Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) api.pinxu####.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) ope####.mob####.360.cn:80
- TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
- TCP(HTTP/1.1) sh####.360t####.com.####.com:80
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) 1####.250.150.113:443
- TCP(TLS/1.0) qy-swa####.qi####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-10####.g####.com:5225
Запросы DNS:
- a####.u####.com
- a.appj####.com
- and####.a####.go####.com
- and####.google####.com
- api.pinxu####.com
- c.appj####.com
- c.sz.gt.####.com
- cm-10####.g####.com
- connect####.gst####.com
- gmscomp####.google####.com
- l####.tbs.qq.com
- ope####.mob####.360.cn
- p####.google####.com
- qy-swa####.qi####.com
- res####.a####.com
- rr9---s####.g####.com
- sdk.c####.g####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- sh####.360t####.com
- www.google####.com
Запросы HTTP GET:
- ope####.mob####.360.cn/index/upgrade?package=####&version=####&apk_versi...
- sdk.c####.g####.####.cn/config/hzv9.conf
- sh####.360t####.com.####.com/160422/57b92647917cce029e2634ba82d77e69/lib...
- sh####.360t####.com.####.com/160422/7bcec7e7c45683a01b4ffc5c68c66f94/lib...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.pinxu####.com/
- c.appj####.com/ad/splash/stats.html
- l####.tbs.qq.com/ajax?c=####&k=####
- l####.tbs.qq.com/ajax?c=####&v=####&k=####
- res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/address-edit.html
- /data/data/####/address-list.html
- /data/data/####/app.js
- /data/data/####/arrow-top.png
- /data/data/####/authentication.png
- /data/data/####/baby.png
- /data/data/####/bee-logo@240.png
- /data/data/####/bg.png
- /data/data/####/bridge.js
- /data/data/####/built.png
- /data/data/####/cart-empty-ico_220.png
- /data/data/####/cart-ico_50.png
- /data/data/####/cart.html
- /data/data/####/cate_more.png
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/channel-category.html
- /data/data/####/choice-goods.html
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/clothing.png
- /data/data/####/com.dgbiz.haipin_preferences.xml
- /data/data/####/com.qiyukf.analytics.xml
- /data/data/####/common.css
- /data/data/####/common.js
- /data/data/####/config.js
- /data/data/####/constant.css
- /data/data/####/core_info
- /data/data/####/counter.js
- /data/data/####/cross-border.png
- /data/data/####/debug.conf
- /data/data/####/department-store.png
- /data/data/####/district-popup.js
- /data/data/####/district.js
- /data/data/####/ejs.js
- /data/data/####/evaluate.html
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/food.png
- /data/data/####/function.css
- /data/data/####/furniture.png
- /data/data/####/goods-detail.html
- /data/data/####/goods-list.html
- /data/data/####/goods-ordering.html
- /data/data/####/goods.js
- /data/data/####/high-commission.html
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/home.png
- /data/data/####/household-electrical-appliances.png
- /data/data/####/icon.eot
- /data/data/####/icon.svg
- /data/data/####/icon.ttf
- /data/data/####/icon.woff
- /data/data/####/icon_fuzhuangxiangbao.jpg
- /data/data/####/icon_haitao.jpg
- /data/data/####/icon_jiajujiazhuang.jpg
- /data/data/####/icon_jiayongdianqi.jpg
- /data/data/####/icon_jujia.jpg
- /data/data/####/icon_kuaixiaoshangpin-.jpg
- /data/data/####/icon_kuaixiaoshangpin.png
- /data/data/####/icon_pinxun-logo.jpg
- /data/data/####/icon_shuiguoyouxuan.jpg
- /data/data/####/icon_xianshimiaosha.jpg
- /data/data/####/icon_yixianyipin.png
- /data/data/####/icon_zhongchou.jpg
- /data/data/####/increment.db-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/invite.jpg
- /data/data/####/invoice.html
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal
- /data/data/####/lib.js
- /data/data/####/libjiagu.so
- /data/data/####/libpatch
- /data/data/####/libpatch.so
- /data/data/####/libpatch1
- /data/data/####/libpatch1.so
- /data/data/####/localResizeIMG.js
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/logistics-info.html
- /data/data/####/market.html
- /data/data/####/metrics_guid
- /data/data/####/mobileBUGFix.mini.js
- /data/data/####/my-order.html
- /data/data/####/noLoginCart.html
- /data/data/####/offline-confirm.html
- /data/data/####/order-detail.html
- /data/data/####/order.html
- /data/data/####/page-cart-index.css
- /data/data/####/page-choice-goods.css
- /data/data/####/page-evaluate.css
- /data/data/####/page-goods-detail.css
- /data/data/####/page-goods-list.css
- /data/data/####/page-goods-ordering.css
- /data/data/####/page-high-commission.css
- /data/data/####/page-invoice.css
- /data/data/####/page-logistics-info.css
- /data/data/####/page-market.css
- /data/data/####/page-offline-confirm.css
- /data/data/####/page-order-confirm.css
- /data/data/####/page-order-detail.css
- /data/data/####/page-order-list.css
- /data/data/####/page-refund-apply.css
- /data/data/####/page-refund-detail.css
- /data/data/####/page-shareImage-invite.css
- /data/data/####/page-shop-category.css
- /data/data/####/page-shop-goods.css
- /data/data/####/page-shop-index.css
- /data/data/####/page-small-shop.css
- /data/data/####/pay-ali-ico_50.png
- /data/data/####/pay-wx-ico_50.png
- /data/data/####/pref.xml
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qiyu_save_3423f85d67ffc5aa619d486671dd3726.xml
- /data/data/####/refund-apply.html
- /data/data/####/refund-detail.html
- /data/data/####/refund-log.html
- /data/data/####/rights-order.html
- /data/data/####/run.pid
- /data/data/####/select-bg.png
- /data/data/####/select-category-goods.html
- /data/data/####/shareImage-invite.html
- /data/data/####/share_data_updatesdk.xml
- /data/data/####/sharedPreferences.xml
- /data/data/####/shop-category-add.html
- /data/data/####/shop-category-edit.html
- /data/data/####/shop-category-manger.html
- /data/data/####/shop-category.html
- /data/data/####/shop-goods.html
- /data/data/####/shop.html
- /data/data/####/slider.js
- /data/data/####/small-shop.html
- /data/data/####/swipe.js
- /data/data/####/tags.png
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/the-real-index
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unicorn#cheese#
- /data/data/####/update.qh
- /data/data/####/version.txt
- /data/media/####/.nomedia
- /data/media/####/alsn.db
- /data/media/####/alsn.db-journal
- /data/media/####/app.db
- /data/media/####/com.dgbiz.haipin.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tbslog.txt
- /data/media/####/tmp_c_20240413
- /data/media/####/tmp_u_20240413
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
- chmod 755 /data/user/0/<Package>/cache/360Download
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DESede-ECB-PKCS5Padding
- RC4
- RSA
- RSA-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
Запрашивает разрешение на отображение системных уведомлений.
