Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.icaipia####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(TLS/1.0) api.icaipia####.com:443
- TCP(TLS/1.0) u.zhug####.com:443
Запросы DNS:
- a####.u####.com
- api.icaipia####.com
- imgc####.qq.com
- mi.g####.qq.com
- odqcj####.bkt.clo####.com
- p.wangca####.com
- p.zhangko####.cn
- s####.e.qq.com
- s0.icaipia####.com
- u.zhug####.com
Запросы HTTP GET:
- api.icaipia####.com/api/v1/c/p?p=####
- api.icaipia####.com/api/v2/rank/landing?lottery_key=####
- api.icaipia####.com/api/v5/server/timestamp
- api.icaipia####.com/api/v6/lotterynums/latest/all
- api.icaipia####.com/api/v7/social/hotlist?count=####&page=####
- api.icaipia####.com/api/v7/social/topandnoticelist
- mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- t####.c####.q####.####.com/avatar/180206/4f9dfa04d4e0bd2d2c8a0d06f483f2d...
- t####.c####.q####.####.com/avatar/180206/e170a00b050e97f46710c18c59ac04b...
- t####.c####.q####.####.com/avatar/190407/7bccc9fa30314908a2f4d88f42cad02...
- t####.c####.q####.####.com/avatar/190407/d316e1abeb417ee3697beba58137cc4...
- t####.c####.q####.####.com/avatar/190407/e3d99c9edc1a67081d85bc97f809629...
- ti####.c####.l####.####.com/20190331/8CED97B6AFD5639C3E54E563F7F7AA0A.jp...
- ti####.c####.l####.####.com/20190407/49D092DA60E46C7ABF6E016CC3B6041C.jp...
- ti####.c####.l####.####.com/20190407/67c46b3f5617a388dd5c7cb9e8d0ff69.jp...
- ti####.c####.l####.####.com/20190407/b2fbcaaa7ed7fe8e2d3bccfa9715e021.pn...
- ti####.c####.l####.####.com/20190407/e213dcf7ccf9e7f5909891a30869b8bf.jp...
- ti####.c####.l####.####.com/EED88A61125F5107A98F8DC0BF86BB46.jpg?imageVi...
- ti####.c####.l####.####.com/F2350B702E004B7FF86FEFF5EB46CBE3.jpg?imageVi...
- ti####.c####.l####.####.com/recommend/master/171023132946/216.jpg?imageV...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.icaipia####.com/api/v5/server/activate
- s####.e.qq.com/activate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-117889334996384371
- /data/data/####/-1185009659-790896001
- /data/data/####/-12199067261279249166
- /data/data/####/-12692730551294048230
- /data/data/####/-13745405771175837673
- /data/data/####/-14932529442085446822
- /data/data/####/-149325294475075523
- /data/data/####/-17893987121944668222
- /data/data/####/-1855992729-331909278
- /data/data/####/-19096045061170456815
- /data/data/####/-234770042-267016356
- /data/data/####/-261062361562003031
- /data/data/####/-384300002181598834
- /data/data/####/-384345446-1986514703
- /data/data/####/-415823475-422715103
- /data/data/####/-415824487-1087703884
- /data/data/####/-415866225983505911
- /data/data/####/-8745641591307901909
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/00ce8e1d35b1d269a07f25d3e7ee5474ec0a795babaaf0d....0.tmp
- /data/data/####/1130942850-145910766
- /data/data/####/11837084421069556785
- /data/data/####/1754330651334465641
- /data/data/####/17704942291380662497
- /data/data/####/1785704582-119718588
- /data/data/####/21090119561046727059
- /data/data/####/2128752473824434320
- /data/data/####/23960b866b67514359a73dd43dd51e175b7ad84bb722964....0.tmp
- /data/data/####/253193064-1619705854
- /data/data/####/253193064-2039568853
- /data/data/####/309f0b07ec5c1283b579982c0af938889ae10b1c51141ac....0.tmp
- /data/data/####/3843dfa35dde45945ce19bb57d2922ac548b3739e2f7453....0.tmp
- /data/data/####/44fecbb96f8843068775775373db15227b13b07744158cd....0.tmp
- /data/data/####/4743163c10fe78022df6c24c3d96a52c1a581b88faf21b0....0.tmp
- /data/data/####/4da2716867d5d408d5f4c514585d2a12bcae71442c65999....0.tmp
- /data/data/####/550312021a35794b8c65a50e9b1a1376806224048b3987e....0.tmp
- /data/data/####/6f97131b1d1fe4f50d6e8e61025f9e0d17d01f8c1d05c14....0.tmp
- /data/data/####/7a5e2532055cf6bd02020f8a37a7b1313eb1359c1416f37....0.tmp
- /data/data/####/9f4769cd06115856476bd781e96557f4ceeee0c0c678064....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/__cfg_lk_1312
- /data/data/####/a269df06dbe2e6634f09dbb9cd61df91f5d3dc937f40530....0.tmp
- /data/data/####/a76f0dcf904cbbb538d49386b3978c886316d57e20bbe58....0.tmp
- /data/data/####/b47c2e150a369eb5868b5c61850f2c4bda1895d8657f4b8....0.tmp
- /data/data/####/c20abcf32d4f980ef78c5bedf47c707937a6d0a41d33459....0.tmp
- /data/data/####/cache.xml
- /data/data/####/cache_int.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.mango.daletou_preferences.xml
- /data/data/####/com.mango.daletoub9b6adcf440d44f7a66b807e577ad460.xml
- /data/data/####/dd4c403e76e4aaa503c08d1337beaa58db11ccf24df55b4....0.tmp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/getui_sp.xml
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu870394645.so
- /data/data/####/multidex.version.xml
- /data/data/####/pushsdk.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/data/####/zhuge
- /data/data/####/zhuge-journal
- /data/media/####/2k21vfy2cvwj5p3cgh90dewr1
- /data/media/####/4dfn7105q3p6ct7y1bwjlc7v0
- /data/media/####/6ps7ytm0q9suaubk4e5vxux7p
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu870394645.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu870394645
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- DES
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
