Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) mbd.n.sh####.com:443
- TCP(TLS/1.0) ssls####.jom####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 1####.217.168.202:443
- TCP(TLS/1.0) sv.bdst####.com.####.com:443
- TCP(TLS/1.0) 2####.58.214.10:443
- TCP(TLS/1.0) b.bdst####.com:443
- TCP(TLS/1.0) wap.n.sh####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) hpd.b####.com:443
- TCP(TLS/1.0) search-####.cdn.bc####.####.com:443
- TCP(TLS/1.0) sslb####.jom####.com:443
- TCP(TLS/1.0) supermo####.jom####.com:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) www.6####.com:443
- TCP(TLS/1.0) sslbdst####.jom####.com:443
- TCP(TLS/1.0) hectors####.b####.com.####.com:443
- TCP(TLS/1.0) box.jom####.com:443
- TCP(TLS/1.2) 1####.217.17.78:443
- TCP(TLS/1.2) 2####.58.214.10:443
- TCP(TLS/1.2) 1####.250.179.195:443
Запросы DNS:
- b.bdst####.com
- c.appj####.com
- ext.b####.com
- f####.b####.com
- g####.bdst####.com
- he####.b####.com
- hectors####.b####.com
- hm.b####.com
- hpd.b####.com
- instant####.google####.com
- m####.go####.com
- m.b####.com
- md####.google####.com
- p####.google####.com
- s.bdst####.com
- safebro####.google####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- search-####.cdn.bc####.com
- sm.b####.com
- ss0.b####.com
- ss0.bdst####.com
- ss1.b####.com
- ss2.b####.com
- sv.bdst####.com
- www.6####.com
- www.b####.com
Запросы HTTP POST:
- c.appj####.com/ad/splash/stats.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/046d78456c224ba1_0 (deleted)
- /data/data/####/061099884dd7467a_0
- /data/data/####/072639f09f724e68_0
- /data/data/####/072639f09f724e68_1
- /data/data/####/0c533dbadc5aa9f4_0
- /data/data/####/0cc07dfb174c98b7_0
- /data/data/####/0cc07dfb174c98b7_1
- /data/data/####/12e5b247935e91a9_0
- /data/data/####/1628c39ea7dbfcd4_0
- /data/data/####/196c96540ab736ce_0
- /data/data/####/196c96540ab736ce_1
- /data/data/####/1b124c1fc9e720b9_0
- /data/data/####/1b43cf6d53718168_0
- /data/data/####/1b43cf6d53718168_1
- /data/data/####/1e140889504d3c5b_0
- /data/data/####/1e140889504d3c5b_1
- /data/data/####/218d859d5e5a1549_0
- /data/data/####/218d859d5e5a1549_1
- /data/data/####/21f51002ef60bcae_0
- /data/data/####/21f51002ef60bcae_1
- /data/data/####/26ac1cda37a472f4_0
- /data/data/####/2aaaa86467c8e1e3_0
- /data/data/####/3627a65d17c6e73f_0
- /data/data/####/37a258a443e27053_0
- /data/data/####/43843144742e4529_0
- /data/data/####/45b3b82b9a4c2687_0
- /data/data/####/45b3b82b9a4c2687_1
- /data/data/####/471eea29be3b7706_0
- /data/data/####/471eea29be3b7706_1
- /data/data/####/4a2d2483753f53bb_0
- /data/data/####/4fc420446759f95b_0
- /data/data/####/52cc3958ac3442fb_0
- /data/data/####/52cc3958ac3442fb_1
- /data/data/####/53397df9422e8d9e_0
- /data/data/####/53a03ec433a4f9f4_0
- /data/data/####/54a6c036b5d6ef4b_0
- /data/data/####/54a6c036b5d6ef4b_1
- /data/data/####/56c9d7e6cd499a1a_0
- /data/data/####/56c9d7e6cd499a1a_1
- /data/data/####/59b41298f4c0f874_0
- /data/data/####/5b03aedc70fddd42_0
- /data/data/####/5d12089ad6250097_0
- /data/data/####/5d12089ad6250097_1
- /data/data/####/5e983ef13ef10cac_0
- /data/data/####/5e983ef13ef10cac_1
- /data/data/####/5f25820374efa307_0
- /data/data/####/5f25820374efa307_1
- /data/data/####/61e3ade5547f4ab8_0
- /data/data/####/63e4975b52397d60_0
- /data/data/####/6510dead66adda3c_0
- /data/data/####/6510dead66adda3c_1
- /data/data/####/6a7d50658ea2b8b5_0
- /data/data/####/6a7d50658ea2b8b5_1
- /data/data/####/6ce0ee8fc1284d61_0
- /data/data/####/6ce0ee8fc1284d61_1
- /data/data/####/70bf6cde5d83a060_0
- /data/data/####/7165195293c7cd3e_0
- /data/data/####/7165195293c7cd3e_1
- /data/data/####/7d7072052665ff22_0
- /data/data/####/7ff81ffc7052df9b_0
- /data/data/####/87195b5455f693b9_0
- /data/data/####/887cb163d5453bcb_0
- /data/data/####/887cb163d5453bcb_1
- /data/data/####/8ac80b16255e9d86_0
- /data/data/####/91a13a180a1e630d_0
- /data/data/####/9541646423bfb2bd_0
- /data/data/####/9541646423bfb2bd_1
- /data/data/####/966fa901f60752fd_0
- /data/data/####/9db62d11b0d38071_0
- /data/data/####/9f173a0408b4825d_0
- /data/data/####/Cookies-journal
- /data/data/####/a6cb0012c6b772ce_0
- /data/data/####/a6cb0012c6b772ce_1
- /data/data/####/ad_show_time.xml
- /data/data/####/b526d39c5e01f9f7_0
- /data/data/####/b526d39c5e01f9f7_1
- /data/data/####/ba1f8656122b3e39_0
- /data/data/####/ba1f8656122b3e39_1
- /data/data/####/c00ef146f6168104_0
- /data/data/####/c4b3c452feb48b31_0
- /data/data/####/c561ae117015f532_0
- /data/data/####/cb2aca8945142569_0
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/com.gui.wpyszhuanyeban_preferences.xml
- /data/data/####/com.waipanyingxiongzhuanyeban.app.xml
- /data/data/####/d275e35bc07f8995_0
- /data/data/####/d50aaf8baa771a62_0
- /data/data/####/d663e801961e03a9_0 (deleted)
- /data/data/####/dda31f144162d409_0
- /data/data/####/ddfc07fe0b37261e_0 (deleted)
- /data/data/####/de139ee3b5823ddb_0
- /data/data/####/e5684875303dc004_0
- /data/data/####/e9ca56c36d2e0e85_0
- /data/data/####/e9ca56c36d2e0e85_1
- /data/data/####/ed7c4fac858fece1_0
- /data/data/####/ee56169dc10e0c21_0
- /data/data/####/ee56169dc10e0c21_1
- /data/data/####/efde40db238add33_0
- /data/data/####/f32c69d77a2b772e_0
- /data/data/####/f6e5a59a022ac707_0
- /data/data/####/f829d49073a47221_0
- /data/data/####/f829d49073a47221_1
- /data/data/####/getui_sp.xml
- /data/data/####/https_www.6006.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/pdr.xml
- /data/data/####/proc_auxv
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/stream_permission.xml
- /data/data/####/the-real-index
- /data/media/####/com.gui.wpyszhuanyeban.bin
- /data/media/####/temp.arm
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
Использует следующие алгоритмы для шифрования данных:
- RSA
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
