Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pus####.pi####.com.cn:3000
- TCP(HTTP/1.1) pad-app####.pi####.com.cn:80
- TCP(HTTP/1.1) padn-ac####.pi####.com.cn:80
- TCP(TLS/1.0) 64.2####.165.113:443
- TCP(TLS/1.0) padn-ac####.pi####.com.cn:443
- TCP(TLS/1.0) pad-app####.pi####.com.cn:443
- TCP connec####.pus####.pi####.####.cn:6000
Запросы DNS:
- connec####.pus####.pi####.####.cn
- pa####.pi####.com.cn
- pad-app####.pi####.com.cn
- padn-ac####.pi####.com.cn
- pus####.pi####.com.cn
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- w####.pi####.com.cn
Запросы HTTP POST:
- pad-app####.pi####.com.cn/g/d?crc=####
- padn-ac####.pi####.com.cn/access.php?m=####&sdkv=####&os=####&source=###...
- pus####.pi####.com.cn:3000/api/dv/327741889b681912d23d898a793ef09b0/tag
- pus####.pi####.com.cn:3000/api/q/a/327741889b681912d23d898a793ef09b0
- pus####.pi####.com.cn:3000/api/statis/327741889b681912d23d898a793ef09b0
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/24c110e1f76093b35c3c2df1927aab79.0
- /data/data/####/RYMskyEye.lock
- /data/data/####/RYMtd.lock
- /data/data/####/SkyEyeRYM_app_pefercen_profile.xml
- /data/data/####/SkyEyeRYMpref_longtime.xml
- /data/data/####/SkyEyeRYMpref_shorttime.xml
- /data/data/####/SkyEyeRYMskyEye.db
- /data/data/####/SkyEyeRYMskyEye.db-journal
- /data/data/####/SkyEye_app_pefercen_profile.xml
- /data/data/####/SkyEyepref_longtime.xml
- /data/data/####/SkyEyepref_shorttime.xml
- /data/data/####/SkyEyeskyEye.db
- /data/data/####/SkyEyeskyEye.db-journal
- /data/data/####/TDRYM_app_pefercen_profile.xml
- /data/data/####/TDRYMpref_longtime.xml
- /data/data/####/TDRYMpref_shorttime.xml
- /data/data/####/TDRYMtcagent.db
- /data/data/####/TDRYMtcagent.db-journal
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/anyDoor_preferences.xml
- /data/data/####/anyDoor_preferences_loginingo.xml
- /data/data/####/anydoor.db
- /data/data/####/anydoor.db-journal
- /data/data/####/anydoor_msg-journal
- /data/data/####/com.networkbench.agent.impl.v2_com.pingan.pinganwifi.xml
- /data/data/####/com.pingan.pinganwifi_preferences.xml
- /data/data/####/com.pinganwifi.app.versioncode.xml
- /data/data/####/com.pinganwifi.app.versionname.xml
- /data/data/####/com.pinganwifi.preference.remove.olddata.xml
- /data/data/####/com.wifi.sdk.portal.xml
- /data/data/####/com_pingan_pinganwifi_action_database.db-journal
- /data/data/####/config-journal
- /data/data/####/data_cache_com.pingan.pinganwificore.util.CacheUtil.xml
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/increment.db-journal
- /data/data/####/init_c.pid
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-214295926.so
- /data/data/####/local.acl
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/mpush.db-journal
- /data/data/####/mpush_gateway_preferences_file
- /data/data/####/mpush_process_preferences_file
- /data/data/####/mpush_version_preferences_file
- /data/data/####/multidex.version.xml
- /data/data/####/pa_data_cache.db-journal
- /data/data/####/pa_wifi_config.xml
- /data/data/####/paanydoor_resource_3.8.0.22.jar
- /data/data/####/portalinfo_data_cache_com.pingan.pinganwificore...nt.xml
- /data/data/####/pref_xlog.xml
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/skyEye.lock
- /data/data/####/ss-local
- /data/data/####/ssid_config_data_cache_com.pingan.pinganwificor...nt.xml
- /data/data/####/ssid_config_list_data_cache_com.pingan.pinganwi...nt.xml
- /data/data/####/supplier_config_data_cache_com.pingan.pinganwif...nt.xml
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/tmpd8.db-journal
- /data/data/####/tun2socks
- /data/data/####/vpnConfig.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/wifi_in.xml
- /data/media/####/.SkyEyeEventRequestId-875737526
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/1619883505122.db
- /data/media/####/PAWiFi-APP.mmap2
- /data/media/####/PAWiFi-APP_20210501.xlog
- /data/media/####/alsn.db
- /data/media/####/alsn.db-journal
- /data/media/####/crash_log_com.pingan.pinganwifi.txt
- /data/media/####/crash_log_com.pingan.pinganwifi;pushservice.txt
- /data/media/####/crash_log_com.pingan.pinganwifi;vpn.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-214295926.so
- ps
Загружает динамические библиотеки:
- WiFiSecure
- hfenginelib
- libjiagu-214295926
- marsxlog
- nativemodulelib
- stlport_shared
- wifiin-jni
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
- desede-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
