Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) 5####.com:8020
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 5####.com
- 7j####.c####.z0.####.com
- a.appj####.com
- c####.g####.ig####.com
- c-h####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- 5####.com:8020/.idea/ZhuoMuNiao.iml
- 5####.com:8020/.idea/encodings.xml
- 5####.com:8020/.idea/misc.xml
- 5####.com:8020/.idea/modules.xml
- 5####.com:8020/.idea/untitled1.iml
- 5####.com:8020/.idea/vcs.xml
- 5####.com:8020/.idea/workspace.xml
- 5####.com:8020/.idea\scopes/scope_settings.xml
- 5####.com:8020//Error.htm
- 5####.com:8020//Index.htm
- 5####.com:8020//NoDoor.htm
- 5####.com:8020//WeiMoney.htm
- 5####.com:8020//testCart.htm
- 5####.com:8020//version.xml
- 5####.com:8020//web.config
- 5####.com:8020/Install/IotManager.apk
- 5####.com:8020/images/Android.png
- 5####.com:8020/images/baseConfig.js
- 5####.com:8020/images\pub/account.png
- 5####.com:8020/images\pub/add.png
- 5####.com:8020/images\pub/address.png
- 5####.com:8020/images\pub/alarm.png
- 5####.com:8020/images\pub/alarm_qt.png
- 5####.com:8020/images\pub/alarm_yb.png
- 5####.com:8020/images\pub/alarm_yz.png
- 5####.com:8020/images\pub/alarm_zc.png
- 5####.com:8020/images\pub/alarm_zy.png
- 5####.com:8020/images\pub/back.png
- 5####.com:8020/images\pub/biao.png
- 5####.com:8020/images\pub/cencel.png
- 5####.com:8020/images\pub/control_bg.png
- 5####.com:8020/images\pub/controller.png
- 5####.com:8020/images\pub/current.png
- 5####.com:8020/images\pub/dalou.png
- 5####.com:8020/images\pub/edit.png
- 5####.com:8020/images\pub/equip.png
- 5####.com:8020/images\pub/gaojin.png
- 5####.com:8020/images\pub/go.png
- 5####.com:8020/images\pub/index.png
- 5####.com:8020/images\pub/index_press.png
- 5####.com:8020/images\pub/info.png
- 5####.com:8020/images\pub/kg_jj.png
- 5####.com:8020/images\pub/kg_qt.png
- 5####.com:8020/images\pub/kg_yb.png
- 5####.com:8020/images\pub/kg_yz.png
- 5####.com:8020/images\pub/kg_zc.png
- 5####.com:8020/images\pub/kg_zy.png
- 5####.com:8020/images\pub/lightning.png
- 5####.com:8020/images\pub/loading.gif
- 5####.com:8020/images\pub/local.png
- 5####.com:8020/images\pub/mj_jj.png
- 5####.com:8020/images\pub/mj_qt.png
- 5####.com:8020/images\pub/mj_yb.png
- 5####.com:8020/images\pub/mj_yz.png
- 5####.com:8020/images\pub/mj_zc.png
- 5####.com:8020/images\pub/mj_zy.png
- 5####.com:8020/images\pub/mn_jj.png
- 5####.com:8020/images\pub/mn_qt.png
- 5####.com:8020/images\pub/mn_yb.png
- 5####.com:8020/images\pub/mn_yz.png
- 5####.com:8020/images\pub/mn_zc.png
- 5####.com:8020/images\pub/mn_zy.png
- 5####.com:8020/images\pub/more.png
- 5####.com:8020/images\pub/my_icon.png
- 5####.com:8020/images\pub/my_press.png
- 5####.com:8020/images\pub/my_tab_press.png
- 5####.com:8020/images\pub/name.png
- 5####.com:8020/images\pub/ok.png
- 5####.com:8020/images\pub/password.png
- 5####.com:8020/images\pub/qushi.png
- 5####.com:8020/images\pub/row.png
- 5####.com:8020/images\pub/scan.png
- 5####.com:8020/images\pub/shu.png
- 5####.com:8020/images\pub/tab_my.png
- 5####.com:8020/images\pub/tab_tree.png
- 5####.com:8020/images\pub/tree.png
- 5####.com:8020/images\pub/tree_bd.png
- 5####.com:8020/images\pub/tree_dj.png
- 5####.com:8020/images\pub/tree_tab_press.png
- 5####.com:8020/images\style2/adv.png
- 5####.com:8020/images\style2/door_background.png
- 5####.com:8020/images\style2/login_background.png
- 5####.com:8020/images\style2/logo.png
- 5####.com:8020/images\style2/my.png
- 5####.com:8020/images\style3/adv.png
- 5####.com:8020/images\style3/door_background.png
- 5####.com:8020/images\style3/login_background.png
- 5####.com:8020/images\style3/logo.png
- 5####.com:8020/images\style3/my.png
- 5####.com:8020/ionic\css/ionic.css
- 5####.com:8020/ionic\fonts/ionicons.eot
- 5####.com:8020/ionic\fonts/ionicons.svg
- 5####.com:8020/ionic\fonts/ionicons.ttf
- 5####.com:8020/ionic\fonts/ionicons.woff
- 5####.com:8020/ionic\js/ionic.bundle.js
- 5####.com:8020/ionic\js/ionic.js
- 5####.com:8020/scripts/app.js
- 5####.com:8020/scripts\controllers/app.js
- 5####.com:8020/scripts\controllers/tabController.js
- 5####.com:8020/webfileconfigure.txt
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_YJA893
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/Android.png
- /data/data/####/Error.htm
- /data/data/####/Index.htm
- /data/data/####/IotManager.apk
- /data/data/####/NoDoor.htm
- /data/data/####/WeiMoney.htm
- /data/data/####/account.png
- /data/data/####/add.png
- /data/data/####/address.png
- /data/data/####/adv.png
- /data/data/####/alarm.png
- /data/data/####/alarm_qt.png
- /data/data/####/alarm_yb.png
- /data/data/####/alarm_yz.png
- /data/data/####/alarm_zc.png
- /data/data/####/alarm_zy.png
- /data/data/####/back.png
- /data/data/####/baseConfig.js
- /data/data/####/biao.png
- /data/data/####/cencel.png
- /data/data/####/control_bg.png
- /data/data/####/controller.png
- /data/data/####/current.png
- /data/data/####/dalou.png
- /data/data/####/door_background.png
- /data/data/####/edit.png
- /data/data/####/encodings.xml
- /data/data/####/equip.png
- /data/data/####/gaojin.png
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/go.png
- /data/data/####/gx_sp.xml
- /data/data/####/index.png
- /data/data/####/index_press.png
- /data/data/####/info.png
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/ionic.css
- /data/data/####/ionicons.eot
- /data/data/####/ionicons.svg
- /data/data/####/ionicons.ttf
- /data/data/####/ionicons.woff
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kg_jj.png
- /data/data/####/kg_qt.png
- /data/data/####/kg_yb.png
- /data/data/####/kg_yz.png
- /data/data/####/kg_zc.png
- /data/data/####/kg_zy.png
- /data/data/####/libjiagu.so
- /data/data/####/lightning.png
- /data/data/####/loading.gif
- /data/data/####/local.png
- /data/data/####/login_background.png
- /data/data/####/logo.png
- /data/data/####/misc.xml
- /data/data/####/mj_jj.png
- /data/data/####/mj_qt.png
- /data/data/####/mj_yb.png
- /data/data/####/mj_yz.png
- /data/data/####/mj_zc.png
- /data/data/####/mj_zy.png
- /data/data/####/mn_jj.png
- /data/data/####/mn_qt.png
- /data/data/####/mn_yb.png
- /data/data/####/mn_yz.png
- /data/data/####/mn_zc.png
- /data/data/####/mn_zy.png
- /data/data/####/modules.xml
- /data/data/####/more.png
- /data/data/####/my.png
- /data/data/####/my_icon.png
- /data/data/####/my_press.png
- /data/data/####/my_tab_press.png
- /data/data/####/name.png
- /data/data/####/ok.png
- /data/data/####/password.png
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qushi.png
- /data/data/####/row.png
- /data/data/####/run.pid
- /data/data/####/scan.png
- /data/data/####/scope_settings.xml
- /data/data/####/shu.png
- /data/data/####/tab_my.png
- /data/data/####/tab_tree.png
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_YJA893
- /data/data/####/tdata_YJA893.jar
- /data/data/####/testCart.htm
- /data/data/####/tree.png
- /data/data/####/tree_bd.png
- /data/data/####/tree_dj.png
- /data/data/####/tree_tab_press.png
- /data/data/####/vcs.xml
- /data/data/####/version.xml
- /data/data/####/workspace.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.iotmanager.bin
- /data/media/####/com.iotmanager.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_YJA893
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/weisidun.webteststarenergy.service.DemoPushService 24428 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
