Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ly.gdyu####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) app.gdyu####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) open####.cc:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- app.gdyu####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- ly.gdyu####.com
- open####.cc
- pub-####.qin####.com
- s####.u####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/color/color.css
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/css/common.css
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/css/font/iconfont.ttf
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/images/21.gif
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/images/icon_top.png
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/js/common.js
- ly.gdyu####.com/Content/Themes/Mobile2.0/common/js/jquery-1.8.3.min.js
- ly.gdyu####.com/Content/Themes/Mobile2.0/lvyou/css/t_index.css
- ly.gdyu####.com/Content/Themes/Mobile2.0/lvyou/js/t_index.js
- ly.gdyu####.com/Content/Themes/Mobile2.0/lvyou/js/t_list.js
- ly.gdyu####.com/Mobile/Lvyou/Index.html
- ly.gdyu####.com/mobile/Lvyou/IndexHotLines.html?City=####
- ly.gdyu####.com/mobile/Lvyou/ListCity.html?City=####
- ly.gdyu####.com/mobile/Lvyou/ListMore.html?Name=####&page=####&LCid=####...
- ly.gdyu####.com/mobile/lvyou/list.html?City=####&LCid=####
- ly.gdyu####.com/pictures/TrustSoft/Lines/2017102711566847.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/20171116104632.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/2017820151850942.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/201791414930456.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/2018826171851242.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/201882715454217.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/2018827161240266.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/201882716529326.jpg
- ly.gdyu####.com/pictures/TrustSoft/Lines/2018827173951152.jpg
- t####.c####.q####.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_YEE769
- t####.c####.q####.####.com/tdata_qHR433
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/02335f80703addc02f88a5cf6561d26b957107c74a22dac....0.tmp
- /data/data/####/09b41b730f5dcdd16e23eb63938e8c388806e939936d760....0.tmp
- /data/data/####/0c66c4c0af99a2b5529f6780699daa173fe5b4aa63f57ed....0.tmp
- /data/data/####/1537384131270.log
- /data/data/####/304de1b85f4b7fcdff0d714210853459513036b3d3665d0....0.tmp
- /data/data/####/3bf1a4690d50cdf9e00d8a893e726f87f9731d27d7d931d....0.tmp
- /data/data/####/57d80b40258c
- /data/data/####/8a09fb89a293f7a4f0aa21c9791746d656e2b76f03be399....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/FM_config.xml
- /data/data/####/MultiDex.lock
- /data/data/####/caa2ec9dabe48d2870523740ef92f474cd561cfbb933826....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cf163c2f80e26fbf9b31c6bca4eb8c11c272b2f7c400a1a....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc1cb5bab1135e4b1818148f3116141939f769e28802d07....0.tmp
- /data/data/####/dec7f753317f9f60c9d41b668933d5d2fb18ffe879b99d5....0.tmp
- /data/data/####/ee2746924eb997f846228ef579f5c5bdc5113981bc874b3....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/gdaemon_20161017
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1514909126.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_YEE769
- /data/data/####/tdata_YEE769.jar
- /data/data/####/tdata_qHR433
- /data/data/####/tdata_qHR433.jar
- /data/data/####/tray.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/xUtils_http_cookie.db
- /data/data/####/xUtils_http_cookie.db-journal
- /data/data/####/x_YueYundownload.db-journal
- /data/data/####/yueyun_config.xml
- /data/data/####/yueyun_myinfo.xml
- /data/data/####/yueyun_versions.xml
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.dhcfaster.yueyun.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_YEE769
- /data/media/####/tdata_qHR433
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25046 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu1514909126.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25046 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu1514909126
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
