/####/2015074901
- /data/data/####/2015274909
- /data/data/####/386967948
- /data/data/####/492051230
- /data/data/####/563375650
- /data/data/####/722458757
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/QQ_3x.png
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/base.css
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/columnId.xml
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/comment_user_head_icon.png
- /data/data/####/core_info
- /data/data/####/db_founder0-journal
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_praise.png
- /data/data/####/icon_praiseStar.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.founder.kelamayi.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libjiagu.so
- /data/data/####/loading.png
- /data/data/####/mobclick_agent_cached_com.founder.kelamayi17
- /data/data/####/news_detail.html
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/sanjiaoxing.png
- /data/data/####/shareTimeline_3x.png
- /data/data/####/sina_3x.png
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/umeng_general_config.xml
- /data/data/####/video.png
- /data/data/####/wx_3x.png
- /data/media/####/031e890eb11144a85c148611d9a8b5fc1ca107cb9953bf....0.tmp
- /data/media/####/055e70062503dafab09c5318d8fcccb827537a9feb1f7d....0.tmp
- /data/media/####/39dab890c38fc5e5187c82c23fb804d1337f4aa4db286f....0.tmp
- /data/media/####/40a0f50164032c4c966659c99399a8429344d9acbcb6ee....0.tmp
- /data/media/####/43072a175bc06a49529eae8ed8e61aaa69615c54e11f50....0.tmp
- /data/media/####/4eb77232f87ec385e746f0f78324e9ee9271f5df649062....0.tmp
- /data/media/####/6784e917627dcda66f77f79e340915c2a458eec16bc271....0.tmp
- /data/media/####/67d91f207a22f3cc464d2356b86a148cb651f8c18080c8....0.tmp
- /data/media/####/692f606cb55e977354583fe882f1f1834833635b04645d....0.tmp
- /data/media/####/76f3536c190c2eb70c75aed4d2aefccf49995ae534ae85....0.tmp
- /data/media/####/7b4d933a47b079efb46d1e5651107a135dc0251d93fbd3....0.tmp
- /data/media/####/893daa5ce7ce11fa993f37af65856233c707750a2e664a....0.tmp
- /data/media/####/89e05ea5939dd0c639263886f9213b93ee14fa4b45d792....0.tmp
- /data/media/####/8bf34bcce64a6f68d58ca4a0aaaa0076be5e8b8588d0ab....0.tmp
- /data/media/####/8e4f505913869a4e49f42b671fc97ebb724f350e297262....0.tmp
- /data/media/####/907e0eaa128d4add2074575dc8ce5858e905017f07cfd8....0.tmp
- /data/media/####/a73b27d8e87746414f2d49d4a37cf64b2da6ad87f57524....0.tmp
- /data/media/####/ab3a207d076caf23b408f107dc46263bca293a6343cbc6....0.tmp
- /data/media/####/aeea81c5ead8990237c28449473d83a42a4673d5f31d03....0.tmp
- /data/media/####/af880ab7de03e8e3465a42e03532b1f873be57f64c993c....0.tmp
- /data/media/####/app.db
- /data/media/####/b0acca17b7968344aeace80a0b44071ab0f0be932f7fe0....0.tmp
- /data/media/####/b21f5dac9293f710819408404933dcc5676ea0c1f3af0a....0.tmp
- /data/media/####/bff411c8aad37123292166edeb11d66f8601f8762d20dd....0.tmp
- /data/media/####/c3fba9331cf57b49d7e0b7f5efaa6320bd0fb0a14e2777....0.tmp
- /data/media/####/com.founder.kelamayi.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/d38197f56962ef0dbdc9491ffcce25632d81f99016c757....0.tmp
- /data/media/####/d502476367eefae6850609f0aff148f3f25ce537f6dd3e....0.tmp
- /data/media/####/e0c7ecd0c78b7e02a7d8bb5db5210aa160c68e8cfb1ccc....0.tmp
- /data/media/####/e72f0068e3245d85beb482fe6ce97526340e0b1965b3db....0.tmp
- /data/media/####/f63cb77ceeff24d447593a07a7b97858e2a6959532fbba....0.tmp
- /data/media/####/iflyworkdir_test
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- getuiext2
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
