Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) p####.elongst####.com.####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) mobile-####.e####.com:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.g####.com:5225
Запросы DNS:
- api.map.b####.com
- c-h####.g####.com
- cm-1####.g####.com
- loc.map.b####.com
- mobile-####.e####.com
- o####.map.b####.com
- p####.elongst####.com
- sdk-ope####.g####.com
- sdk.c####.g####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- d####.c####.l####.####.com/config/hzv9.conf
- mobile-####.e####.com/house/help/getKey?req=lP7####&randomId=####
- mobile-####.e####.com/house/home/getHomeExtendInfo?req=yfg####&randomId=...
- mobile-####.e####.com/house/home/getHomePageData?req=####&randomId=####
- mobile-####.e####.com/house/house/operationsManager?req=Roo####&randomId...
- p####.elongst####.com.####.com/i/phoenix_750_500/PHLOWCcnok.jpg
- p####.elongst####.com.####.com/ori/00061Y1F.jpg
- p####.elongst####.com.####.com/ori/00061Y31.jpg
- p####.elongst####.com.####.com/ori/00061Y3h.jpg
- p####.elongst####.com.####.com/ori/00061Y5E.jpg
- p####.elongst####.com.####.com/ori/00061Y64.jpg
- p####.elongst####.com.####.com/ori/0007GJ3U.jpg
- p####.elongst####.com.####.com/ori/0007GLgl.jpg
- p####.elongst####.com.####.com/ori/0007GMFI.jpg
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- mobile-####.e####.com/mtools/getMvtConfig
- sdk-ope####.g####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/07ad8df7c8e55b20cffa9f3700cc0896d6a4627fe1aff37....0.tmp
- /data/data/####/132b1214e380cd8bd183346c2cbc1be5d44b1d8f88c0f27....0.tmp
- /data/data/####/6775673ec8827a4c441f8907f070dac2d128a486e5efb4a....0.tmp
- /data/data/####/6e6570140b83df59d26a492afc17dd8e2cb2007b0580bc9....0.tmp
- /data/data/####/7ac4911b908e414b50f24279a0bf55721dd2fc17b9afc02....0.tmp
- /data/data/####/7b8f2d66c95508556e5133f446471ddff8712614d60b5b1....0.tmp
- /data/data/####/849005a882c65176d342fa91291b4d1dd61f4128ec856ed....0.tmp
- /data/data/####/8e42c2bbb8430ae8b3401c6c0e903044f5b2c62c3791bcc....0.tmp
- /data/data/####/9c8633b47b8abb81872bd3ca378de82b.0.tmp
- /data/data/####/9c8633b47b8abb81872bd3ca378de82b.1.tmp
- /data/data/####/HttpHeader.xml
- /data/data/####/PushSetting.xml
- /data/data/####/authStatus_com.elong.android.youfang.xml
- /data/data/####/authStatus_com.elong.android.youfang;pushservice.xml
- /data/data/####/authStatus_com.elong.android.youfang;remote.xml
- /data/data/####/d81e46ff2678a0b563c91b5e24bbffa8c3bc0c8dd6e9eab....0.tmp
- /data/data/####/elong.minsu.db-journal
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu2009205926.so
- /data/data/####/minsu_common_sp_data.xml
- /data/data/####/minsu_sp_data.xml
- /data/data/####/minsu_userinfo.xml
- /data/data/####/multidex.version.xml
- /data/data/####/mvt_db_-2056123918-journal
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/user_device_id.xml
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/app.db
- /data/media/####/com.elong.android.youfang.bin
- /data/media/####/com.elong.android.youfang.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu2009205926.so
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_5_2
- getuiext2
- libjiagu2009205926
- locSDK7b
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
