Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) cnf.ad####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) apic####.mob.com:80
- TCP(HTTP/1.1) www.slan####.top:80
- TCP(HTTP/1.1) m.i####.ta####.com:80
- TCP(HTTP/1.1) wild####.al####.com.####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) s####.ad####.com:80
- TCP(TLS/1.0) at.al####.com:443
- TCP(TLS/1.0) h5.m.ta####.com:443
- TCP(TLS/1.0) s.c####.ta####.com:443
- TCP(TLS/1.0) m.i####.ta####.com:443
- TCP(TLS/1.0) guide-w####.m.ta####.com:443
- TCP(TLS/1.0) www.slan####.top:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.adverti####.####.com:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) us-aebr####.ali####.com:443
- TCP(TLS/1.0) raw.githubu####.com:443
- TCP(TLS/1.0) g.al####.com:443
- TCP(TLS/1.0) wild####.al####.com.####.net:443
- TCP(TLS/1.0) log.mm####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- a####.u####.com
- apic####.mob.com
- at.al####.com
- c####.g####.ig####.com
- c-h####.g####.com
- cnf.ad####.com
- fou####.ali####.com
- g.al####.com
- h####.m.ta####.com
- h5.m.ta####.com
- img.al####.com
- log.mm####.com
- m.d####.mob.com
- m.i####.ta####.com
- ocser####.ta####.com
- raw.githubu####.com
- s####.ad####.com
- s.c####.t####.com
- s.c####.ta####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- wgo.mm####.com
- www.slan####.top
Запросы HTTP GET:
- apic####.mob.com/appstore/calendar/day?key=####&date=####
- m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- m.i####.ta####.com/detail/detail.html?id=####&ali_trackid=####&e=####&ty...
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- wild####.al####.com.####.net/bao/uploaded/i1/662088784/TB24ZXzaNtmpuFjSZ...
- wild####.al####.com.####.net/bao/uploaded/i1/67547880/TB2BgkeiY8kpuFjy0F...
- wild####.al####.com.####.net/bao/uploaded/i3/441208432/TB2SAejzTlYBeNjSs...
- wild####.al####.com.####.net/bao/uploaded/i3/687663552/TB2BfhWj9BYBeNjy0...
- wild####.al####.com.####.net/bao/uploaded/i4/2667399471/TB2N0_CXoD.BuNjt...
- wild####.al####.com.####.net/bao/uploaded/i4/2734357335/TB2YTIQvxWYBuNjy...
- wild####.al####.com.####.net/bao/uploaded/i4/441208432/TB2jMn2hypnpuFjSZ...
- www.slan####.top/api/sys/getappadslist?appType=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- cnf.ad####.com/config/216/20170109001143/100785/1536654211504
- s####.ad####.com/record/216/20170109001143/1536654213109
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/12aed575724671f054a34feaba74a6fa159a48bb97985f9....0.tmp
- /data/data/####/16cfde351c90231074e5ba2cc557f3e21d8045a864a9c24....0.tmp
- /data/data/####/29b2e3aa7596f75d0fda1f1f56183907.xml
- /data/data/####/2e2f8deaaed8f9c870e762132b69daf0eb2bfa9a4c66697....0.tmp
- /data/data/####/3a109b6f52b6e45eb87f53449805bf228b507d13064436c....0.tmp
- /data/data/####/4116333a2c3758d88309109f01c040bd0fd57eeb11687e4....0.tmp
- /data/data/####/526a6e30c77e8a1b3efd0b7a70106ccbb442ef54d78c6b8....0.tmp
- /data/data/####/59583cb17f08e35237e3b8af3e3de84c7dc90da6dd659f5....0.tmp
- /data/data/####/63cb91797e94c90fb114c3b49eb9924e15cf615f35c540b....0.tmp
- /data/data/####/6d4161e1cfe8d72c816b146c7dea521a02592471dac820c....0.tmp
- /data/data/####/7a557b8ffc2854fb3251c1ddb1b34184ba2b587995eb759....0.tmp
- /data/data/####/7b5b65233d0b7b8245b12b9feafa6058ba5c2576ae32cea....0.tmp
- /data/data/####/7c631782f17c615a2c5a73342a10ce47cdb67201f88fa13....0.tmp
- /data/data/####/87c7ae3102f7c63b3c72a55c0bd7c557d84defb6ec9e6e6....0.tmp
- /data/data/####/948e9efe5e691ae6911be8d5ff889893ccda147683f09f0....0.tmp
- /data/data/####/95c6b8cab1cb04707167fecc54455852f7149f94851f0c6....0.tmp
- /data/data/####/9d3e7ffb1fda10ae1105cc5cda2e3e4591ea3fcba1a80dc....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/aa3f1e093ecd78e4ee232394382a204e575933f488d7e0f....0.tmp
- /data/data/####/b3f99a5fd2d1fd865a90ea84e89977a6f899b4c0e3eb689....0.tmp
- /data/data/####/b769af8fe49a1fb1cc118bed51008de6b6836d6e66beeb6....0.tmp
- /data/data/####/ca37340bacccc865bf2f25520d8cbc9206d65e5a833c585....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/d52d6d4c4a3ffd85842249785d474f77b9e749d51a6b989....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e00a18b652784f98fd73266d2016e84187cf14a787b35d0....0.tmp
- /data/data/####/e020dbef43f9d2b1ee104d0a83bec42793d13ac6deca08c....0.tmp
- /data/data/####/e41499bef54843df75bfa0b1625e9903f47cbc1a3a464e7....0.tmp
- /data/data/####/e6b9aef24c10a1c1678c41dd1eaea5d12c34cdad09a470c....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f2d7cdea43f5f4b721d7265799f77a2db112781a5a8af68....0.tmp
- /data/data/####/f7072bb55c192101fda4a0ee64e3a75a9e4c152f9c9666a....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/https_m.intl.taobao.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1618479617.so
- /data/data/####/mob_commons_1.xml
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/share_data.xml
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
- /data/media/####/top.slantech.voicebirds.bin
- /data/media/####/top.slantech.voicebirds.db
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.DemoPushService 25347 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-1618479617.so
- sh
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1618479617
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- desede-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
