Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) new####.no####.com.cn:9408
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) www.no####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) sni.c####.q####.####.net:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) www.no####.cn:443
- TCP(TLS/1.0) noobiep####.oss-cn-####.aliy####.com:443
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- mt####.go####.com
- new####.no####.com.cn
- noobiep####.oss-cn-####.aliy####.com
- s####.u####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.no####.cn
- www.no####.com.cn
Запросы HTTP GET:
- new####.no####.com.cn:9408/app/Index/courseinfo/4397
- new####.no####.com.cn:9408/app/Index/discusslist/4397/1
- new####.no####.com.cn:9408/app/Index/displayCourse/1
- new####.no####.com.cn:9408/app/Index/recommendList
- sni.c####.q####.####.net/config/hz-hzv3.conf
- sni.c####.q####.####.net/tdata_Soq141
- sni.c####.q####.####.net/tdata_vxj811
- www.no####.cn/public/upload/20161209/pFL5mRvzOHgLiqzmyuFFE8qK5LN9uRj8c.jpg
- www.no####.cn/public/upload/20170228/EDVwhEHxwAkTO044zUVOczRfMauz0cyLd.jpg
- www.no####.cn/public/upload/20170608/bXeIIkYvUPSmnIWGE6eydRl6urTOmlZy.jpg
- www.no####.cn/public/upload/20170627/4LdNSgRb5sd68fHSXk9TUG9UAWBEHBH9.jpg
- www.no####.cn/public/upload/20170808/eVM5SQeTwemvhSdd99X7rtp87mpWdrKw.jpg
- www.no####.cn/public/upload/20180104/O0LyXbmQmlvvWsr4NxX3cXHomDcgrnNL.jpg
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- new####.no####.com.cn:9408/app/Index/getConfig
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1534386790361.log
- /data/data/####/1f0b4abf11c658c586646b01309b8ed0fbb7fa08a4371b9....0.tmp
- /data/data/####/457b7ae56c8e3437bd5cac62ad79746bab9f4d54954ed1f....0.tmp
- /data/data/####/5544717c2186e54e707e0fd3cee494f8c704268951a0fd5....0.tmp
- /data/data/####/6880fd55df1e38f677a5032382bac3978b85941c372ff45....0.tmp
- /data/data/####/939e8131032ee1726d07450011eccb6635637cc4376e21c....0.tmp
- /data/data/####/APP_HEIGHT.xml
- /data/data/####/APP_WIDTH.xml
- /data/data/####/Cookies_Prefs.xml
- /data/data/####/GE_TUI_CID.xml
- /data/data/####/STATUS_BAR_HEIGHT.xml
- /data/data/####/e6e76095235f10db5dedcd21ae704c580dc92539a846ce9....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu363532625.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/systemconfig.ini.xml
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_vxj811
- /data/data/####/tdata_vxj811.jar
- /data/data/####/umeng_socialize.xml
- /data/data/####/venvyvideo++.xml
- /data/media/####/.nomedia
- /data/media/####/1id17jst9cpfshja9krq1kb740.tmp
- /data/media/####/350kpw5lpi9gitb4j9jurqzf80.tmp
- /data/media/####/3s3eq6b1rfixj15s0mbgz8g570.tmp
- /data/media/####/4r05vyx4r6neacq69y94ikvaa0.tmp
- /data/media/####/68t9ftmjt6vhhsik93mru4zcl0.tmp
- /data/media/####/6pz2pcqaw5g81c0eifmsf3ya0.tmp
- /data/media/####/app.db
- /data/media/####/com.benniao.edu.bin
- /data/media/####/com.benniao.edu.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/e7rtulgovulb5wtoau6ms8pm0.tmp
- /data/media/####/journal.tmp
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_vxj811
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GtPushService 24461 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu363532625.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu363532625
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
