Android.Gexin.470

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5227

Запросы DNS:

a.appj####.com
c-h####.g####.com
cm-1####.g####.com
mt####.go####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.i####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

d####.c####.l####.####.com/config/hzv9.conf

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/H5603C963.xml
/data/data/####/H5603C963.xml.bak
/data/data/####/clientid_igexin.xml
/data/data/####/increment.db-journal
/data/data/####/init.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/50x50.png
/data/media/####/50x50s.png
/data/media/####/50x50t.png
/data/media/####/about-egxiao-needtem.html
/data/media/####/activate_account.html
/data/media/####/activate_account.js
/data/media/####/add_classStudent.html
/data/media/####/add_classStudent.js
/data/media/####/add_pay.html
/data/media/####/add_pay.js
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/barAccount.html
/data/media/####/barAccount.js
/data/media/####/barSchLetter.html
/data/media/####/barWork.html
/data/media/####/barWork.js
/data/media/####/base64.js
/data/media/####/byrole_personnel_list.html
/data/media/####/byrole_personnel_list.js
/data/media/####/byrole_personnel_main.html
/data/media/####/campus_list.html
/data/media/####/campus_list.js
/data/media/####/campus_main.html
/data/media/####/city.data-3.js
/data/media/####/class-needtem.html
/data/media/####/class_filter.html
/data/media/####/class_filter.js
/data/media/####/class_list.html
/data/media/####/class_list.js
/data/media/####/class_main.html
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.ronzl.egxiao.db
/data/media/####/common.js
/data/media/####/contact.html
/data/media/####/contact.js
/data/media/####/createOrg.html
/data/media/####/createorg.js
/data/media/####/detail-student-needtem.html
/data/media/####/detail_class.html
/data/media/####/detail_class.js
/data/media/####/detail_enroll.html
/data/media/####/detail_enroll.js
/data/media/####/detail_student.html
/data/media/####/detail_student.js
/data/media/####/easemob.im-1.0.5.js
/data/media/####/echarts-all.js
/data/media/####/edit_class.html
/data/media/####/edit_class.js
/data/media/####/edit_student.html
/data/media/####/edit_student.js
/data/media/####/enroll_filter.html
/data/media/####/enroll_filter.js
/data/media/####/feedback.css
/data/media/####/feedback.html
/data/media/####/feedback.js
/data/media/####/filter.css
/data/media/####/forget_password.html
/data/media/####/forget_password.js
/data/media/####/guide.html
/data/media/####/iconfont.css
/data/media/####/iconfont.ttf
/data/media/####/icons-extra.css
/data/media/####/infocenter-needtem.html
/data/media/####/intput.css
/data/media/####/jquery-1.11.1.js
/data/media/####/json2.js
/data/media/####/kefu_list.html
/data/media/####/kefu_main.html
/data/media/####/lesson-needtem.html
/data/media/####/lesson_list.html
/data/media/####/lesson_list.js
/data/media/####/lesson_main.html
/data/media/####/login.html
/data/media/####/main.html
/data/media/####/manifest.json
/data/media/####/messsage-setting-needtem.html
/data/media/####/modify-campus.js
/data/media/####/modify-subject.html
/data/media/####/modify_campus.html
/data/media/####/modify_class.html
/data/media/####/modify_class.js
/data/media/####/modify_class_notelesson.html
/data/media/####/modify_class_notelesson.js
/data/media/####/modify_lesson.html
/data/media/####/modify_lessson.js
/data/media/####/modify_password.html
/data/media/####/modify_password.js
/data/media/####/modify_pay.html
/data/media/####/modify_pay.js
/data/media/####/modify_personnel.html
/data/media/####/modify_personnel.js
/data/media/####/modify_record.html
/data/media/####/modify_record.js
/data/media/####/modify_student.html
/data/media/####/modify_student.js
/data/media/####/modify_student_notelesson.html
/data/media/####/modify_student_notelesson.js
/data/media/####/modify_subject.js
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.enterfocus.js
/data/media/####/mui.imageViewer.js
/data/media/####/mui.indexedlist.css
/data/media/####/mui.indexedlist.js
/data/media/####/mui.js
/data/media/####/mui.jsonp.js
/data/media/####/mui.listpicker.css
/data/media/####/mui.listpicker.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.ttf
/data/media/####/notelesson-needtem.html
/data/media/####/notelesson_filter.html
/data/media/####/notelesson_filter.js
/data/media/####/notelesson_list.html
/data/media/####/notelesson_list.js
/data/media/####/notelesson_main.html
/data/media/####/pay-needtem.html
/data/media/####/pay_list.html
/data/media/####/pay_list.js
/data/media/####/pay_main.html
/data/media/####/personnel-needtem.html
/data/media/####/personnel_list.html
/data/media/####/personnel_list.js
/data/media/####/personnel_main.html
/data/media/####/pinyinUtil.js
/data/media/####/pinyin_dict_firstletter.js
/data/media/####/pinyin_dict_notone.js
/data/media/####/quickstart.md
/data/media/####/record-needtem.html
/data/media/####/record_filter.html
/data/media/####/record_filter.js
/data/media/####/record_list.html
/data/media/####/record_list.js
/data/media/####/record_main.html
/data/media/####/register.html
/data/media/####/register.js
/data/media/####/reset_password.html
/data/media/####/reset_password.js
/data/media/####/select-activate-organization.html
/data/media/####/select-activate-organization.js
/data/media/####/select-organization.html
/data/media/####/select-student-needtem.html
/data/media/####/select-user-organization.html
/data/media/####/select-user-organization.js
/data/media/####/select_campus_list.html
/data/media/####/select_campus_list.js
/data/media/####/select_campus_main.html
/data/media/####/select_class_list.html
/data/media/####/select_class_list.js
/data/media/####/select_class_main.html
/data/media/####/select_lesson_list.html
/data/media/####/select_lesson_list.js
/data/media/####/select_lesson_main.html
/data/media/####/select_personnel_list.html
/data/media/####/select_personnel_list.js
/data/media/####/select_personnel_main.html
/data/media/####/select_student_list.html
/data/media/####/select_student_list.js
/data/media/####/select_student_main.html
/data/media/####/set_password.html
/data/media/####/set_password.js
/data/media/####/setting-needtem.html
/data/media/####/single_modify_notelesson.html
/data/media/####/single_modify_notelesson.js
/data/media/####/single_modify_pay.html
/data/media/####/single_modify_pay.js
/data/media/####/single_modify_record.html
/data/media/####/single_modify_record.js
/data/media/####/singlestu_lesson.html
/data/media/####/singlestu_lesson.js
/data/media/####/singlestu_notelesson_list.html
/data/media/####/singlestu_notelesson_list.js
/data/media/####/singlestu_notelesson_main.html
/data/media/####/singlestu_record_list.html
/data/media/####/singlestu_record_list.js
/data/media/####/singlestu_record_main.html
/data/media/####/strophe-custom-2.0.0.js
/data/media/####/student_filter.html
/data/media/####/student_filter.js
/data/media/####/student_list.html
/data/media/####/student_list.js
/data/media/####/student_main.html
/data/media/####/subject.js
/data/media/####/subject_list.html
/data/media/####/wl_Calendar.js
/data/media/####/workbannerBack.png
/data/media/####/zx.png

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

libjiagu

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней