Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) h5.newairc####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) img.newairc####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(TLS/1.0) ycx####.newairc####.com:443
- TCP(TLS/1.0) oss.newairc####.com:443
- TCP(TLS/1.0) 1####.177.119.113:443
- TCP(TLS/1.0) img.newairc####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.g####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a.appj####.com
- c-h####.g####.com
- c.sz.gt.####.com
- cdn-sdk####.g####.com
- cm-1####.g####.com
- d####.opensp####.cn
- h####.opensp####.cn
- h5.newairc####.com
- img.newairc####.com
- mt####.go####.com
- oss.newairc####.com
- sdk.c####.g####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ycx####.newairc####.com
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_dkP635
- h####.opensp####.cn/launchconfig?t=####&p=####
- h5.newairc####.com/api/getArticles?sid=####&cid=####&lastFileID=####&row...
- h5.newairc####.com/api/getColumns?sid=####&cid=####
- h5.newairc####.com/api/getConfig?sid=####
- img.newairc####.com/ycxw/pic/201606/28/64f0e5b9-f7d9-46d4-ab9a-fda6cb97a...
- img.newairc####.com/ycxw/pic/201607/13/7e9f3779-bee4-46fa-8119-0b1e0397f...
- img.newairc####.com/ycxw/pic/201607/13/95daa62e-239b-4f39-ac20-5cbe6284c...
- img.newairc####.com/ycxw/pic/201607/13/ca2f6ced-67c3-40f6-a446-9e0e225e6...
- img.newairc####.com/ycxw/pic/201607/13/e2a7b2cb-546d-4783-9b38-f3ad2a5fa...
- sdk.o####.p####.####.com/api/addr.htm
- ti####.c####.l####.####.com/tdata_SzD730
- tinychi####.q####.com.####.com/config/hzv9.conf
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-113815114
- /data/data/####/-114026959
- /data/data/####/-1312716470
- /data/data/####/-1381106153
- /data/data/####/-1381106271
- /data/data/####/-1381970022
- /data/data/####/-1382182559
- /data/data/####/-1382182560
- /data/data/####/-1382182561
- /data/data/####/-1382182562
- /data/data/####/-1382182563
- /data/data/####/-1382182564
- /data/data/####/-1382182565
- /data/data/####/-1382182566
- /data/data/####/-1382182567
- /data/data/####/-1382182589
- /data/data/####/-1382182590
- /data/data/####/-1382182591
- /data/data/####/-1382182592
- /data/data/####/-1382182593
- /data/data/####/-1383020680
- /data/data/####/-1384033514
- /data/data/####/-1384087291
- /data/data/####/-1384091080
- /data/data/####/-1384091081
- /data/data/####/-1384091082
- /data/data/####/-1384091105
- /data/data/####/-1384091106
- /data/data/####/-1384091107
- /data/data/####/-1384091108
- /data/data/####/-144834921
- /data/data/####/-145046766
- /data/data/####/-175854728
- /data/data/####/-176066573
- /data/data/####/-2013155437
- /data/data/####/-2032335697
- /data/data/####/-207086380
- /data/data/####/-238106187
- /data/data/####/-327485506
- /data/data/####/-82795307
- /data/data/####/-98052708
- /data/data/####/.jg.ic
- /data/data/####/1389023919
- /data/data/####/1647181789
- /data/data/####/1695857311
- /data/data/####/1729572854
- /data/data/####/2014086026
- /data/data/####/386967948
- /data/data/####/492024288
- /data/data/####/568408795
- /data/data/####/599428602
- /data/data/####/630448409
- /data/data/####/630660254
- /data/data/####/661468216
- /data/data/####/661680061
- /data/data/####/692488023
- /data/data/####/692699868
- /data/data/####/722431815
- /data/data/####/723507830
- /data/data/####/754527637
- /data/data/####/785547444
- /data/data/####/816567251
- /data/data/####/898488250
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/base.css
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/client_share_code_qrcode.png
- /data/data/####/columnId.xml
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/core_info
- /data/data/####/db_founder0-journal
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.founder.huanghechenbao.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libjiagu.so
- /data/data/####/loading.png
- /data/data/####/mobclick_agent_cached_com.founder.huanghechenbao20
- /data/data/####/news_detail.html
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/sanjiaoxing.png
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_dkP635
- /data/data/####/tdata_dkP635.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/video.png
- /data/media/####/072ded9ef6a044481a328e3fbf6672fa0d9fa72a4efc0e....0.tmp
- /data/media/####/0eed15815097903d6784e081c12eea29479b2f47f64029....0.tmp
- /data/media/####/1bde449cf7e0b1869cd1a356e2cb5ba6528764777a2475....0.tmp
- /data/media/####/26020ae0c02ee62da81599de963166098a09300137ccf3....0.tmp
- /data/media/####/2acb19e6d30017095ff510ff0ecdc2ddaab609200ba4bf....0.tmp
- /data/media/####/2c90f426270e57bd92bf035f29018eaf51dc1af52af8c1....0.tmp
- /data/media/####/3de4aebf02e419516d33ef93cbc481ba64ae6db020bcb3....0.tmp
- /data/media/####/40b5154ba3b8a42bdd05a7bba593837d87f2c62475dc1b....0.tmp
- /data/media/####/501140420e60551c9c0559472fe33e44eb4c4de65ec3ce....0.tmp
- /data/media/####/539f4aee798d91a55d292bdcbca51faed12f2d87fb70b0....0.tmp
- /data/media/####/5e17b00d7a424533bc5dfe4ff9cb5b7fee93e6568490d2....0.tmp
- /data/media/####/663613b68197327fffcab36365edd49bac99ebfe77230b....0.tmp
- /data/media/####/667396cf862d62b09f4aad15967da48a929e88786e5296....0.tmp
- /data/media/####/7663ea5d0dcb579d58fc63a1f3bb96b55e65b3db21673d....0.tmp
- /data/media/####/7dce3b4e580eb9f7638db0f34d400ba974941c98decd69....0.tmp
- /data/media/####/830e3020882fe13f8a50e7e92420fd84e1b11e80ccdf57....0.tmp
- /data/media/####/85cf2f2c514df5022f7e48f45d8d99d6781a24becbc9e4....0.tmp
- /data/media/####/8ec4cffe8af7493c5b427264a398a3d11162b98007798a....0.tmp
- /data/media/####/9f528ff00dc4ab254a178b73e71a4b452035e264832091....0.tmp
- /data/media/####/af859bc44cd08298e779c2e2d2a38488de4eacd72f22f7....0.tmp
- /data/media/####/app.db
- /data/media/####/b0f4aaef8f705b71165b067692e067152b628f633dd61a....0.tmp
- /data/media/####/b477f475e7c25efea482f4b914fe999945706f3e5f2bc1....0.tmp
- /data/media/####/b58675d3bcab2883529ba1513d383063f819be6cee0d04....0.tmp
- /data/media/####/be4179a45350aec83213c79cae8462df0d676038012e1e....0.tmp
- /data/media/####/c79243462c73d488e4cded483d53d2f897640ed44c01b3....0.tmp
- /data/media/####/ca59611f173be0104bd961fe466bd615c8ea2f26d422c1....0.tmp
- /data/media/####/cf0e1e71c3af33fb896ea08c7c24a23f32d2ea786695f3....0.tmp
- /data/media/####/com.founder.huanghechenbao.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/d45eedea4d6c0df517b32c8bbe8514f6586d3222ed96c1....0.tmp
- /data/media/####/df31f86b54cc985de20145d449cc57240fdcf1091e8e25....0.tmp
- /data/media/####/e282c0ab28699db8128c658c0860655ed13ebbfeb18ddb....0.tmp
- /data/media/####/iflyworkdir_test
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
- /data/media/####/tdata_dkP635
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- getuiext2
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
