Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(HTTP/1.1) w####.wj1.cc:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a.appj####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- cm-1####.ig####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- w####.wj1.cc
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_EDB102
- cdn-sdk####.g####.com.####.com/tdata_EvJ733
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_eoG063
- sdk.o####.p####.####.com/api/addr.htm
- w####.wj1.cc/image/carousel/2019/12/19/d788369783718_thumb.jpg
- w####.wj1.cc/image/carousel/2020/1/2/d788977112798_thumb.jpg
- w####.wj1.cc/image/carousel/2020/2/2/d790314470684_thumb.jpg
- w####.wj1.cc/image/carousel/2020/2/5/d790451654849_thumb.jpg
- w####.wj1.cc/image/carousel/2020/3/14/d792095101233_thumb.jpg
- w####.wj1.cc/image/carousel/2020/3/26/d792606705511_thumb.jpg
- w####.wj1.cc/image/subtitle/d791296374220.png
- w####.wj1.cc/image/subtitle/d791382936052.png
- w####.wj1.cc/image/subtitle/d791641769880.png
- w####.wj1.cc/image/subtitle/d791772032585.png
- w####.wj1.cc/image/subtitle/d791912287893.jpg
- w####.wj1.cc/image/subtitle/d792074103422.png
- w####.wj1.cc/image/subtitle/d792173441194.jpg
- w####.wj1.cc/image/subtitle/d792174220535.jpg
- w####.wj1.cc/image/subtitle/d793125760883.jpg
- w####.wj1.cc/image/subtitle/d793209296046.jpg
- w####.wj1.cc/image/subtitle/d793253235532.jpg
- w####.wj1.cc/image/subtitle/d793379490360.jpg
- w####.wj1.cc/image/subtitle/d793382692836.jpg
- w####.wj1.cc/image/subtitle/d793382723489.jpg
- w####.wj1.cc/image/subtitle/d793382787615.jpg
- w####.wj1.cc/image/subtitle/d793382880617.jpg
- w####.wj1.cc/image/subtitle/d793426137008.jpg
- w####.wj1.cc/image/subtitle/d793426172909.jpg
- w####.wj1.cc/image/subtitle/d793426215932.jpg
- w####.wj1.cc/image/subtitle/d793426247126.jpg
- w####.wj1.cc/m/carousel/picList
- w####.wj1.cc/m/gift/list?page=####&rows=####&sord=####
- w####.wj1.cc/m/welcome/list
- w####.wj1.cc/maintain/mobilecontent/?type=####&pageIndex=####
- w####.wj1.cc/maintain/mobilecontent/directory/62/?type=####&pageIndex=####
- w####.wj1.cc/maintain/mobilecontent/directory/62/main
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
- w####.wj1.cc/user/client/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1105288835.xml
- /data/data/####/1105288835_storages.xml
- /data/data/####/3c705a732d0f
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/increment.db-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_EvJ733.jar
- /data/data/####/tdata_EvJ733.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/1080_3.png
- /data/media/####/1080_3_1.png
- /data/media/####/640_3.png
- /data/media/####/750_3.png
- /data/media/####/HealthyChengDuMobile.iml
- /data/media/####/README.md
- /data/media/####/about.html
- /data/media/####/activity_detail.html
- /data/media/####/all_html5.css
- /data/media/####/app.db
- /data/media/####/appuser.js
- /data/media/####/area.png
- /data/media/####/area_default.png
- /data/media/####/area_map.html
- /data/media/####/barcode.js
- /data/media/####/barcode_scan.html
- /data/media/####/base2013.css
- /data/media/####/cdarea.png
- /data/media/####/cdareas.html
- /data/media/####/checkupdate.png
- /data/media/####/clearcache.png
- /data/media/####/coin.png
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.kingtom.cdhealth.db
- /data/media/####/common.css
- /data/media/####/common.js
- /data/media/####/default.png
- /data/media/####/detail.html
- /data/media/####/districtnewsdetail.html
- /data/media/####/downloadjkcd.png
- /data/media/####/email.html
- /data/media/####/exif.js
- /data/media/####/fenxiang.png
- /data/media/####/file__0.localstorage-journal
- /data/media/####/forget_password.html
- /data/media/####/guanyu.png
- /data/media/####/guide.html
- /data/media/####/head.png
- /data/media/####/healthy-common.css
- /data/media/####/healthy_btn.png
- /data/media/####/home.png
- /data/media/####/home_default.png
- /data/media/####/home_head.js
- /data/media/####/hospital-info.png
- /data/media/####/hot.png
- /data/media/####/hot_default.png
- /data/media/####/icon.png
- /data/media/####/icon2b.png
- /data/media/####/icon_detail.png
- /data/media/####/icon_order.png
- /data/media/####/image_upload.js
- /data/media/####/immersed.js
- /data/media/####/index.css
- /data/media/####/index.html
- /data/media/####/index_body.html
- /data/media/####/index_body.js
- /data/media/####/index_home.html
- /data/media/####/jf.js
- /data/media/####/jquery-1.6.2.min.js
- /data/media/####/jquery-1.8.3.min.js
- /data/media/####/knowledge_btn.png
- /data/media/####/launch.png
- /data/media/####/laws_btn.png
- /data/media/####/link_btn.png
- /data/media/####/list.html
- /data/media/####/list_home.html
- /data/media/####/list_home_district.html
- /data/media/####/list_home_news.html
- /data/media/####/list_hot.html
- /data/media/####/list_news.html
- /data/media/####/listfordistrict.html
- /data/media/####/login.css
- /data/media/####/login.html
- /data/media/####/login_log.png
- /data/media/####/logo-healthy.png
- /data/media/####/logo-healthy2.png
- /data/media/####/logout.png
- /data/media/####/lrz.js
- /data/media/####/ma.png
- /data/media/####/manifest.json
- /data/media/####/me.css
- /data/media/####/me.js
- /data/media/####/me.png
- /data/media/####/me_default.png
- /data/media/####/me_home.html
- /data/media/####/medicial_btn.png
- /data/media/####/message.png
- /data/media/####/minus_btn.png
- /data/media/####/mobileFix.mini.js
- /data/media/####/mui.js
- /data/media/####/mui.md5.js
- /data/media/####/mui.min.css
- /data/media/####/mui.min.js
- /data/media/####/mui.ttf
- /data/media/####/muiajax.js
- /data/media/####/muikt.js
- /data/media/####/news2_btn.png
- /data/media/####/news_btn.png
- /data/media/####/num_bakground.png
- /data/media/####/online-call.png
- /data/media/####/openUrl.js
- /data/media/####/order_act_background.png
- /data/media/####/parse_date.js
- /data/media/####/partin.html
- /data/media/####/plus_btn.png
- /data/media/####/qiandao.png
- /data/media/####/reg.html
- /data/media/####/sale.css
- /data/media/####/share.css
- /data/media/####/share.js
- /data/media/####/share.png
- /data/media/####/shareapp.html
- /data/media/####/shortcut.js
- /data/media/####/skip.png
- /data/media/####/spin.min.js
- /data/media/####/style.css
- /data/media/####/submission.html
- /data/media/####/suggestion.html
- /data/media/####/tdata_EvJ733
- /data/media/####/tiyan.png
- /data/media/####/tougao.png
- /data/media/####/tousu_btn.png
- /data/media/####/tuisong.png
- /data/media/####/tv_btn.png
- /data/media/####/update.js
- /data/media/####/update.json
- /data/media/####/uploadimage.css
- /data/media/####/urlDetail.html
- /data/media/####/view.css
- /data/media/####/weibo_btn.png
- /data/media/####/weixin_btn.png
- /data/media/####/work_btn.png
- /data/media/####/xiaoxi.png
- /data/media/####/yihuan_btn.png
- /data/media/####/zhinan_btn.png
- /data/media/####/zhong-yi-tang.png
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/files/libjiagu.so
- mount
- sh
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
