Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) st####.itao####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) m.itao####.com:443
- TCP(TLS/1.0) lbs.net####.im:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) wa####.127.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP c####.g####.ig####.com:5224
- TCP 47.1####.191.236:9999
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- adser####.go####.com
- c####.g####.ig####.com
- c-h####.g####.com
- lbs.net####.im
- m.itao####.com
- q.itao####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ssl.gst####.com
- st####.itao####.com
- wa####.127.net
- wfd.net####.im
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- st####.itao####.com/images/appContent/list/0/0/11/20180904112455191.jpg
- st####.itao####.com/images/appContent/list/0/0/12/20180724105929732.jpg
- st####.itao####.com/images/appContent/list/0/0/13/20180708110910185.jpg
- st####.itao####.com/images/appContent/list/0/0/14/20180810151458812.jpg
- st####.itao####.com/images/appContent/list/0/0/15/20180903161033952.jpg
- st####.itao####.com/images/appContent/list/0/0/2/20180904184439637.jpg
- st####.itao####.com/images/appContent/list/0/0/3/20180904112530025.jpg
- st####.itao####.com/images/appContent/list/0/0/4/20180904181537700.jpg
- st####.itao####.com/images/appContent/list/0/0/5/20180904181105672.jpg
- st####.itao####.com/images/appContent/list/0/0/6/20180903161307220.jpg
- st####.itao####.com/images/appContent/list/0/0/7/20180904180831796.jpg
- st####.itao####.com/images/appContent/list/0/0/8/20180830180952055.jpg
- st####.itao####.com/images/appContent/list/0/0/9/20180830181932399.jpg
- st####.itao####.com/images/avatar/3/0/103/570//20180822234042691.png
- st####.itao####.com/images/avatar/3/0/50/1255//20180831101239223.png
- st####.itao####.com/images/avatar/3/0/64/1075//20180718234023335.png
- st####.itao####.com/images/avatar/3/0/90/1531//20180823211256152.png
- st####.itao####.com/images/avatar/3/0/96/167//20180823074131641.png
- st####.itao####.com/images/group/post/129075/20180905102440179.png
- st####.itao####.com/images/startup/pic/10/20180410173408240.jpg
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_YJA893
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/3e4909513c92b65b1ff57783ef5b161951f83aef5b33a6e....0.tmp
- /data/data/####/4101d87215fe7620c0e6ffee64933f1ae0a7e39dd7df3d0....0.tmp
- /data/data/####/5ff759103b3f8734b8218f3c6dab1cf96a6b9e8477734ee....0.tmp
- /data/data/####/7485753060b97d2786846b9593a5dff68a538f3cdd9fb19....0.tmp
- /data/data/####/7d82f0ab8ef205254d881bc23df711c6b9a88f8c45fe4ac....0.tmp
- /data/data/####/8f25175e5bfbb3f26ac6be6f3563f28d835893e001c5a9b....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Demo.null.xml
- /data/data/####/NIMSDK_Config_0cadad4b110e9f37bc28d015c91c43e6.xml
- /data/data/####/PreferenceSetting_default.xml
- /data/data/####/TradeConfig_config.xml
- /data/data/####/ac8dcdb7ae80855f9432d929db64c48e
- /data/data/####/cache_img.xml
- /data/data/####/com.trade.itaojin_preferences.xml
- /data/data/####/d6f5367a5ff0bff357ce6a672c38195283dfdad69f611be....0.tmp
- /data/data/####/datacache.db-journal
- /data/data/####/e2ee6867c3b2ad1c87a444b08950345805cd0b37b5b0164....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/group_config.xml
- /data/data/####/guide_version.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu843043329.so
- /data/data/####/mobclick_agent_online_setting_com.trade.itaojin.xml
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/setting.xml
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_YJA893
- /data/data/####/tdata_YJA893.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/user_nav.xml
- /data/media/####/.nomedia
- /data/media/####/1dhi6nype2rsetqcdcgi0x9nz.0.tmp
- /data/media/####/3c54gbsfsmqg4o1o952uapt85.0.tmp
- /data/media/####/3qluhmhft0ntjfrcafa9xdbpd.0.tmp
- /data/media/####/3uzi8pwj0f54ktytvk8mkxjvt.0.tmp
- /data/media/####/46lsc5ou0u7etvd9ox0tjo6fo.0.tmp
- /data/media/####/4hrhy8e0uh3hnrt86bfp872sm.0.tmp
- /data/media/####/5ahmljg355k6d6ybvq8y26c4j.0.tmp
- /data/media/####/5c91pv3szi63vnxgq3unzab51.0.tmp
- /data/media/####/5mlud93kqgdc6ve49v634zazg.0.tmp
- /data/media/####/75kdeqv23a67ss9qmxv9mkdv.0.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.trade.itaojin.bin
- /data/media/####/com.trade.itaojin.db
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/jwhkke3jxxovxct2hex7ebco.0.tmp
- /data/media/####/nim_sdk.log
- /data/media/####/noe0rorb34nrja80nb6w5iyb.0.tmp
- /data/media/####/rnxhvrs8ecb3qaumby6j8b33.0.tmp
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_YJA893
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.moudle.push.AppPushCoreService 24689 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu843043329.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu843043329
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
