Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) www.t####.com:80
- TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) img.t####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) im####.t####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) sni.c####.q####.####.net:80
- TCP(TLS/1.0) qy-swa####.qi####.com:443
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- d####.opensp####.cn
- h####.opensp####.cn
- im####.t####.com
- img.t####.com
- log.u####.com
- mt####.go####.com
- pub-####.qin####.com
- qy-swa####.qi####.com
- s####.u####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.t####.com
Запросы HTTP GET:
- h####.opensp####.cn/launchconfig?t=####&p=LmFwc####
- im####.t####.com/6362629046249238498243059.jpg
- im####.t####.com/6364832881276362108633644.jpg
- img.t####.com/0002984_0.jpeg?x-oss-process=####
- img.t####.com/0004722_0.jpeg?x-oss-process=####
- img.t####.com/0008420_0.jpeg?x-oss-process=####
- img.t####.com/0010444_0.jpeg?x-oss-process=####
- img.t####.com/0010714_0.jpeg?x-oss-process=####
- img.t####.com/0010715_0.jpeg?x-oss-process=####
- img.t####.com/0011233_0.jpeg?x-oss-process=####
- img.t####.com/0011938_0.jpeg?x-oss-process=####
- img.t####.com/0012935_0.jpeg?x-oss-process=####
- img.t####.com/0013480_0.jpeg?x-oss-process=####
- img.t####.com/0013952_0.jpeg?x-oss-process=####
- img.t####.com/0013992_0.jpeg?x-oss-process=####
- img.t####.com/0014017_0.jpeg?x-oss-process=####
- img.t####.com/0015669_0.jpeg?x-oss-process=####
- img.t####.com/0017170_0.jpeg?x-oss-process=####
- img.t####.com/0017244_0.jpeg?x-oss-process=####
- img.t####.com/0017249_0.jpeg?x-oss-process=####
- img.t####.com/0032467_0.jpeg?x-oss-process=####
- img.t####.com/0032471_0.jpeg?x-oss-process=####
- img.t####.com/0032494_0.jpeg?x-oss-process=####
- img.t####.com/0046867_0.jpeg?x-oss-process=####
- img.t####.com/0048133_0.jpeg?x-oss-process=####
- img.t####.com/0048429_0.jpeg?x-oss-process=####
- img.t####.com/0048430_0.jpeg?x-oss-process=####
- img.t####.com/0049319_0.jpeg?x-oss-process=####
- img.t####.com/0049997_0.jpeg
- img.t####.com/0051531_0.png
- img.t####.com/0051532_0.png
- img.t####.com/0051533_0.png
- img.t####.com/0051534_0.png
- img.t####.com/0052230_0.jpeg?x-oss-process=####
- img.t####.com/0052311_0.jpeg?x-oss-process=####
- img.t####.com/0068091_0.jpeg?x-oss-process=####
- img.t####.com/0094032_0.png
- img.t####.com/0096731_0.jpeg?x-oss-process=####
- img.t####.com/0096746_0.jpeg?x-oss-process=####
- sh.wagbr####.alibaba####.com/bar/get/55fa26dce0f55ace9200050c/?ud_get=####
- sni.c####.q####.####.net/config/hz-hzv3.conf
- sni.c####.q####.####.net/tdata_MkX219
- sni.c####.q####.####.net/tdata_iGj879
- t####.c####.q####.####.com/tdata_EDT356
- www.t####.com/API/ServicesOtherPlatforms/GetIndexNav
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.t####.com/API/ServicesOtherPlatforms/GetHotRecommendProducts
- www.t####.com/API/ServicesOtherPlatforms/GetHotSeachKey
- www.t####.com/API/ServicesOtherPlatforms/GetImageGroups
- www.t####.com/API/ServicesOtherPlatforms/GetIndexPage
- www.t####.com/API/ServicesOtherPlatforms/GetProductInfo
- www.t####.com/API/ServicesOtherPlatforms/SeachProducts
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0318bb4e9c6c2c24f4a80433bc963bc7d470de33695b5cb....0.tmp
- /data/data/####/049f7b99b1882dd08cdced87abbdb212871a065d66bcefe....0.tmp
- /data/data/####/0c31ba1405c0a3ee6af6f568239749b7527fd943b61c9da....0.tmp
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/117994ac682aaf1e49882d4c79a5938a531f7135d3e0f7e....0.tmp
- /data/data/####/1534551067276.log
- /data/data/####/18aaf46d3b5e5bff801615e637d7319490edfe2e632b514....0.tmp
- /data/data/####/1b76b67903c38903a133562d47798c984bc0ff5aea8e968....0.tmp
- /data/data/####/1e8f5ea1002a73f503dbcf926c0700e045ca0a3208dc5af....0.tmp
- /data/data/####/21ca408b2800747110f420ab7a53cf9c6650340fc325c4a....0.tmp
- /data/data/####/28bcaf20ad6708ff6cf83a69edca6c6ddb76f4756e73b4d....0.tmp
- /data/data/####/28e17c2b076d4a3e98c20dc81455fc453f181a9940482f4....0.tmp
- /data/data/####/30439b07672a8b5823a1d19a74fc5579e2f5bad30b22c01....0.tmp
- /data/data/####/38e70b0b67ee466fe7898a0289c9ae20210c6ca34c13b8a....0.tmp
- /data/data/####/3a057a9d36123c386b699eb1c3e16576bc24b6f672b05a6....0.tmp
- /data/data/####/3c60a672e31a896db39b83c9bf2edbe77cfc2cc0a186eef....0.tmp
- /data/data/####/4f40c576f56457ef35246404c0b5e5f89f92d833296e2df....0.tmp
- /data/data/####/589318db968f975e9cd74094c00a8cfe0f76249343d9bfc....0.tmp
- /data/data/####/59366feb7bc868a05b12d19537aecccf28cc9c4e2c4c157....0.tmp
- /data/data/####/5e1a716e47cb22160bf86b336b6ac313e8c0fc96f32cdd6....0.tmp
- /data/data/####/601943ae1cdb690284ba1c05ce6af13ac9c522b6644dac9....0.tmp
- /data/data/####/616e880ec0661c65e5ac8d3d141b876974d6fca3afecc6a....0.tmp
- /data/data/####/634f58fbdcf35947a0c2310550e8c055afd4b87d318e2ef....0.tmp
- /data/data/####/7cb6d9c0d340ce20e3c045efbcd0f7cb98d5d11eac80854....0.tmp
- /data/data/####/89127531013d9bb0d98a2a26ca21a58fc17091ac6c29f12....0.tmp
- /data/data/####/89c20904309b1d11bfb582e48399346451e7698db694654....0.tmp
- /data/data/####/89f3c2f12edf44309ddcc4a4f28fed2d3a11160cbcff5c7....0.tmp
- /data/data/####/8c829f6fc679
- /data/data/####/8fcfa3b08f755f34a62a3963396ff25a34aa9c3b26d4ed8....0.tmp
- /data/data/####/9ad9030635f1c4213877057697713f5c490899dfdc3ed03....0.tmp
- /data/data/####/9d3b84e9e1135dd135be8ec5c1f43371f7ad7e4faf0f611....0.tmp
- /data/data/####/9f66a90d27f1bf9954d5d4b368d51812b0ad98f6d2018c8....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/ContextData.xml
- /data/data/####/MultiDex.lock
- /data/data/####/SearchHistory.db
- /data/data/####/SearchHistory.db-journal
- /data/data/####/a16335b982160ca04efd274f4de545bdf96bba8d933b91e....0.tmp
- /data/data/####/a73c6437fe41ec8f02b3e67b892d801ad5c0d0be8c47d74....0.tmp
- /data/data/####/appData.db-journal
- /data/data/####/b403e2b71a5a4da19ac32507e527310e52ddbab882c38ba....0.tmp
- /data/data/####/b9333ea8960daf44bb6fd02139aa675ee7dddec78235502....0.tmp
- /data/data/####/bce3687f2dce643e1ada81059a4353ba146af5b62131886....0.tmp
- /data/data/####/bd14f2ea76c9e3181010ca3356eeb425d667bc47af1a662....0.tmp
- /data/data/####/bdf5e2588a4ee674d6baeb4bd19f8f019ff96ffbb863237....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c1518ba0353287c619dcf0a0eef17592717fb51185e1a97....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/com.qiyukf.analytics.xml
- /data/data/####/com.tea7.app.BETA_VALUES.xml
- /data/data/####/com.tea7.app_preference.xml
- /data/data/####/crashrecord.xml
- /data/data/####/d3d10900e16da447abc97e77f070ea856922e099582506f....0.tmp
- /data/data/####/d41d54b59ff5d85b81576a51204fb49134be04cacc89d5d....0.tmp
- /data/data/####/dc84c6c083aa41d8db3096eee8e4f4feee0a566a3dcf9be....0.tmp
- /data/data/####/deb231748ae2e053d20ecd58ecc1579eeafd02c50d31732....0.tmp
- /data/data/####/e245cb670dfd3e4a9c63cc4dd12041b6a509fc485adbea6....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f964bed95ae80a6dcc365f57ec33251d374821844636f86....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.tea7.app.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1833923195.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qiyu_save_6a77f3303cc98343582464c7494e6033.xml
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/unicorn#cheese#
- /data/media/####/.nomedia
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.tea7.app.bin
- /data/media/####/com.tea7.app.db
- /data/media/####/iflyworkdir_test
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GeTuiPushService 24101 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu1833923195.so
- getprop
- mount
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libjiagu1833923195
- msc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
