Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) pag.jay####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- mt####.go####.com
- pag.jay####.com
- pi####.qq.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- pag.jay####.com/announce/v1/get.json
- pag.jay####.com/app/v1/upgrade.json
- pag.jay####.com/audit/query.json
- pi####.qq.com/mstat/report/?index=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.tpns.settings.xml.xml
- /data/data/####/1056713783635.0
- /data/data/####/1894372040051.0
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/201903120712617.v1.crash
- /data/data/####/201903120712683.v1.crash
- /data/data/####/20190312071299.v1.crash
- /data/data/####/201903120712995.v1.crash
- /data/data/####/201903120713415.v1.crash
- /data/data/####/6878764556658.0
- /data/data/####/94100839275666.0
- /data/data/####/_miad_sdk_module_versions.xml
- /data/data/####/base_path.xml
- /data/data/####/com.jaython.mappag.mid.world.ro.xml
- /data/data/####/com.jaython.mappag_preferences.xml
- /data/data/####/getui_sp.xml
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-336815646.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/mappag_sp.xml
- /data/data/####/pref.xml
- /data/data/####/pri_tencent_analysis.db_com.jaython.mappag-journal
- /data/data/####/pri_tencent_analysis.db_com.jaython.mappag;push...ournal
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/tencent_analysis.db_com.jaython.mappag-journal
- /data/data/####/tencent_analysis.db_com.jaython.mappag;pushservice-journal
- /data/media/####/._global.db
- /data/media/####/.nomedia
- /data/media/####/1552374733010.db
- /data/media/####/1552374755289.db
- /data/media/####/1552374770951.db
- /data/media/####/1552374777352.db
- /data/media/####/1552374786137.db
- /data/media/####/174r45bhrnqjuh3340dap33uj
- /data/media/####/1crm5rb666kyf6g02yxicqxp0
- /data/media/####/1l82vtje3eq5uagrp0b5vamce
- /data/media/####/1plchnuwij5borua921x804vi
- /data/media/####/29x4qjztb0uwon4a7uxedlpdh
- /data/media/####/2d1ees2o84i9fph1gfdoqvegn
- /data/media/####/2n6cln7v1s9kbjvpj9782qp89
- /data/media/####/30ktwfjun8xazpx74jwew3h5k
- /data/media/####/35hctqytyoh790214qfju2yla
- /data/media/####/38zx2c3m5g6s6uf7ax7yxmfzh
- /data/media/####/3pv446y2gq96soegiiav7iodt
- /data/media/####/44i1rb7tw9sxmaaw23yogb8qa
- /data/media/####/4b2q8quxsfp5t4ooh7dvf9qn6
- /data/media/####/4bpsv0dtbc2oz1vpmomyfpvo0
- /data/media/####/4mi672o8omwzi2ck4uni53cm7
- /data/media/####/53siid8ow978k2saoiy9cinc2
- /data/media/####/54ui3ov1qmhfqcklpv2rj98s2
- /data/media/####/5qbbc4g11y8g97twwomg9r7xq
- /data/media/####/63rrvfq3jx8hbfcecabj5h0gc
- /data/media/####/67h7mxd897zm9yzx5bn8x1w8n
- /data/media/####/6deixbmktv8s7aif2e5sbv97v
- /data/media/####/79ygxzl61qgg41gvk2dvvq9ze
- /data/media/####/80kj0i6cry7dhdp817oazykt
- /data/media/####/GNaviConfig.xml
- /data/media/####/GSafeConfig.dat
- /data/media/####/alsn20170807.db
- /data/media/####/alsn20170807.db-journal
- /data/media/####/amap.tmp
- /data/media/####/app.db
- /data/media/####/bmdma3lwvgm3335px9gswlbg
- /data/media/####/changeplay.bin
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.jaython.mappag.bin
- /data/media/####/com.jaython.mappag.db
- /data/media/####/e2wlfqcqcrugu3w3iuvykm8o
- /data/media/####/global.db
- /data/media/####/global.rt
- /data/media/####/gmz7f7c72i7femd8vhjycg8y
- /data/media/####/journal
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu-336815646.so
- logcat -c
- logcat -d -v time
Загружает динамические библиотеки:
- AMapSDK_MAP_v6_1_0
- MtaNativeCrash_v2
- getuiext2
- libjiagu-336815646
- ndkbitmap
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
