Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) xs.dom####.com:80
- TCP(HTTP/1.1) www.letup####.com:80
- TCP(HTTP/1.1) sdk.o####.amp.####.com:80
- TCP(HTTP/1.1) sni.c####.q####.####.net:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- adser####.go####.com
- b####.letup####.cn
- c####.g####.ig####.com
- c-h####.g####.com
- plb####.u####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.amp.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ssl.gst####.com
- u####.u####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
- www.letup####.com
- xs.dom####.com
Запросы HTTP GET:
- sdk.o####.amp.####.com/api.htm?format=####&t=####
- sni.c####.q####.####.net/config/hz-hzv3.conf
- sni.c####.q####.####.net/tdata_Soq141
- sni.c####.q####.####.net/tdata_vxj811
- t####.c####.q####.####.com/tdata_EDT356
- www.letup####.com/files/article/image/64/64672/64672l.jpg
- www.letup####.com/files/article/image/64/64713/64713l.jpg
- www.letup####.com/files/article/image/64/64717/64717l.jpg
- www.letup####.com/files/article/image/64/64724/64724l.jpg
- www.letup####.com/files/article/image/64/64848/64848l.jpg
- www.letup####.com/files/article/image/64/64863/64863l.jpg
- www.letup####.com/files/article/image/65/65061/65061l.jpg
- www.letup####.com/files/article/image/65/65084/65084l.jpg
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- xs.dom####.com/api/data/count
- xs.dom####.com/api/data/getBooksInfo
- xs.dom####.com/api/data/getChaptersInfo
- xs.dom####.com/api/data/getOpenId
- xs.dom####.com/api/data/getSetting
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/08ddf8f707048d18cf21f8ce6fba5d02e90fbd55d73f0b3....0.tmp
- /data/data/####/0f00e39d106b9aaa9a9525f4a9b2c3f973d3efa04fb0a12....0.tmp
- /data/data/####/1665fb70369fca45eeec2b5cabbe822af233799ea1f664e....0.tmp
- /data/data/####/17258c2ed9a466a39469596749223048c944b5fbd81f4f2....0.tmp
- /data/data/####/1ad5cbf96a7f3b0171ed5e577716c6a3330a6088afb31b0....0.tmp
- /data/data/####/2ca6e19405c1ed9ad63d7d07c195ccb3aaae93fbcd66402....0.tmp
- /data/data/####/4a47ceecfb75dc485a3a3619ee12e773b6fbb47419f45f8....0.tmp
- /data/data/####/57e3f09a20d62d68a081666868bf9ab8e9a0d12f171438f....0.tmp
- /data/data/####/809ddfb78783d159681e703e0441790d5886f34f5450dec....0.tmp
- /data/data/####/872fd63b005c
- /data/data/####/8c82084556d579b8f55d124e27d7caddd4edd80b5dc6b51....0.tmp
- /data/data/####/91784b111b1dcd9b18b057ed3092efc341a4bf67b6c6a28....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/CONFIG.xml
- /data/data/####/ContextData.xml
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a92d5775168a7e7469de7cd217f92256d3b14893a5dc1b3....0.tmp
- /data/data/####/a==7.4.1&&1.2_1532476164083_envelope.log
- /data/data/####/aec610118c72782dacba44a1fff4d8edcc6bf02e278a51e....0.tmp
- /data/data/####/b49732a7b95bad390d83dd4ca3f0f5eb50d8eb2cf905d03....0.tmp
- /data/data/####/d9d4ce650501267e39a75ad59c6cdbfbe51c35f05afda49....0.tmp
- /data/data/####/ea108489c03a1c56fb2747135139a5b620ce62c32600187....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gosing_book_db-journal
- /data/data/####/gosing_news.xml
- /data/data/####/gx_sp.xml
- /data/data/####/i==1.2.0&&1.2_1532476163722_envelope.log
- /data/data/####/info.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-633032245.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_vxj811
- /data/data/####/tdata_vxj811.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/user_info_cfg.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.lt.bc.mb.qddyd.bin
- /data/media/####/com.lt.bc.mb.qddyd.db
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_vxj811
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.gosing.ch.book.service.PushInitializeService 24665 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-633032245.so
- ls /
- ls /sys/class/thermal
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.gosing.ch.book.service.PushInitializeService 24665 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu-633032245
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
