Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.shijiw####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) andy-am####.p####.myqc####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.shijiw####.com
- and####.b####.qq.com
- andy####.shijiw####.com
- c####.g####.ig####.com
- c-h####.g####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- andy-am####.p####.myqc####.com/1535002947_4089376952.jpg
- andy-am####.p####.myqc####.com/1535014055_4095789004.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099666_1285026987.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099779_3969161102.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099862_2982310448.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099901_1272481066.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099933_3964695386.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099959_510489257.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535099993_3719358779.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100058_2989612546.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100112_1158104635.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100145_4225384996.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100178_20654922.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100208_1701108064.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100251_4117856970.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100275_411503215.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100318_572343721.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100386_686517260.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100409_4013966943.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100546_3020410409.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100566_2744723876.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100631_1563467597.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100646_1116515641.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100684_3043728774.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100701_1429577449.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535100789_1050235367.jpg?imageVi####
- andy-am####.p####.myqc####.com/1535268182_2878594262.png?imageVi####
- andy-am####.p####.myqc####.com/1535358720_4009780508.png?imageVi####
- andy-am####.p####.myqc####.com/1535358738_2803950678.png?imageVi####
- andy-am####.p####.myqc####.com/1535597281_626613831.png
- andy-am####.p####.myqc####.com/1535597324_3758787103.jpg
- andy-am####.p####.myqc####.com/1535597355_3947156041.png
- andy-am####.p####.myqc####.com/1536034315_4101038802.jpg?imageVi####
- andy-am####.p####.myqc####.com/1536043337_3627611100.jpg?imageVi####
- andy-am####.p####.myqc####.com/1536043496_983625238.jpg?imageVi####
- andy-am####.p####.myqc####.com/1536461847_2737194503.png?imageVi####
- t####.c####.q####.####.com/tdata_vHH584
- t####.c####.q####.####.com/tdata_wmL809
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.shijiw####.com/api/v1/mobile/token_login
- a####.shijiw####.com/manage/activity/find-all.json
- a####.shijiw####.com/manage/broadcast/find-all.json
- a####.shijiw####.com/manage/catalog/find-all.json
- a####.shijiw####.com/manage/goods/find-all-by-type.json
- a####.shijiw####.com/manage/recommend/find-all.json
- a####.shijiw####.com/res/get_res
- and####.b####.qq.com/rqd/async
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/026383563571ff2e803f9cbf3d5d9a267cd44b58b0fc878....0.tmp
- /data/data/####/08556e3ec9336625995169a2add5b1b4783f3bbfe836df2....0.tmp
- /data/data/####/0f140e5a156c7541ccad9e1c894f9bfcbea9b884c0b2d10....0.tmp
- /data/data/####/1056a8c7cec6aee358c6c42864824aa2b7a6e94318a6c2a....0.tmp
- /data/data/####/19cc4cc4e4dd8c2e15bf8c74c481a994fdf5d9a314630ab....0.tmp
- /data/data/####/1d07c3d2718172d5b3bb7e983fcbba1af1edd6400f4e2da....0.tmp
- /data/data/####/201aa7b7d99ca40aad39d8bfecd060bbce13f383907410e....0.tmp
- /data/data/####/203b8d636f17598d7bc7431ccacdd75c7d849eb6a303a6b....0.tmp
- /data/data/####/29710bd27d0483a38bea1811aa6d7e8a2eee9f2cc85d784....0.tmp
- /data/data/####/324f964163f47cd5b24c5354d70227eb95a95648d371ea2....0.tmp
- /data/data/####/348b056df597cd68a6f0ee56fc78dd2d047dea275f0babd....0.tmp
- /data/data/####/3b78ba033d33e4cb9f25d6e0b858d83713e1599d9e88083....0.tmp
- /data/data/####/41ef213a04d462433337c50e5f1384b891a060e1eeb46a9....0.tmp
- /data/data/####/43bab3b96c884ab424f20dc36fb2894463998af4316092f....0.tmp
- /data/data/####/472bfc1a0a65382f5835ebb1f54d50e9d8dfb1e536ef4c1....0.tmp
- /data/data/####/4f0c6f111843d11d2df672100500ff87c63dd46a0f687e1....0.tmp
- /data/data/####/573ff35403fd36de75445975950d2dc4eef7f4ed3d6be30....0.tmp
- /data/data/####/609124e416d52be54fb26109856739920816c0fd13ee01e....0.tmp
- /data/data/####/6d6a81cef7abe8b03977629586ed4723de8ac9a17eca1ba....0.tmp
- /data/data/####/722a1362986c7ab7ebe17c0b3bf25374069e058aecfa3ca....0.tmp
- /data/data/####/776a868c413f9e46a740a180905804c8ecfa8ae5ee6f9ac....0.tmp
- /data/data/####/818fdbcf7d94bd5f05c0e0ba7df5a0931de700077436182....0.tmp
- /data/data/####/876328fbe1abdb87fd8c5367200489fb6de69ebb5937dab....0.tmp
- /data/data/####/88e984f13b1a89a1b95bd537fba6f2884da7360a98b5c7a....0.tmp
- /data/data/####/8c05ca23e0d4c35f2a98b2e40c375aabac9e858dc3f74b5....0.tmp
- /data/data/####/a2935cab5bdfddaa662f6d1aced43ec875b345bd5ee7667....0.tmp
- /data/data/####/a7eacd0e36e77c969e182af9edb8a8a0810172f8f8bc329....0.tmp
- /data/data/####/a8e1f60a27aaa640ff932470e1da6cdd5afe28a72331585....0.tmp
- /data/data/####/be6da2772c63fa064f127b4fd6c2b0a35beda8e69fcd35d....0.tmp
- /data/data/####/bfa7fa9f4fcf2b907875875633b1339bd2b785c22deb249....0.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c4cf9b0104d37846b7b5253f889958f6645580f71ee4bd5....0.tmp
- /data/data/####/c995a64318f5881c0352c834b0828f16780e97bfd8825be....0.tmp
- /data/data/####/d18892b68e251e296ac1a266db31337b0da1bfbd5e2cb3f....0.tmp
- /data/data/####/d3b52d867ba23b57e0f175b26b4dadabdf7fd1d1cbfef5a....0.tmp
- /data/data/####/e0744fee214ecaf7fe653ce83ee0994e7b29292d3df6ed6....0.tmp
- /data/data/####/e14b61f2be022de5605002e54058984539d8ff52fc6130a....0.tmp
- /data/data/####/e4452ffdcb509fb0158f0b3b252116d95fe4302b3043503....0.tmp
- /data/data/####/e8afb748563b4f2970a437df925a6f6f02df38490af4705....0.tmp
- /data/data/####/ea98bd6e6e5ed11c673ce835b44dd53d4fed280f25f4161....0.tmp
- /data/data/####/eb88a639d0b6267d7f99fa442ff7cd27c09277b5aeaaeeb....0.tmp
- /data/data/####/f89a4a076b41b7aa82463c73cf33e1831e38880d00c7428....0.tmp
- /data/data/####/fed42bc993f6e8eec235287fd485d82eb99cd8fb1bade17....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/okgo.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share_data.xml
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tdata_wmL809
- /data/data/####/tdata_wmL809.jar
- /data/data/####/userCallHistory.db
- /data/data/####/userCallHistory.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.shijiweika.andy.bin
- /data/media/####/com.shijiweika.andy.db
- /data/media/####/tdata_vHH584
- /data/media/####/tdata_wmL809
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.http.MyPushService 24903 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.http.MyPushService 24903 300 0
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libnfix
- libshella-2.9.0.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
