Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) apic####.mob.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) www.slan####.top:80
- TCP(HTTP/1.1) cnf.ad####.com:80
- TCP(HTTP/1.1) s####.ad####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) raw.githubu####.com:443
- TCP(TLS/1.0) www.slan####.top:443
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- a####.u####.com
- apic####.mob.com
- c####.g####.ig####.com
- c-h####.g####.com
- cnf.ad####.com
- m.d####.mob.com
- pub-####.qin####.com
- raw.githubu####.com
- s####.ad####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.slan####.top
Запросы HTTP GET:
- apic####.mob.com/appstore/calendar/day?key=####&date=####
- m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- t####.c####.q####.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- www.slan####.top//api/check?versionCode=####&appType=####
- www.slan####.top//api/voicesbirds/gethot2list/v2/10
- www.slan####.top/api/sys/getappadslist?appType=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- cnf.ad####.com/config/216/20170109001143/100785/1535625650729
- s####.ad####.com/record/216/20170109001143/1535625652293
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/125bf499c8bcfd5ca323e99476938bc2e5fcb7bf7abd8ba....0.tmp
- /data/data/####/12ad1e5ef492ff471ce4d7cedb4957569eda0c482fcad88....0.tmp
- /data/data/####/1550cd76a3880e95da0819edd52f83bef23f50c94a7ea7c....0.tmp
- /data/data/####/1a25dd70592a24c7d95de619d5ed4c5be85fa34b7cb93f6....0.tmp
- /data/data/####/1cd5fb295515e85624aa9429f91d531d6007b92a1e81315....0.tmp
- /data/data/####/1f563ab27d67624a969539fb1d1f06fb2f83ed83af77816....0.tmp
- /data/data/####/259df03a682935713d56fdb63f940a0ed026d670c86fb47....0.tmp
- /data/data/####/29b2e3aa7596f75d0fda1f1f56183907.xml
- /data/data/####/3f67063160ee98eaae3131ff8177a76059458f4ae21da36....0.tmp
- /data/data/####/3f8c185faab07579fc745519f3eba31197050773180a902....0.tmp
- /data/data/####/3fa479e0b19b0ae1040bcd6edf8e195760cedcdda591e3d....0.tmp
- /data/data/####/3ffbc515cf8e426e656c5b03def6ffdf01242da7b7279d0....0.tmp
- /data/data/####/447baa2cc70cecdf951007e3cca1b36554a99a230a40560....0.tmp
- /data/data/####/53f841dc1a8164f947519c2f4bd51c659e576a06b95aa56....0.tmp
- /data/data/####/6634ee0b1fdb8ff2b04510914f66edbbf9e63dfd33b971f....0.tmp
- /data/data/####/67636274285e1603cfe81530f8738053b22666363b2414c....0.tmp
- /data/data/####/713e0a92d7d74d9717796ba2c152d0c950661b3d78bed0a....0.tmp
- /data/data/####/73d8eb7279a6b9a154ed49690661a864d290046a1769d84....0.tmp
- /data/data/####/7f9aa09dbc4c31449f91d847103baaea4c0290906688566....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/a0769a3c2c06465425004d02bbf282e35353abb226642df....0.tmp
- /data/data/####/a4ab98db76aa751cce39c1b1382481cfb84298634689342....0.tmp
- /data/data/####/a595b6e125f26faadf6f3cada5aaf5158b8e62de6ca3a97....0.tmp
- /data/data/####/a7bd20124c2c401b1137f6668cb218ab4d39cfa38167f29....0.tmp
- /data/data/####/a8c68e783227755d9c9901aaeb05eb90018bcc985f3c23c....0.tmp
- /data/data/####/c526738e52163fef7cffa848137f5fb4e3134c22da734b5....0.tmp
- /data/data/####/c9c4aa0c24cd8876fc6ca13ccf93cbf42c76b4147233721....0.tmp
- /data/data/####/ca7867b10194
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/dc150f62393acc295fdcc96f70814a3875cb4a58dcc55d2....0.tmp
- /data/data/####/ded18e93dca7f4e7d26f94002b08c1c298641a853ed5f4d....0.tmp
- /data/data/####/e4e2ab382af60bb1e713803af66703804f25cf5dbfe27d0....0.tmp
- /data/data/####/e66b2972fed2a2930a474a50f1b48fbe728f9feb7a9e9ca....0.tmp
- /data/data/####/ee86ba0e6f3687e985c4b6b1c16d4b4ffb8d0d229e5fa5e....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f022fa7178023fdfabbb155ae3b5828d5cab10dc07fae37....0.tmp
- /data/data/####/f4af29d2998950a7537a294372f2476797a676e38aafa01....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1618479617.so
- /data/data/####/mob_commons_1.xml
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/share_data.xml
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
- /data/media/####/top.slantech.voicebirds.bin
- /data/media/####/top.slantech.voicebirds.db
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.DemoPushService 25347 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-1618479617.so
- mount
- sh
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.DemoPushService 25347 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1618479617
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- desede-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
