Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) biz.q####.com:80
- TCP(HTTP/1.1) caesa####.qi####.com:80
- TCP(HTTP/1.1) i.t####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) c####.x####.com.####.com:443
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) biz.q####.com:443
- TCP(TLS/1.0) 1####.217.20.106:443
- TCP(TLS/1.0) 1####.217.19.202:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) app-ro####.leanc####.cn:443
- TCP(TLS/1.0) av1.x####.com:443
- TCP(TLS/1.0) d####.c####.l####.####.com:443
- TCP(TLS/1.2) 1####.217.20.106:443
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- and####.google####.com
- app-ro####.leanc####.cn
- av1.x####.com
- biz.q####.com
- c####.q####.com
- c####.x####.com
- c####.x####.com
- c####.zqf.com.cn
- caesa####.qi####.com
- i.t####.com
- instant####.google####.com
- ip.ta####.com
- m####.go####.com
- s####.zqf.com.cn
- sdk.c####.ig####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- biz.q####.com/Api/Quote/Index?output=####&obj=####&subcode=####
- biz.q####.com/v4/Api/kbspirit?type=####&market=####&count=####&output=####
- caesa####.qi####.com/favicon.ico
- caesa####.qi####.com/vouchers/home?flush=####&appsource=####
- d####.c####.l####.####.com/WechatIMG11.jpeg
- d####.c####.l####.####.com/fuceng-qiandao@3x.png
- d####.c####.l####.####.com/wenjuandiaochabanner.jpg
- d####.c####.l####.####.com/youhuiquan100.png
- i.t####.com/a/38a05f99156d1cd8947e1e77917297d1e
- ip.ta####.com/service/getIpInfo2.php?ip=####
- q####.c####.l####.####.com/config/hz-hzv6.conf
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.jgck
- /data/data/####/1478b2a76ce66bc1271e20a2a06cf2d646a87c43676efb7....0.tmp
- /data/data/####/1575075388479_3203
- /data/data/####/1575075393157_3336
- /data/data/####/1575075393540_3336
- /data/data/####/1575075394172_3336
- /data/data/####/1575075394526_3336
- /data/data/####/1575075395201_3336
- /data/data/####/1575075395351_3336
- /data/data/####/1575075395423_3336
- /data/data/####/1575075395738_3336
- /data/data/####/1575075397299_3336
- /data/data/####/1575075418881_3336
- /data/data/####/1575075422085_3336
- /data/data/####/1575075436855_3587
- /data/data/####/1575075437195_3587
- /data/data/####/1575075437860_3587
- /data/data/####/1575075438050_3587
- /data/data/####/1575075439431_3587
- /data/data/####/1575075445618_3336
- /data/data/####/1575075446107_3336
- /data/data/####/1838dc6926a43d6900e6650de460092d0957351f970cd45....0.tmp
- /data/data/####/1a84075059f2a8362a57a347fb4378ee983f353560937bf....0.tmp
- /data/data/####/1b237baed751553aac99eb1d4c0bd4c7538605afa3d1232....0.tmp
- /data/data/####/249489e08d0351e66462b580796928a4b66ce6383758e2c....0.tmp
- /data/data/####/3fcc41f57177f7a1_0
- /data/data/####/449f63767ff115814c19b74ed66e410715e2b1f5e49d632....0.tmp
- /data/data/####/694cbe423c094ace79ee4e91ef49bb832191b529a4cfde4....0.tmp
- /data/data/####/8c020a4c08a7b2f7074c3cc61a3d494cb6c711b1d45c73d....0.tmp
- /data/data/####/9dbce6a266399ff0c3b733748cef656d64be5969e7b31fb....0.tmp
- /data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/Cookies-journal
- /data/data/####/Hawk2.xml
- /data/data/####/Hawk2.xml.bak
- /data/data/####/Pythagoras_phase.xml
- /data/data/####/TDCloudSettingsConfigC654CB226C9748B1AACEE26F3920C085.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol1.xml
- /data/data/####/TDpref_cloudcontrol1.xml.bak
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/TDpref_longtime0.xml.bak
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime0.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/access_control.control.mx
- /data/data/####/access_control.write.mx
- /data/data/####/b4154b9abe18d15b55e7d0e3460083348a971b510d85f9d....0.tmp
- /data/data/####/b519a3a766312cba_0
- /data/data/####/b519a3a766312cba_0 (deleted)
- /data/data/####/cf6b5e8ca4ddfafbee0420e2121a4a6387ffc3ca64694be....0.tmp
- /data/data/####/cf7f244ed7e77a69708af2c31f03fe8c5dc3c30c668c55c....0.tmp
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.oat
- /data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
- /data/data/####/com.avos.avoscloud.approuter.c7F8RnQRK7rWy63Y3g...ml.bak
- /data/data/####/com.avos.avoscloud.approuter.c7F8RnQRK7rWy63Y3g...sz.xml
- /data/data/####/com.qktz.qkz_preferences.xml
- /data/data/####/com.qktz.qkz_preferences.xml.bak
- /data/data/####/crypto.KEY_256.xml
- /data/data/####/default.realm
- /data/data/####/default.realm.lock
- /data/data/####/e138b9c93147fb363601ad62d568ff6daa800f4455630b0...ed85.0
- /data/data/####/e23f96bb0c04984ee9cb6795556813e08b2edad33ae226b....0.tmp
- /data/data/####/e4316e297b60446d272e06605610dfc92ccf55b42e8f7b7....0.tmp
- /data/data/####/f32e3fce0fedc960d86f52df2c459b6894037cf8ae3ed48....0.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/mPBE.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdid.xml
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes4.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
- getprop
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
