Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) app.shangj####.com:443
- TCP(TLS/1.0) 2####.58.211.110:443
- TCP(TLS/1.0) biyou-####.oss-cn-####.aliy####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.b####.qq.com
- app.shangj####.com
- biyou-####.oss-cn-####.aliy####.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- plb####.u####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
Запросы HTTP GET:
- t####.c####.q####.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_Soq141
- t####.c####.q####.####.com/tdata_vxj811
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1100146138
- /data/data/####/-1156804365
- /data/data/####/-625471146
- /data/data/####/-982805235
- /data/data/####/.imprint
- /data/data/####/0ddc398d3cc73843dd3d46a3dccc3662a409483bbc65f6e....0.tmp
- /data/data/####/0e23a4185d440ae99f0ee8fc334a8b5acdfd30246ed4ec6....0.tmp
- /data/data/####/1004
- /data/data/####/1a8cd3b532c8282666a7c4cef8cd4d886a687959c2b6672....0.tmp
- /data/data/####/1afc61d548c7ebb44ac58a0159ad595c0f1c12ad4646dbc....0.tmp
- /data/data/####/22bca28170e242234f666a391ef1d63cb7b4707f0b01436....0.tmp
- /data/data/####/23226449db3a14076da2bc2860d8b63bfedbb24efaeba42....0.tmp
- /data/data/####/2620f004adeb1d3b5270500638fb2a964d9df5a0729620d....0.tmp
- /data/data/####/27f124f8daa9bf88278803efc342c03e2348fcae56e0924....0.tmp
- /data/data/####/29dd7299b22897486e91cad75ee6d2da725bdda038a33dd....0.tmp
- /data/data/####/300a6b9814a5518da5bfbd395fa0acd72cc2edc82240f25....0.tmp
- /data/data/####/321e9d502aaa8059de71a09be850167f62be60de62ac171....0.tmp
- /data/data/####/335551ee39e018a6fd85479e0549082381c9317998b3232....0.tmp
- /data/data/####/38e8005c605e53b4f73ecfacb33b1f2922c8280c96779d1....0.tmp
- /data/data/####/394a80a45b53272e5fa97ea396b9eb748f43fe9a3925428....0.tmp
- /data/data/####/3bdaa32b653816cdcc3b254e3dd202929f2dec9be57fda5....0.tmp
- /data/data/####/48de487f47e65ad94d3a5b7cce350b68541ba74ebfde8d9....0.tmp
- /data/data/####/4c884bcec9f50c9b4b1c7ace885db6dc6f9c89197e05160....0.tmp
- /data/data/####/507abc18efd5da46ee27c4a222b2e34a4ab1b54d23aab0c....0.tmp
- /data/data/####/5300c0bc03f08f42c25b0060d3ea92382e0b89c6cb5715e....0.tmp
- /data/data/####/6ce6ebe7b4fa9f834c248c48d7b95f0d1b472f64ba743eb....0.tmp
- /data/data/####/6efb51b16cfe712bc63f1d22b34b813092e5b5d73a2e8f9....0.tmp
- /data/data/####/7c40a3c4031b5bfe1e774d5e07d71b6c4169d05df9659a5....0.tmp
- /data/data/####/7caf58da0967f196c7e122cd5666794a5b98330ea0eeeac....0.tmp
- /data/data/####/8646013d810440aa20986b148d8676a679379447cc2713b....0.tmp
- /data/data/####/8a8bdd81d47789eb12f435003a6116fe158340205a71981....0.tmp
- /data/data/####/CHANNEL_SAVE_FILE.xml
- /data/data/####/MiUwf4_bPiir6tJ3lIudbU02jCs.-577554994.tmp
- /data/data/####/MmmfoG1hH0xRSgLqMTxMIm57_6g.-718455972.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/OQ8W4yTCZZ2bngVPlat0cs6X48w.-1934680118.tmp
- /data/data/####/a==7.5.3&&1.0.0_1535745141428_envelope.log
- /data/data/####/b0ed613cbb57ea14c94d48838449029d2b15b42bbbb9080....0.tmp
- /data/data/####/b703fbf9302ea9318632f1b60367a19341df8b8f9e08aba....0.tmp
- /data/data/####/baa05e3af644006c547ad7908c53c994e3c18fc80b5e660....0.tmp
- /data/data/####/bc429d035d0d59e5130f421032a98e4c59bfad5a1b63420....0.tmp
- /data/data/####/bdd52f3aa126f7182e25afb63ace8897b395749f525e6b1....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c3c4050db8fd
- /data/data/####/c52b18d7f4b9eb022837774cbb13a628221c71d1649f921....0.tmp
- /data/data/####/c83371bc587332483cb64ab0273f21689e7f83a2c6b3755....0.tmp
- /data/data/####/com.lianxin.betteru_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/disk_entries_list_image_cache_-1825562640.xml
- /data/data/####/ec95b582cdda62cc1b5fe094bc30c7ee8562ff0c00532ee....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f4712fae6695c8fe90d5092165c708213001ff41b845d75....0.tmp
- /data/data/####/f69fa8b645e7deed92cb08b700a70540f442522dfd7f511....0.tmp
- /data/data/####/fe10efcc8c21847a69d38a32235da3a0e4da03842bcd8e0....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/pxX7vyQordSxeSWoM7gqdgDL5Do.-2086732920.tmp
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share.db-journal
- /data/data/####/t2KlceTPBZTOpzJIBBRGr-TuUPE.1492657829.tmp
- /data/data/####/t_WUXlr3aFJubUW0bKKJ0KcSZbk.1399351703.tmp
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_vxj811
- /data/data/####/tdata_vxj811.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.lianxin.betteru.bin
- /data/media/####/com.lianxin.betteru.db
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_vxj811
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.JPushService 24929 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- mount
Загружает динамические библиотеки:
- Bugly
- getuiext2
- imagepipeline
- libnfix
- libshella-2.9.0.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CTR-NoPadding
- AES-GCM-NoPadding
- RSA-ECB-OAEPWithSHA1AndMGF1Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-CTR-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
