Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) m.gh.c####.cn:80
- TCP(HTTP/1.1) r3.p####.cn:80
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) i####.p####.cn:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) r3.p####.cn:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) c####.c####.cn:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.2) 2####.58.214.14:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.251.36.46:443
- TCP(TLS/1.2) 1####.251.39.99:443
- UDP www.google####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.g####.com:5225
Запросы DNS:
- a####.u####.com
- a.appj####.com
- and####.google####.com
- android####.go####.com
- api.w####.com
- c####.c####.cn
- c####.mm####.com
- c.c####.com
- cm-1####.g####.com
- h####.c####.com
- i####.p####.cn
- img.p####.cn
- m.gh.c####.cn
- p5.p####.cn
- r21.p####.cn
- r3.p####.cn
- r9.p####.cn
- s4.c####.com
- s5.c####.com
- sdk.c####.g####.com
- sdk.o####.i####.####.8
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- www.google####.com
- z####.c####.com
Запросы HTTP GET:
- d####.c####.l####.####.com/config/hzv9.conf
- m.gh.c####.cn/
- m.gh.c####.cn/common/getopensite
- r3.p####.cn/app_adv/20210708/2021070811102914300305_720_250_500x300(w).jpg
- r3.p####.cn/app_adv/20210731/2021073110374911504527_720_190_500x300(w).jpg
- r3.p####.cn/app_adv/20210805/2021080516175235148671_600_210_500x300(w).jpg
- r3.p####.cn/app_bbs/20211202/2021120211192090430604_1280_960_200x150(s)....
- r3.p####.cn/bbs/20151009/2015100910562009779698_200x150(s).jpg
- r3.p####.cn/bbs/20160112/2016011213253053244438_200x150(s).jpg
- r3.p####.cn/bbs/20160404/2016040419364926219729_200x150(s).jpg
- r3.p####.cn/bbs/20170424/2017042415034082850413_640_400_200x150(s).jpg
- r3.p####.cn/bbs/20170430/2017043007273762851271_<SMS Address>_508_200x15...
- r3.p####.cn/bbs/20171124/2017112413095878665979_700_525_200x150(s).jpg
- r3.p####.cn/bbs/20211125/2021112516363690920365_800_533_200x150(s).jpg
- r3.p####.cn/bbs/20211126/2021112610291612658118_640_303_200x150(s).jpg
- r3.p####.cn/bbs/20211126/2021112610323153694968_600_400_200x150(s).jpg
- r3.p####.cn/bbs/20211127/2021112716552096518305_533_800_200x150(s).jpg
- r3.p####.cn/bbs/20211130/2021113008164906683656_800_533_200x150(s).jpg
- r3.p####.cn/bbs/20211130/2021113009553514555762_1135_640_200x150(s).jpg
- r3.p####.cn/bbs/20211201/2021120122085039935203_640_1135_200x150(s).jpg
- r3.p####.cn/cnews/20190801/2019080110165541111295_180_180.jpg
- r3.p####.cn/cnews/20190801/2019080110210172632518_180_180.jpg
- r3.p####.cn/tp/wx_common/images/city-logo.png
- r3.p####.cn/wap/webapp/fabu/bbs.png
- r3.p####.cn/wap/webapp/fabu/disclose.png
- r3.p####.cn/wap/webapp/fabu/ewm.png
- r3.p####.cn/wap/webapp/fabu/post.png
- r3.p####.cn/wap/webapp/fabu/smallvideo.png
- r3.p####.cn/wap/webapp/fabu/takepic.png
- r3.p####.cn/wap_bbs/20211202/2021120211055152440799_695_468_200x150(s).jpg
- r3.p####.cn/wx/app/fang-images/icon_54.png
- r3.p####.cn/wx/app/fang-images/icon_65.png
- r3.p####.cn/wx/app/fang-images/icon_66.png
- r3.p####.cn/wx/app/fang-images/icon_7.png
- r3.p####.cn/wx/app/fang-images/icon_90.png
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- m.gh.c####.cn/common/getalicodeconfig
- m.gh.c####.cn/home/GetAppConfigInfo
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imei.txt
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/03ea8afabf43f7ad_0
- /data/data/####/09032548d650f2f2_0
- /data/data/####/0b0e3d0db4b080b2_0
- /data/data/####/150ba5eb5a15f33b_0
- /data/data/####/150ba5eb5a15f33b_1
- /data/data/####/16f3a2b9e596e43d_0
- /data/data/####/1d59ad4def3d713c_0
- /data/data/####/1d59ad4def3d713c_1
- /data/data/####/214de9f5bbcd65c7_0
- /data/data/####/2bc3d3008cf6401e_0
- /data/data/####/2bc3d3008cf6401e_1
- /data/data/####/3004a425da47f766_0
- /data/data/####/35589cd65da469ad_0
- /data/data/####/379748984a1d6731_0
- /data/data/####/3a517f1f39976b08_0
- /data/data/####/4365c3c4b5f406d0_0
- /data/data/####/48491eb5f4c0f907_0
- /data/data/####/48a58b4650f810b1_0
- /data/data/####/496b4c460cf6106e_0
- /data/data/####/4d179d0882349e89_0
- /data/data/####/4d179d0882349e89_1
- /data/data/####/582f3e217f1aaf1c_0
- /data/data/####/59cdb9cbf2b6c87b_0
- /data/data/####/5bc7afe25f3853c6_0
- /data/data/####/5d463c755505ab8b_0
- /data/data/####/5d463c755505ab8b_1
- /data/data/####/5db859bbdcbbcdbc_0
- /data/data/####/5dca413bd25af11e_0
- /data/data/####/5dca413bd25af11e_1
- /data/data/####/632d996c8f4ed7a9_0
- /data/data/####/65582535d9719b8d_0
- /data/data/####/6b54cf2a5d0db0ae_0
- /data/data/####/6c6c6258cf7065d8_0
- /data/data/####/6c8fe7e686048c06_0
- /data/data/####/6fe320d293711203_0
- /data/data/####/72c401a81a0e4271_0
- /data/data/####/79592e57a5d6fc32_0
- /data/data/####/79592e57a5d6fc32_1
- /data/data/####/7b2541d6581eb7d1_0
- /data/data/####/825b68cf98d25921_0
- /data/data/####/8337d87b72d6c675_0
- /data/data/####/84b485368e13a79d_0
- /data/data/####/8bc0781da25fd687_0
- /data/data/####/8bc0781da25fd687_1
- /data/data/####/8e60fc65a98421b9_0
- /data/data/####/90b1fdef5d9eb949_0
- /data/data/####/90db12b4b4c2cadc_0
- /data/data/####/90db12b4b4c2cadc_1
- /data/data/####/915d73a0a2609da1_0
- /data/data/####/9206685b09254be6_0
- /data/data/####/93c2e908a129b082_0
- /data/data/####/9a1e572947c647e0_0
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a5ef8d8e656fbc4e_0
- /data/data/####/a963c9a487efc8c1_0
- /data/data/####/b3d72a94723c5a83_0
- /data/data/####/bdd284489ac02046_0
- /data/data/####/c294a00e191bbbfe_0
- /data/data/####/c2f8f8193ec8a78d_0
- /data/data/####/c806f2ae52c6be43_0
- /data/data/####/c806f2ae52c6be43_1
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/clientid_igexin.xml
- /data/data/####/d53d63fe18845020_0
- /data/data/####/dc33566de19d6a80_0
- /data/data/####/e1605e5b8678109d_0
- /data/data/####/e2832827cc3d2d18_0
- /data/data/####/e3a223f77eb4098f_0
- /data/data/####/e76a275fdc881d5e_0
- /data/data/####/e7ae299d6d31d7d2_0
- /data/data/####/ec2ec701818ac0ef_0
- /data/data/####/exchangeIdentity.json
- /data/data/####/f0f51aa273342c35_0
- /data/data/####/f16cfae383e9eea3_0
- /data/data/####/f4739e1c8e0201db_0
- /data/data/####/f53f06106b14b8a8_0
- /data/data/####/f6842d00ac17f37b_0
- /data/data/####/guaghantongc.online_preferences.xml
- /data/data/####/guanghantongc.xml
- /data/data/####/http_m.gh.ccoo.cn_0.localstorage-journal
- /data/data/####/increment.db-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/pdr.xml
- /data/data/####/proc_auxv
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/media/####/.imei.txt
- /data/media/####/1.app.log
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/guaghantongc.online.db
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
