Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.gaoka####.cn:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) a1.eas####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) www.eas####.com:80
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- a####.exc.mob.com
- a1.eas####.com
- api.gaoka####.cn
- api.gaoka####.cn
- api.s####.mob.com
- ip.gaoka####.cn
- loc.map.b####.com
- reso####.gaoka####.cn
- www.eas####.com
Запросы HTTP GET:
- api.gaoka####.cn/Resource/document/20190415/2019041516151969278538403955...
- api.gaoka####.cn/Resource/document/20190415/2019041516381434224151109286...
- api.gaoka####.cn/Resource/document/20190415/2019041516470629846135034401...
- api.gaoka####.cn/images/document/b.png
- api.gaoka####.cn/images/document/c.png
- api.gaoka####.cn/images/document/h.png
- api.gaoka####.cn/images/document/p.png
- api.gaoka####.cn/images/document/x.png
- api.gaoka####.cn/inc/css/base.css
- api.gaoka####.cn/inc/js/jquery-1.8.3.js
- api.gaoka####.cn/ip.json
- api.gaoka####.cn/resource/ck_images/20190415164216052844624641588193.jpg
- api.gaoka####.cn/resource/default/2019-03-04141148.jpg
- api.gaoka####.cn/resource/default/201943174519.jpg
- api.gaoka####.cn/resource/image/201638164455.png
- api.gaoka####.cn/resource/image/2016429172256.png
- api.gaoka####.cn/resource/image/2016429172609.png
- api.gaoka####.cn/resource/image/2016614134317.png
- api.gaoka####.cn/resource/image/2016616105737.png
- api.gaoka####.cn/resource/image/2016616105759.png
- api.gaoka####.cn/resource/image/2016616105906.png
- api.gaoka####.cn/resource/image/2016712153723.png
- api.gaoka####.cn/resource/image/201691991643.png
- api.gaoka####.cn/web/document/default.cshtml?documentID=####
- www.eas####.com/easemob/server.xml?sdk_version=####&app_key=####&file_ve...
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a1.eas####.com/mingthink/mtgkm/devices
- api.gaoka####.cn/action/common.ashx
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-17864012891185388720
- /data/data/####/-17873546011185388720
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/755233654-1212371001
- /data/data/####/JPushSA_Config.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_last_session.json
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.mingthink.eijflygaokao.odex
- /data/data/####/com.mingthink.eijflygaokao.zip
- /data/data/####/com.mingthink.eijflygaokao_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/db_public-journal
- /data/data/####/device_id.xml.xml
- /data/data/####/dialogvalue.xml
- /data/data/####/easemob.sdk.pref.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/firll.dat
- /data/data/####/index
- /data/data/####/jpush_stat_cache.json
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/my_pref.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/secretary-journal
- /data/data/####/share_date.xml
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharedIpList.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1571437482.tmp
- /data/media/####/-1608800434.tmp
- /data/media/####/-1721167087.tmp
- /data/media/####/-1849692470.tmp
- /data/media/####/-2125923188.tmp
- /data/media/####/-429509736.tmp
- /data/media/####/-686109718.tmp
- /data/media/####/-884998775.tmp
- /data/media/####/.ba
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.dk
- /data/media/####/.lock
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/000.html
- /data/media/####/1256981169.tmp
- /data/media/####/1795802343.tmp
- /data/media/####/1892238280.tmp
- /data/media/####/1914795467.tmp
- /data/media/####/480847720.tmp
- /data/media/####/539953064.tmp
- /data/media/####/conlts.dat
- /data/media/####/ller.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/test.0
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- crash_analysis
- jpush215
- libjiagu
- locSDK6a
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
