Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) sni.c####.q####.####.net:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) i####.innoc####.com:443
- TCP(TLS/1.0) r####.i####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) m.i####.com:443
- TCP(TLS/1.0) s####.tc.qq.com:443
- TCP(TLS/1.0) s.i####.com:443
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- hm.b####.com
- i####.innoc####.com
- log.u####.com
- m.i####.com
- r####.i####.com
- r####.wx.qq.com
- s####.u####.com
- s.i####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- s####.tc.qq.com/open/js/jweixin-1.3.2.js?v=####
- sni.c####.q####.####.net/config/hz-hzv3.conf
- sni.c####.q####.####.net/tdata_Soq141
- sni.c####.q####.####.net/tdata_vxj811
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-10828828041727223925
- /data/data/####/-1270400928-725274060
- /data/data/####/-1541919973-660969008
- /data/data/####/-21373507-315808725
- /data/data/####/-662578612-903492910
- /data/data/####/-6625786122041171958
- /data/data/####/-662578614401398357
- /data/data/####/-665080777-383885255
- /data/data/####/-665080777588328716
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/1533644403482.log
- /data/data/####/1533644403482.log.bak
- /data/data/####/7378629161902842436
- /data/data/####/7378629162119755883
- /data/data/####/790303314269166100
- /data/data/####/8573325091254566155
- /data/data/####/9348996181989290751
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/QALConfigStore.dat
- /data/data/####/TLS_DEVICE_INFO.xml
- /data/data/####/WLOGIN_DEVICE_INFO.xml
- /data/data/####/app_start_config.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.innochina.innocraft_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/cube_ptr_classic_last_update.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu-695445200.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qalimid_v2
- /data/data/####/report_v5.msgstore-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_vxj811
- /data/data/####/tdata_vxj811.jar
- /data/data/####/tls_device.dat
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_socialize.xml (deleted)
- /data/data/####/umeng_socialize.xml.bak
- /data/data/####/umeng_socialize.xml.bak (deleted)
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wlogin_device.dat
- /data/media/####/.nomedia
- /data/media/####/1cm8tkmk70oozya19ys1t28qf0.tmp
- /data/media/####/2eu8xzlvqagmh9fd2rfye5xl00.tmp
- /data/media/####/2qkou91s6q3u4x0b4o4793n500.tmp
- /data/media/####/2uq9kfvrk1n1en7w5z3natf0z0.tmp
- /data/media/####/3h18s7m4w79exd54exugj73d0.tmp
- /data/media/####/3lkcdmynd8igmz3e3jljcuulb0.tmp
- /data/media/####/3qggayki4cab7y4mqwfnfn6vx0.tmp
- /data/media/####/3rp8fsu6x4z46kcuj7ml70svo0.tmp
- /data/media/####/3sdcovn3oyqg0scefuivh0ny00.tmp
- /data/media/####/46aro3opdl4o5kvuiyy2d9e4a0.tmp
- /data/media/####/54bls2xdj3n3uwxcx9ujlvwrm0.tmp
- /data/media/####/5t7na2xfe3p0ie6qpglycg4ha0.tmp
- /data/media/####/64dagqtobs72b1o6hbg1whwyr0.tmp
- /data/media/####/6fkivgz3cpq90fnzru9k5fib10.tmp
- /data/media/####/6kxhqdrwfwnvcb7rbvztetzj00.tmp
- /data/media/####/768xfudbl999aba8utnr1687c0.tmp
- /data/media/####/7k2ysa680laz4jm0atce999440.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.18.08.07.12.log
- /data/media/####/app.db
- /data/media/####/bdb5gc6kktl6m11fjyxmmcuy0.tmp
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.innochina.innocraft.bin
- /data/media/####/com.innochina.innocraft.db
- /data/media/####/f8sn7t1jzqqcaishbx5j07vy0.tmp
- /data/media/####/g916g7hfx9ptw63khj7hdwz60.tmp
- /data/media/####/journal.tmp
- /data/media/####/sdk.18.08.07.12.log
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_vxj811
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.linewell.push.getui.GetuiPushService 25326 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-695445200.so
- getprop
Загружает динамические библиотеки:
- Bugly
- _imcore_jni_gyp
- _imcore_msg_ext_gyp
- getuiext2
- gnustl_shared
- libjiagu-695445200
- libwtcrypto
- pl_droidsonroids_gif
- qalcodecwrapper
- qalmsfboot
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
