Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) p####.api.xinhu####.com:81
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(TLS/1.0) x####.xinhu####.com:443
- TCP(TLS/1.0) xjp.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) part####.xinhu####.com:443
- TCP(TLS/1.0) qzones####.g####.cn.####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) p####.api.xinhu####.com:443
- TCP(TLS/1.0) res.wx.qq.####.com:443
- TCP(TLS/1.0) g.al####.com:443
- TCP(TLS/1.0) xinhua-####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) xc####.xinhu####.com:443
- TCP(TLS/1.0) l####.xinhu####.com:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.217.17.110:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) 1####.250.179.202:443
Запросы DNS:
- and####.b####.qq.com
- api.map.b####.com
- apip####.xinhu####.com
- c####.mm####.com
- c.appj####.com
- c.c####.com
- g.al####.com
- instant####.google####.com
- l####.xinhu####.com
- loc.map.b####.com
- log.u####.com
- md####.google####.com
- p####.api.xinhu####.com
- p####.google####.com
- part####.xinhu####.com
- qzones####.g####.cn
- r####.wx.qq.com
- res####.a####.com
- s####.u####.com
- s####.u####.com.####.8
- s13.c####.com
- safebro####.google####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- we####.a####.com
- www.google####.com
- x####.xinhu####.com
- xc####.xinhu####.com
- xinhua-####.oss-cn-####.aliy####.com
- z3.c####.com
Запросы HTTP GET:
- p####.api.xinhu####.com:81/Service/MainSvr.svc/GetLoginConfigs?appKey=##...
- p####.api.xinhu####.com:81/Service/MainSvr.svc/GetVersion?appKey=####&ap...
- p####.api.xinhu####.com:81/Service/MainSvr.svc/getSplash?appKey=####&app...
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- c.appj####.com/ad/splash/stats.html
- loc.map.b####.com/sdk.php
- p####.api.xinhu####.com:81/Service/MainSvr.svc/init
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/025a46d4d90a4367_0
- /data/data/####/025a46d4d90a4367_1
- /data/data/####/04a5a788c45b48f1_0
- /data/data/####/04a5a788c45b48f1_1
- /data/data/####/097fabe3b57b6dec_0
- /data/data/####/0df732b47931a5a3_0
- /data/data/####/1004
- /data/data/####/100c450b64f54607_0
- /data/data/####/100c450b64f54607_1
- /data/data/####/128de77d708d5dd7_0
- /data/data/####/128de77d708d5dd7_1
- /data/data/####/13157a837494874c_0
- /data/data/####/1619883025673.log
- /data/data/####/1619883025673.log.bak
- /data/data/####/1626f6e9052ed6d5_0
- /data/data/####/164e1aa7279b1dd8_0
- /data/data/####/1727f8e9bb3c856a_0
- /data/data/####/1ca999f69f300ad4_0
- /data/data/####/1ca999f69f300ad4_1
- /data/data/####/1fd73fbcfe52230d_0
- /data/data/####/22132dea14392d9c_0
- /data/data/####/223f81500a859452_0
- /data/data/####/235d3339739c3263_0
- /data/data/####/2b4ea01f9a106ba4_0
- /data/data/####/2b4ea01f9a106ba4_1
- /data/data/####/2e65f7563241a888_0
- /data/data/####/2e65f7563241a888_1
- /data/data/####/322308a093abce03_0
- /data/data/####/365cf349d0671aad_0
- /data/data/####/3814b5a6e2738ad1_0
- /data/data/####/453c9b31d1887eea_0
- /data/data/####/461735641dd7a9ee_0
- /data/data/####/47dac0db7d14a763_0
- /data/data/####/47dac0db7d14a763_1
- /data/data/####/47fb08e85d565acd_0
- /data/data/####/5038764f30668329_0
- /data/data/####/5f18978ed81c64db_0
- /data/data/####/61f7e99e80edc0a2_0
- /data/data/####/61f7e99e80edc0a2_1
- /data/data/####/62bfe2b4556eec67_0
- /data/data/####/62dac3341098c4e1_0
- /data/data/####/62dac3341098c4e1_1
- /data/data/####/66026e14a0c37fb9_0
- /data/data/####/66ab6697c6468d82_0
- /data/data/####/66ab6697c6468d82_1
- /data/data/####/6a379ef674af6a61_0
- /data/data/####/6ce2cb436f26236d_0
- /data/data/####/6dc0f5c8b3e8058d_0
- /data/data/####/75646c885170d5e4_0
- /data/data/####/75646c885170d5e4_1
- /data/data/####/762bba89b14b0871_0
- /data/data/####/7b5e3b0a03014326_0
- /data/data/####/7b5e3b0a03014326_1
- /data/data/####/80e30a67038efe7d_0
- /data/data/####/82977c836c56df6f_0
- /data/data/####/8526b3af7a715673_0
- /data/data/####/8aa51d736a91159a_0
- /data/data/####/8b7c5c9980beaf49_0
- /data/data/####/8b7c5c9980beaf49_1
- /data/data/####/8e60f9a8942fabd7_0
- /data/data/####/8f77277ccb15c22e_0
- /data/data/####/8f77277ccb15c22e_1
- /data/data/####/904e881c90ab2fb6_0
- /data/data/####/9358e8087a36844b_0
- /data/data/####/9a967cb753058c40_0
- /data/data/####/9be3832a79768c6a_0
- /data/data/####/9be53901ccccae92_0
- /data/data/####/9be53901ccccae92_1
- /data/data/####/9c3f1e8a1a23fea4_0 (deleted)
- /data/data/####/9e12fc0ca7dfe727_0
- /data/data/####/Cookies-journal
- /data/data/####/FirstUsed.xml
- /data/data/####/Http_Session_Token.xml
- /data/data/####/Splash_Data.xml
- /data/data/####/Splash_Data.xml.bak
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/XjaofZD1BjW12oa9-1lKM_0YGRw.1568965164.tmp
- /data/data/####/a46e69a9e53a6d37_0
- /data/data/####/a502eb94893190a8_0
- /data/data/####/aa2208494787c80b_0
- /data/data/####/ad_show_time.xml
- /data/data/####/authStatus_net.xinhuamm.d1025;remote.xml
- /data/data/####/b198324db2d4a557_0
- /data/data/####/b50ed5e20e5a326a_0
- /data/data/####/b50ed5e20e5a326a_1
- /data/data/####/bf57c07f86cd92a8_0
- /data/data/####/bf57c07f86cd92a8_1
- /data/data/####/bugly_db_-journal
- /data/data/####/c73d9b9ab20aabd0_0
- /data/data/####/c73d9b9ab20aabd0_1
- /data/data/####/c88d35854f4ace8e_0
- /data/data/####/c88d35854f4ace8e_1
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/classes3.dex
- /data/data/####/crashrecord.xml
- /data/data/####/d118a9cfad6e7816_0
- /data/data/####/d118a9cfad6e7816_1
- /data/data/####/d28ff28f4ccea777_0
- /data/data/####/d4dfa814e6909808_0
- /data/data/####/d4dfa814e6909808_1
- /data/data/####/d6d773bfc0de2549_0
- /data/data/####/dznews2_neimeng_fengcaizhuozi.db
- /data/data/####/dznews2_neimeng_fengcaizhuozi.db-journal
- /data/data/####/e14a24f48a54c6c6_0
- /data/data/####/e14a24f48a54c6c6_1
- /data/data/####/e594518ad78ec47e_0
- /data/data/####/firll.dat
- /data/data/####/https_live.xinhuaapp.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/local_crash_lock (deleted)
- /data/data/####/mac.xml
- /data/data/####/metrics_guid
- /data/data/####/native_record_lock (deleted)
- /data/data/####/net.xinhuamm.d1025_preferences.xml
- /data/data/####/proc_auxv
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/the-real-index
- /data/data/####/umeng_socialize.xml
- /data/media/####/.cuid2
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --dex-file=<Package Folder>/.jiagu/classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
- /system/bin/sh -c type su
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
- getprop
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- RSA
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
