Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 2####.130.43.40:80
- TCP(HTTP/1.1) 1####.171.194.212:80
- TCP(HTTP/1.1) api.w####.cn:80
- TCP(HTTP/1.1) 1####.185.177.223:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) rp-na####.ron####.com:80
- TCP(HTTP/1.1) mrobot-####.pcon####.com.cn:80
- TCP(TLS/1.0) img.pcon####.com.####.cn:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) js.3con####.com:443
- TCP(TLS/1.0) m.im####.com:443
- TCP(TLS/1.0) mr####.pc####.com.cn:443
- TCP(TLS/1.0) mrobot-####.pcon####.com.cn:443
- TCP(TLS/1.0) w####.pc####.com.cn:443
- TCP(TLS/1.0) my.pc####.com.cn:443
- TCP(TLS/1.0) pass####.w####.cn:443
- TCP(TLS/1.0) i####.pch####.com.cn:443
- TCP(TLS/1.0) l####.s####.com.cn:443
- TCP 1####.92.22.163:8618
Запросы DNS:
- api.w####.cn
- api.w####.com
- i####.pc####.com.cn
- i####.pch####.com.cn
- i####.pcon####.com.cn
- i3s####.pc####.com.cn
- i3s####.pc####.com.cn
- i3s####.pch####.com.cn
- i3s####.pcon####.com.cn
- i3ss####.pc####.com.cn
- i3ss####.pc####.com.cn
- i3ss####.pc####.com.cn
- i3ss####.pch####.com.cn
- i3ss####.pcon####.com.cn
- i3tss####.pcon####.com.cn
- j####.3con####.com
- l####.s####.com.cn
- loc.map.b####.com
- m.im####.com
- mr####.pc####.com.cn
- mr####.pcon####.com.cn
- mrobot-####.pcon####.com.cn
- my.pc####.com.cn
- nav.cn.ron####.com
- o####.w####.cn
- pass####.w####.cn
- w####.pc####.com.cn
- w####.pcon####.com.cn
- w1s####.pc####.com.cn
- w1s####.pc####.com.cn
- w1s####.pc####.com.cn
- w1s####.pch####.com.cn
- w1s####.pcon####.com.cn
Запросы HTTP GET:
- api.w####.cn/2/client/common_config?appkey=####&packagename=####&key_has...
Запросы HTTP POST:
- loc.map.b####.com/sdk.php
- mrobot-####.pcon####.com.cn/netinfo.jsp?nohttps=####
- rp-na####.ron####.com/navipush.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/HttpLogDB.db-journal
- /data/data/####/PUSH_STATUS.xml
- /data/data/####/account_pre.xml
- /data/data/####/autoclub.db-journal
- /data/data/####/bbs.config
- /data/data/####/brand.config
- /data/data/####/cdn.db-journal
- /data/data/####/club.xml
- /data/data/####/com_sina_weibo_sdk.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/fans.xml
- /data/data/####/firll.dat
- /data/data/####/framwork.xml
- /data/data/####/httpdns.xml
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/mofang_data_analysis.db-journal
- /data/data/####/mofang_data_analysis.xml
- /data/data/####/multidex.version.xml
- /data/data/####/offinfo.dat
- /data/data/####/rong_msg.xml
- /data/data/####/rong_version
- /data/data/####/rong_version-journal
- /data/data/####/setting_menu_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/weibo_sdk_aid1
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/0115942888dcc43d1d11868f34a44df4.0.tmp
- /data/media/####/0115942888dcc43d1d11868f34a44df4.1.tmp
- /data/media/####/01f3869cbcb5e2e0848121cf8d774ed2.0.tmp
- /data/media/####/01f3869cbcb5e2e0848121cf8d774ed2.1.tmp
- /data/media/####/0554836e1bba88b9a735f8da8f047835.0.tmp
- /data/media/####/0554836e1bba88b9a735f8da8f047835.1.tmp
- /data/media/####/0c5dc758c5ca653a074d9da356d98a1e.0.tmp
- /data/media/####/0c5dc758c5ca653a074d9da356d98a1e.1.tmp
- /data/media/####/563f71282a27583211643694948f3db7.0.tmp
- /data/media/####/563f71282a27583211643694948f3db7.1.tmp
- /data/media/####/6ee1312d9383d73d43d80907787823da.0.tmp
- /data/media/####/6ee1312d9383d73d43d80907787823da.1.tmp
- /data/media/####/805bcc988a9b824d63a4b2ec0d1c6fec.0.tmp
- /data/media/####/805bcc988a9b824d63a4b2ec0d1c6fec.1.tmp
- /data/media/####/85a2564e1eb7279e051dd86f01cc640a.0.tmp
- /data/media/####/85a2564e1eb7279e051dd86f01cc640a.1.tmp
- /data/media/####/97429d6bd41a5767b76cc02bf52e56eb.0.tmp
- /data/media/####/97429d6bd41a5767b76cc02bf52e56eb.1.tmp
- /data/media/####/ae551a3ef37f35fdf507aa553bc6817e.0.tmp
- /data/media/####/ae551a3ef37f35fdf507aa553bc6817e.1.tmp
- /data/media/####/b5fcf10f15b788e23244aa94d637eec2.0.tmp
- /data/media/####/b5fcf10f15b788e23244aa94d637eec2.1.tmp
- /data/media/####/conlts.dat
- /data/media/####/d536716f668978bb89594f7f6935f82d.0.tmp
- /data/media/####/d536716f668978bb89594f7f6935f82d.1.tmp
- /data/media/####/ea9288aebb79ab5e3adb315a36caf025.0.tmp
- /data/media/####/ea9288aebb79ab5e3adb315a36caf025.1.tmp
- /data/media/####/f219686f74730ccbdef282778144a680.0.tmp
- /data/media/####/f219686f74730ccbdef282778144a680.1.tmp
- /data/media/####/f603dd99d3f41a637f5a03830849cd72.0.tmp
- /data/media/####/f603dd99d3f41a637f5a03830849cd72.1.tmp
- /data/media/####/f8e3a5409bf9c54ac810158d03b2e659.0.tmp
- /data/media/####/f8e3a5409bf9c54ac810158d03b2e659.1.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- BaiduMapSDK_v3_2_0_15
- RongIMLib
- libjiagu
- locSDK5
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
