Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ani####.d####.tv.####.com:8083
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) dzc####.a####.tv:80
- TCP(HTTP/1.1) f####.a####.tv.####.com:8081
- TCP(HTTP/1.1) ani####.d####.tv.####.com:80
- TCP(HTTP/1.1) f####.a####.tv.####.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) api.w####.com:443
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- ani####.d####.tv
- api.w####.com
- c####.g####.ig####.com
- c-h####.g####.com
- cgi.con####.qq.com
- dzc####.a####.tv
- f####.a####.tv
- f####.a####.tv
- h####.b####.com
- njdx####.d####.tv
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- zj####.d####.tv
Запросы HTTP GET:
- ani####.d####.tv.####.com/aniuapi/api/v2/appversion/check?appid=####&cha...
- ani####.d####.tv.####.com/aniuapi/api/v2/menumanager/gethasmenu?&platfor...
- ani####.d####.tv.####.com/aniuapi/api/v2/token/getToken?&token=####&vers...
- ani####.d####.tv.####.com:8083/aniuapi/api/v2/transcript/query?channelid...
- ani####.d####.tv.####.com:8083/aniuapi/api/v2/transcript/querypersonalms...
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- dzc####.a####.tv/5.1.6/css/iconfont.css
- dzc####.a####.tv/5.1.6/css/index/indexRecommend.css
- dzc####.a####.tv/5.1.6/css/mescroll/mescroll-option.css
- dzc####.a####.tv/5.1.6/css/mescroll/mescroll.min.css
- dzc####.a####.tv/5.1.6/css/public.css
- dzc####.a####.tv/5.1.6/css/swiper/swiper.min.css
- dzc####.a####.tv/5.1.6/fonts/iconfont.ttf?t=####
- dzc####.a####.tv/5.1.6/html/index/index_ColumnList.html?c_type=####
- dzc####.a####.tv/5.1.6/images/ClipboardImage.gif
- dzc####.a####.tv/5.1.6/images/banner_v3.jpg
- dzc####.a####.tv/5.1.6/images/lloading.gif
- dzc####.a####.tv/5.1.6/images/newsLine_bg_now.png
- dzc####.a####.tv/5.1.6/images/newsLine_bg_old.png
- dzc####.a####.tv/5.1.6/js/iconfont.js
- dzc####.a####.tv/5.1.6/js/jquery.base64.js
- dzc####.a####.tv/5.1.6/js/jquery.md5.js
- dzc####.a####.tv/5.1.6/js/jquery.min.js
- dzc####.a####.tv/5.1.6/js/mescroll/mescroll-option.js
- dzc####.a####.tv/5.1.6/js/mescroll/mescroll.min.js
- dzc####.a####.tv/5.1.6/js/public.js
- dzc####.a####.tv/5.1.6/template/index/style.IndexColumnList.js
- dzc####.a####.tv/5.1.6/template/index/tpl.IndexColumnList.js
- dzc####.a####.tv/5.1.6/template/pub.ColLabel.js
- f####.a####.tv.####.com/201610171108286770/201610171108286770.jpg
- f####.a####.tv.####.com/20170612/cd754ba310c1ba46b7549bc75f3727d1.jpg
- f####.a####.tv.####.com/20170802/bd9e72e1f1298ca139faff24e1f81197.png
- f####.a####.tv.####.com/20171213/44f00b6a4aff679e9798b7643088b3a1.jpg
- f####.a####.tv.####.com/2018/03/27/44b98e01d9945f6f56ce12ff6590867f.png
- f####.a####.tv.####.com/2018/03/30/937bc0c1e96dd0653a9e8be2824af4b7.jpg
- f####.a####.tv.####.com/2018/05/03/68180a958ba0a5ae4a1a23c2718a5945.jpg
- f####.a####.tv.####.com/2018/05/29/a8d9623014a048b3f13e4a47dad54238.jpg
- f####.a####.tv.####.com/2018/06/11/b3cfa25b68c9ca593cd5ccccfc41fb68.jpg
- f####.a####.tv.####.com/2018/07/31/2bb3761dee39d68e98bdfa5c9d5147ae.png
- f####.a####.tv.####.com/2018/07/31/c7e43f40fc6f3bef0277a1348812935d.png
- f####.a####.tv.####.com/2018/08/09/d308648498e55403049f242cfe1e8aac.jpg
- f####.a####.tv.####.com/2018/08/26/a4b4f7d6e918ab6fb35abc6679a4a679.png
- f####.a####.tv.####.com/2018/08/26/f2c004ae3799686fb878d94c321e09be.png
- f####.a####.tv.####.com/2018/08/28/c7e38abc9454be3aa163e30318397b45.png
- f####.a####.tv.####.com/2018/08/31/008985760041b6541cc28cf80da9544d.png
- f####.a####.tv.####.com/2018/08/31/17919e2a46a4dbdcc60d8cca29d8cf1e.png
- f####.a####.tv.####.com/2018/08/31/3384e15f5ca68a20f9e4a2d978f87cd4.png
- f####.a####.tv.####.com/2018/08/31/45f274342cca38181b92c620015c0f5d.png
- f####.a####.tv.####.com/2018/08/31/9a3c6fa573b1b2ee1a61ca415ebf6ed8.png
- f####.a####.tv.####.com/2018/08/31/c160a983b089709348c2ad3521ad5b1c.png
- f####.a####.tv.####.com/2018/08/31/e260cf795d7a6737eae7e0b6381c5114.png
- f####.a####.tv.####.com/2018/08/31/e843f8fdd0024c2f625194e5e4066d6e.png
- f####.a####.tv.####.com/2018/08/31/ecef87f7e8402bf81187f695ed9e5291.png
- f####.a####.tv.####.com/2018/09/02/1526b5118622a0c369c2cd64d650b831.png
- f####.a####.tv.####.com/2018/09/02/3f1d7250da5d86fdcc76eee1d912469c.png
- f####.a####.tv.####.com/2018/09/02/634cab84e43b3409dbc67a9898488496.png
- f####.a####.tv.####.com/2018/09/02/77092e5c20b4e08a6e8511ea83485d75.png
- f####.a####.tv.####.com/2018/09/02/8a3c6c1f96b0389f3e88117948d72e5c.jpg
- f####.a####.tv.####.com/2018/09/02/9536f2e8a73a9f3e77c7bac38f3b4090.jpg
- f####.a####.tv.####.com/2018/09/02/9806759f19d95968b621e4c96e41c874.jpg
- f####.a####.tv.####.com/2018/09/02/a00fa0f63c5f13328c529348bd24d689.jpg
- f####.a####.tv.####.com/2018/09/02/b020eebd45b22a054f061a06d731ecea.png
- f####.a####.tv.####.com/2018/09/02/d583f2f861a27c2a942c95b4604ebc60.png
- f####.a####.tv.####.com/2018/09/02/de68a9c0ec0eec65470e8398879fe927.png
- f####.a####.tv.####.com/2018/09/02/e7bacce8d07279b75a4b1c0aa9085e7f.png
- f####.a####.tv.####.com/2018/09/02/fbfcd1f1dc57d26614e0c57b88bbfd1d.png
- f####.a####.tv.####.com:8081/useravatar220316/20160329/useravatar220316_...
- f####.a####.tv.####.com:8081/useravatar440134/20160329/useravatar440134_...
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_YJA893
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/PublicData.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1535862886784
- /data/data/####/a8068ea094f1
- /data/data/####/com.tencent.open.config.json.101081844
- /data/data/####/content.db
- /data/data/####/content.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dzcj.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1135688735.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sp_sophix.xml
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_YJA893
- /data/data/####/tdata_YJA893.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/weibo_sdk_aid1
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.timestamp
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_YJA893
- /data/media/####/test.log
- /data/media/####/tv.aniu.app.dzlc.bin
- /data/media/####/tv.aniu.app.dzlc.db
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.common.push.PushService 24551 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu1135688735.so
- mount
Загружает динамические библиотеки:
- crash_analysis
- getuiext2
- libjiagu1135688735
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
