Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.84.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) w####.pi####.com.cn:80
- TCP(HTTP/1.1) 1####.205.135.204:80
- TCP(HTTP/1.1) rb.api.huisuo####.com:80
- TCP(HTTP/1.1) app####.pi####.com.cn:80
- TCP(HTTP/1.1) zhg.ali####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) wb.110.ta####.com:80
- TCP(HTTP/1.1) pawf-ac####.pi####.com.cn:80
- TCP(HTTP/1.1) w####.pi####.com.####.cn:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) reso####.g####.mi####.com:80
- TCP(HTTP/1.1) 1####.205.143.143:80
- TCP(HTTP/1.1) a####.m.ta####.com:80
- TCP(TLS/1.0) u####.umengc####.com:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP 47.74.1####.155:5222
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.ci####.cn
- a####.m.ta####.com
- a####.u####.com
- app####.pi####.com.cn
- c####.g####.ig####.com
- loc.map.b####.com
- pawf-ac####.pi####.com.cn
- rb.api.huisuo####.com
- regi####.xm####.xi####.com
- reso####.g####.mi####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- u####.umengc####.com
- w####.pi####.com
- w####.pi####.com.cn
- wb.110.ta####.com
- y####.al####.com
Запросы HTTP GET:
- reso####.g####.mi####.com/gslb/gslb/getbucket.asp?ver=####&type=####&uui...
- t####.c####.q####.####.com/tdata_PTX669
- t####.c####.q####.####.com/tdata_oIB717
- w####.pi####.com.cn/pawf-core/rest/getSsidV3?sourceAppid=####&supportTer...
- w####.pi####.com.cn/pawf-core/rest/v5/getGlobalConfig?isRtnCmccWeb=####&...
- zhg.ali####.com/m/um.htm?c={"ser####
Запросы HTTP POST:
- a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
- a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
- a####.u####.com/app_logs
- app####.pi####.com.cn/g/d
- loc.map.b####.com/sdk.php
- pawf-ac####.pi####.com.cn/pawf-logger/rest/logger/V2/plugSaveUserInfo
- rb.api.huisuo####.com/frontend/config/app
- rb.api.huisuo####.com/frontend/config/right-slide-credit-config/load
- rb.api.huisuo####.com/frontend/login/device
- sdk.o####.p####.####.com/api.php?format=####&t=####
- w####.pi####.com.####.cn/page/plugin_v2/agreement_android.html
- w####.pi####.com.####.cn/page/plugin_v2/connect.html
- w####.pi####.com.####.cn/page/plugin_v2/error.html
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/connect_ing.png
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/connect_nor.png
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/connect_suc.png
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/connecting.png
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/contanct_fail.png
- w####.pi####.com.####.cn/page/plugin_v2/images/connect/contanct_success....
- w####.pi####.com.####.cn/page/plugin_v2/images/error.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/back.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/close.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/help.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/icon_password.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/icon_password_see.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/icon_password_unsee....
- w####.pi####.com.####.cn/page/plugin_v2/images/list/icon_user.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/refresh_pic1.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/swtich_bg_off.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/swtich_bg_on.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/swtich_icon.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/turn_on_wifi.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_icon.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_null.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_status_0.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_status_1.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_status_2.png
- w####.pi####.com.####.cn/page/plugin_v2/images/list/wifi_status_3.png
- w####.pi####.com.####.cn/page/plugin_v2/images/loading.png
- w####.pi####.com.####.cn/page/plugin_v2/js/common.js
- w####.pi####.com.####.cn/page/plugin_v2/js/connect.js
- w####.pi####.com.####.cn/page/plugin_v2/js/iscroll-probe.js
- w####.pi####.com.####.cn/page/plugin_v2/js/iscroll-pullRefresh.js
- w####.pi####.com.####.cn/page/plugin_v2/js/list.js
- w####.pi####.com.####.cn/page/plugin_v2/js/login.js
- w####.pi####.com.####.cn/page/plugin_v2/js/qa.js
- w####.pi####.com.####.cn/page/plugin_v2/list.html
- w####.pi####.com.####.cn/page/plugin_v2/login.html
- w####.pi####.com.####.cn/page/plugin_v2/manifest.json
- w####.pi####.com.####.cn/page/plugin_v2/qa.html
- w####.pi####.com.####.cn/page/plugin_v2/style/common.css
- w####.pi####.com.####.cn/page/plugin_v2/style/connect.css
- w####.pi####.com.####.cn/page/plugin_v2/style/list.css
- w####.pi####.com.####.cn/page/plugin_v2/style/login.css
- w####.pi####.com.####.cn/page/plugin_v2/style/qa.css
- wb.110.ta####.com/api/update.do
- zhg.ali####.com/saveWb.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cfg.hq
- /data/data/####/.imprint
- /data/data/####/.jiagu.ls
- /data/data/####/.locas.loc
- /data/data/####/.rscms.rscm
- /data/data/####/0a231bd8575dcf72.txt
- /data/data/####/1529021208430.pluginlist
- /data/data/####/1d77ea041509fe06.lock
- /data/data/####/49814c4f5ac2f2f9.lock
- /data/data/####/ALIBABA_SDK_DYNAMIC_CONFIG.xml
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/PhoneUtil.xml
- /data/data/####/SGMANAGER_DATA.xml
- /data/data/####/UTCommon.xml
- /data/data/####/UTMCConf-1768067124.xml
- /data/data/####/UTMCLog-1768067124.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/_andfix_.xml
- /data/data/####/com.huaqian;thirdparty
- /data/data/####/com_pingan_pinganwifi_action_database-journal
- /data/data/####/data_cache_com.pingan.wifi.fj.xml
- /data/data/####/firll.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/gx_sp.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/libjiagu.so
- /data/data/####/libsecuritysdkx-3.1.27.so.tmp
- /data/data/####/mipush.xml
- /data/data/####/mipush_account.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/ml-region.db.tmp
- /data/data/####/mobclick_agent_online_setting_com.huaqian.xml
- /data/data/####/multidex.version.xml
- /data/data/####/onesdk_device.xml
- /data/data/####/openudid_prefs.xml
- /data/data/####/pa_wifi_config.xml
- /data/data/####/pingantcagent.db
- /data/data/####/pingantcagent.db-journal
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_registered_pkg_names.xml
- /data/data/####/progress.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sp.lock
- /data/data/####/tdata_PTX669.jar
- /data/data/####/tdata_PTX669.tmp
- /data/data/####/tdata_oIB717.jar
- /data/data/####/tdata_oIB717.tmp
- /data/data/####/tdid.xml
- /data/data/####/tmpd8.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/wifi_in.xml
- /data/media/####/._agreement_android.html
- /data/media/####/._back.png
- /data/media/####/._close.png
- /data/media/####/._common.css
- /data/media/####/._common.js
- /data/media/####/._connect
- /data/media/####/._connect.css
- /data/media/####/._connect.html
- /data/media/####/._connect.js
- /data/media/####/._connect_ing.png
- /data/media/####/._connect_nor.png
- /data/media/####/._connect_suc.png
- /data/media/####/._connecting.png
- /data/media/####/._contanct_fail.png
- /data/media/####/._contanct_success.png
- /data/media/####/._help.png
- /data/media/####/._icon_password.png
- /data/media/####/._icon_password_see.png
- /data/media/####/._icon_password_unsee.png
- /data/media/####/._icon_user.png
- /data/media/####/._images
- /data/media/####/._iscroll-probe.js
- /data/media/####/._iscroll-pullRefresh.js
- /data/media/####/._js
- /data/media/####/._list
- /data/media/####/._list.css
- /data/media/####/._list.html
- /data/media/####/._list.js
- /data/media/####/._loading.png
- /data/media/####/._login.css
- /data/media/####/._login.html
- /data/media/####/._login.js
- /data/media/####/._manifest.json
- /data/media/####/._plugin
- /data/media/####/._qa.css
- /data/media/####/._qa.html
- /data/media/####/._qa.js
- /data/media/####/._refresh_pic1.png
- /data/media/####/._style
- /data/media/####/._swtich_bg_off.png
- /data/media/####/._swtich_bg_on.png
- /data/media/####/._swtich_icon.png
- /data/media/####/._turn_on_wifi.png
- /data/media/####/._wifi_icon.png
- /data/media/####/._wifi_null.png
- /data/media/####/._wifi_status_0.png
- /data/media/####/._wifi_status_1.png
- /data/media/####/._wifi_status_2.png
- /data/media/####/._wifi_status_3.png
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/6c709c11d2d46a7b
- /data/media/####/783279420.tmp
- /data/media/####/783279421.tmp
- /data/media/####/783279443.tmp
- /data/media/####/783279444.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/agreement_android.html
- /data/media/####/app.db
- /data/media/####/asdklog_a
- /data/media/####/asdklog_s
- /data/media/####/back.png
- /data/media/####/close.png
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.huaqian.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/common.css
- /data/media/####/common.js
- /data/media/####/conlts.dat
- /data/media/####/connect.css
- /data/media/####/connect.html
- /data/media/####/connect.js
- /data/media/####/connect_ing.png
- /data/media/####/connect_nor.png
- /data/media/####/connect_suc.png
- /data/media/####/connecting.png
- /data/media/####/contanct_fail.png
- /data/media/####/contanct_success.png
- /data/media/####/dd7893586a493dc3
- /data/media/####/default.zip
- /data/media/####/error.html
- /data/media/####/error.png
- /data/media/####/help.png
- /data/media/####/icon_password.png
- /data/media/####/icon_password_see.png
- /data/media/####/icon_password_unsee.png
- /data/media/####/icon_user.png
- /data/media/####/iscroll-probe.js
- /data/media/####/iscroll-pullRefresh.js
- /data/media/####/list.css
- /data/media/####/list.html
- /data/media/####/list.js
- /data/media/####/loading.png
- /data/media/####/login.css
- /data/media/####/login.html
- /data/media/####/login.js
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/manifest.json
- /data/media/####/qa.css
- /data/media/####/qa.html
- /data/media/####/qa.js
- /data/media/####/refresh_pic1.png
- /data/media/####/remoteManifest.json
- /data/media/####/swtich_bg_off.png
- /data/media/####/swtich_bg_on.png
- /data/media/####/swtich_icon.png
- /data/media/####/tdata_PTX669
- /data/media/####/tdata_oIB717
- /data/media/####/turn_on_wifi.png
- /data/media/####/wifi_icon.png
- /data/media/####/wifi_null.png
- /data/media/####/wifi_status_0.png
- /data/media/####/wifi_status_1.png
- /data/media/####/wifi_status_2.png
- /data/media/####/wifi_status_3.png
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24108 300 0
- cat /proc/cpuinfo | grep Serial
- chmod 700 <Package Folder>/files/gdaemon_20161017
- ls -l /system/xbin/su
Загружает динамические библиотеки:
- andfix
- cia
- libjiagu
- locSDK5
- securitysdk-3.1
- wifiin-jni
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- desede-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- desede-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
