Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) web.jianyez####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) dfs.jianyez####.cn:8090
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) reso####.msg.xi####.net:80
- TCP(HTTP/1.1) 1####.117.97.14:80
- TCP(HTTP/1.1) dfs.qing####.cn:8090
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP(TLS/1.0) s####.tc.qq.com:443
- TCP 47.74.1####.155:5222
- TCP 4####.62.94.2:5222
Запросы DNS:
- a####.exc.mob.com
- a####.u####.com
- api.s####.mob.com
- dfs.jianyez####.cn
- dfs.qing####.cn
- hm.b####.com
- loc.map.b####.com
- r####.wx.qq.com
- regi####.xm####.xi####.com
- reso####.msg.xi####.net
- s####.map.b####.com
- web.jianyez####.cn
Запросы HTTP GET:
- dfs.jianyez####.cn:8090/group1/M01/15/65/Cqzw1FilhyeAN7ySAAANxwoZaVg645....
- dfs.jianyez####.cn:8090/group1/M01/15/65/Cqzw1FilhzqAVb_4AAAMQ6xp9lk678....
- dfs.jianyez####.cn:8090/group1/M01/15/6C/CqyzcFilhwaAcRW_AAAMSL1bhG8908....
- dfs.jianyez####.cn:8090/group1/M01/15/6C/CqyzcFilhxeAIleoAAAL81QgPkc482....
- dfs.jianyez####.cn:8090/group1/M02/57/F5/Cqzw1FvloXCAIKfmAABAUjD21tg911....
- dfs.jianyez####.cn:8090/group1/M02/92/7E/Cqzw1FxrqGOAPWDkAAAwAwJtR0I092....
- dfs.jianyez####.cn:8090/group1/M02/92/7E/Cqzw1FxrqUSAEDvHAAQ8J13E3bM775....
- dfs.jianyez####.cn:8090/group1/M02/92/7E/Cqzw1FxrqUeAMq_sAABskR91nE8592....
- dfs.jianyez####.cn:8090/group2/M00/00/5A/CqsS71WQH96AKVIFAAAr7H9GNOo385....
- dfs.jianyez####.cn:8090/group2/M02/B2/27/CqsS71wuNqOAY0cQAABh5_LRoDM017....
- dfs.jianyez####.cn:8090/group2/M02/C1/DB/CqwC8FxO1jqATpWYAAAjS07cZBQ342....
- dfs.jianyez####.cn:8090/group2/M02/CA/3B/CqsS71xgJp-AP_eeAANGcPZFTGg239....
- dfs.jianyez####.cn:8090/group2/M02/CF/3C/CqsS71xqHWCAKZ3KAADK6KP2QF4955....
- dfs.jianyez####.cn:8090/group2/M02/D1/D6/CqwC8FxulHOAPbNWAABvAVZFA4M298....
- dfs.jianyez####.cn:8090/group2/M02/D2/D5/CqsS71xwqtSADIkDAAAZ1iur7SU890....
- dfs.jianyez####.cn:8090/group2/M02/D2/D9/CqsS71xwtvmAFzITAAAe4-tDcLg160....
- dfs.jianyez####.cn:8090/group2/M02/D2/EA/CqsS71xw8_OAJSb2AAAfxwEKuNI255....
- dfs.qing####.cn:8090/group2/M01/07/87/CqsS71bVaOKARSQlAAAOdIcU3UE485.png
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
- hm.b####.com/hm.js?d75959b####
- reso####.msg.xi####.net/gslb/?ver=####&type=####&connpt=####&uuid=####&l...
- web.jianyez####.cn/jianyeftweb//jianye_football_android_patch_2.6.0.jar
- web.jianyez####.cn/jianyeftweb/content_view.jspx?t=####&contentId=####
- web.jianyez####.cn/jianyeftweb/jianye/14458.jhtml?q=####&contentId=####&...
- web.jianyez####.cn/jianyeftweb/r/cms/ckplayer/ckplayer.js
- web.jianyez####.cn/jianyeftweb/r/cms/ckplayer/offlights.js
- web.jianyez####.cn/jianyeftweb/r/cms/front.js?v=####
- web.jianyez####.cn/jianyeftweb/r/cms/jquery.js
- web.jianyez####.cn/jianyeftweb/r/cms/jquery.lazyload.js
- web.jianyez####.cn/jianyeftweb/r/cms/jqueryUI/jquery-ui.js
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/css/DLBar.css?v=####
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/css/resizeHtmlFont.css?...
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/css/style.css?v=####
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/css/themeNews/subject.c...
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/img/video_play_normal@2...
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/js/common.js?t=####
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/js/game/zepto.min.js
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/js/overlay.js
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/js/spin.min.js
- web.jianyez####.cn/jianyeftweb/r/cms/www/default/weixin/js/dongsj.js?v=#...
- web.jianyez####.cn/videoPlay?videoFlv=####&videoMp4=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- loc.map.b####.com/offline_loc
- web.jianyez####.cn/jianyeftweb//app/checkupdate.json
- web.jianyez####.cn/jianyeftweb//app/firstrun.json
- web.jianyez####.cn/jianyeftweb//app/waist/nav.json
- web.jianyez####.cn/jianyeftweb//content/likecount.json
- web.jianyez####.cn/jianyeftweb//content/relate.json
- web.jianyez####.cn/jianyeftweb//extraChannel/list.json
- web.jianyez####.cn/jianyeftweb//hongbao/check.json
- web.jianyez####.cn/jianyeftweb//me/settings/save.json
- web.jianyez####.cn/jianyeftweb//user/device/save.json
- web.jianyez####.cn/jianyeftweb/app/fetchads.json
- web.jianyez####.cn/jianyeftweb/comments/count.json
- web.jianyez####.cn/jianyeftweb/comments/listWithReply.json
- web.jianyez####.cn/jianyeftweb/hotnews/carousel.json
- web.jianyez####.cn/jianyeftweb/hotnews/list.json
- web.jianyez####.cn/jianyeftweb/news/getContentImg.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/3snyHsn9aaEwBFVSvc-nu-oU06g.698862165.tmp
- /data/data/####/4ENLhMrOJ0x3Nfd2QOm0cJHgwp8.-339719604.tmp
- /data/data/####/4XTuyxzNIv8iaz8xaZu7_QRlXrc.1661343896.tmp
- /data/data/####/CPnaoYrFUV9SWZF1o1b9liwDCSQ.-2107569544.tmp
- /data/data/####/Ed9ptf0Or02NZnU9C2Le3NhhLs8.-270524335.tmp
- /data/data/####/Sf4vIuHP2oJ4gl4Eq1tbxyX3GcY.1405336639.tmp
- /data/data/####/Tgxz5stIRP2BNY7qxnMrAQyAV94.1328100431.tmp
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/Z04wp2b765TaY_UFAYj2BWupT68.135722662.tmp
- /data/data/####/authStatus_com.asyey.sport.xml
- /data/data/####/com.asyey.sport;pushservice
- /data/data/####/config.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/firll.dat
- /data/data/####/hack.apk
- /data/data/####/index
- /data/data/####/it2ciR7PimTV-PYPBmlwLuLabL8.-794019243.tmp
- /data/data/####/libjiagu.so
- /data/data/####/mipush.xml
- /data/data/####/mipush_account.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/mobclick_agent_cached_com.asyey.sport38
- /data/data/####/mobclick_agent_online_setting_com.asyey.sport.xml
- /data/data/####/multidex.version.xml
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/pref_registered_pkg_names.xml
- /data/data/####/sessionId.xml
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/txWX5NOF89MYgUFyZIZgtOmk6Zg.1072759679.tmp
- /data/data/####/uEKzXNOhkh7w5rjPaajMhkswBZg.1728959927.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.ba
- /data/media/####/.cuid
- /data/media/####/.dk
- /data/media/####/.lock
- /data/media/####/.nomedia
- /data/media/####/1tx2q2z6jrd98r096t5klxyx7.jpg.tmp
- /data/media/####/2dnm0xcmld8jb7v14z36p4dw2.jpg.tmp
- /data/media/####/31pu681epq6i3dp3bfe6397d.jpg.tmp
- /data/media/####/34comthluxggtht2kfmxkidjq.jpg.tmp
- /data/media/####/75umvsc292c7l4wcstehlo73d.jpg.tmp
- /data/media/####/Constant.CAROUSEL_URLRedian.0.tmp
- /data/media/####/Constant.HOTSPOT_PAGER_URLRedian.0.tmp
- /data/media/####/Constant.WAIST_NAVRedian.0.tmp
- /data/media/####/jianye_football_android_patch_2.6.0.jar
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ller.dat
- /data/media/####/log.lock
- /data/media/####/log1.txt
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/test.0
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- BaiduMapSDK_base_v3_6_1
- bitmaps
- libjiagu
- locSDK6a
- memchunk
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
