Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) app.s####.v89.com:80
- TCP(HTTP/1.1) i####.v89.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.b####.qq.com
- a####.u####.com
- and####.b####.qq.com
- app.s####.v89.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.v89.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- i####.v89.com/group1/M00/00/00/rBIy0luQ0uaAfsJ1AAAmbL_YmL8080_162*162.jpg
- i####.v89.com/group1/M00/00/00/rBIy0lupj_eAMja6AAByBeQzBIw838_640*300.jpg
- i####.v89.com/group1/M00/07/9A/rBAA11r1QfWAeZ88AAEpj5QI0pM232_790*510.JPG
- i####.v89.com/group1/M00/07/9B/rBAA11sMpgWAFiuMAApQcHGgQg8157_800*800.png
- i####.v89.com/group1/M00/07/9B/rBAA11sWAiiAJx-JAAmtXvXHZys510_800*800.png
- i####.v89.com/group1/M01/00/00/rBIy0luQ0uuAeLBeAAAiotjkvcE121_162*162.jpg
- i####.v89.com/group1/M01/07/9A/rBAA11r1QfmAcdFEAAF0cf5QlHE146_790*410.JPG
- i####.v89.com/group1/M01/07/9B/rBAA11sMphSAdeF0AAuH81kFK-U698_800*800.png
- i####.v89.com/group1/M01/07/9B/rBAA11sWAjaAbzNpAAn-t9av9x4957_800*800.png
- i####.v89.com/group1/M02/00/00/rBIy0luQ0vCAald3AAAmBz7rz9w894_162*162.jpg
- i####.v89.com/group1/M02/07/9A/rBAA11r1QfyAI2JYAAFnZWnysTA204_790*398.JPG
- i####.v89.com/group1/M02/07/9B/rBAA11sMpiqAJkVjAAsAep-bz9A493_800*800.png
- i####.v89.com/group1/M02/07/9B/rBAA11sWAkWASruoAAlEFJu0ohk114_800*800.png
- i####.v89.com/group1/M03/00/00/rBIy0luQ0vWAOSAlAAAhn1Qf7R4204_162*162.jpg
- i####.v89.com/group1/M03/07/9A/rBAA11r1QeKADpoyAAFpzwUI7Kk168_790*415.JPG
- i####.v89.com/group1/M03/07/9A/rBAA11r1Qf-AYI4iAAJqcTb1RCw620_790*580.JPG
- i####.v89.com/group1/M03/07/9B/rBAA11sWAdeAZapUAAfUZcYurec790_800*800.png
- i####.v89.com/group1/M03/07/9B/rBAA11sWAlOAMEGWAAhbxDv38jo298_800*800.png
- i####.v89.com/group1/M04/00/00/rBIy0ltxSbaAUkcjAAhQQUVxzyY981_800*800.png
- i####.v89.com/group1/M04/00/00/rBIy0luQ0vqAQhYfAAAiGTnepTo508_162*162.jpg
- i####.v89.com/group1/M04/00/00/rBIy0lujVWKAVVYBAACsoUyMq-Y341_162*162.png
- i####.v89.com/group1/M04/00/00/rBIy0luplO6ATYdzAABvAv9KOdA612_600*240.jpg
- i####.v89.com/group1/M04/07/96/rBAA11oo8lWAeM1gAACs4LAfc-k773_480*310.jpg
- i####.v89.com/group1/M04/07/9A/rBAA11r1QeaAB9o1AAEIl1RrsQY915_790*445.JPG
- i####.v89.com/group1/M04/07/9B/rBAA11sMpk2AcVeJAAradULMnws738_800*800.png
- i####.v89.com/group1/M04/07/9B/rBAA11sWAd6AWmSQAAj5kSGrKhM218_800*800.png
- i####.v89.com/group1/M04/07/9B/rBAA11sWAmaAfFVEAAnKt8jrp8Q734_800*800.png
- i####.v89.com/group1/M05/00/00/rBIy0luQ0v-AFAsWAAAjlUO243E317_162*162.jpg
- i####.v89.com/group1/M05/00/00/rBIy0luplPiAKHuhAABT8B-05L0588_600*240.jpg
- i####.v89.com/group1/M05/07/9A/rBAA11r1QeqAMtPUAAGq8DKcRb0804_790*748.JPG
- i####.v89.com/group1/M05/07/9A/rBAA11r1QgOAUMogAAK_klXNdfE830_750*751.JPG
- i####.v89.com/group1/M05/07/9B/rBAA11sNJGuAFZjvAAjG5WxZ5fU304_800*800.png
- i####.v89.com/group1/M05/07/9B/rBAA11sWAe-AGC2PAAg5Sw3fN8o681_800*800.png
- i####.v89.com/group1/M05/07/9B/rBAA11sWAnWAKCmfAAru8C72fII154_800*800.png
- i####.v89.com/group1/M06/00/00/rBIy0luQ0wSAURvjAAAlbejePQ4797_162*162.jpg
- i####.v89.com/group1/M06/00/00/rBIy0lubW1iAUG_RAAEECS12AxA454_640*300.png
- i####.v89.com/group1/M06/00/00/rBIy0luplQyAJeKLAACCR_bumHE452_600*240.jpg
- i####.v89.com/group1/M06/07/9A/rBAA11r1Qe2AaaDzAAFKBI25JwQ891_790*609.JPG
- i####.v89.com/group1/M06/07/9B/rBAA11sWAf-ALHIBAAp_szlZZrI681_800*800.png
- i####.v89.com/group1/M07/00/00/rBIy0lt1LlGAcz6YAAp8OOttveE565_800*800.png
- i####.v89.com/group1/M07/00/00/rBIy0ltb3cqAHaxzAACSB2DpxcY370_480*423.jpg
- i####.v89.com/group1/M07/00/00/rBIy0luQ0wiALNdeAAAlZsrzpe8351_162*162.jpg
- i####.v89.com/group1/M07/00/00/rBIy0lupj-CATE32AABy4ih91OY370_640*300.jpg
- i####.v89.com/group1/M07/07/9B/rBAA11sNHd6AKjQzAAYTlc3xzCc848_800*800.png
- i####.v89.com/group1/M07/07/9B/rBAA11sWAgyAbffpAApMS8Lkuyg711_800*800.png
- i####.v89.com/group1/M08/00/00/rBIy0luQ0uGAQYSNAAAgWzxS89Q318_162*162.jpg
- i####.v89.com/group1/M08/00/00/rBIy0luQ0xGAcvm1AAAkQ2-1kgM155_162*162.jpg
- i####.v89.com/group1/M08/00/00/rBIy0lupj-6ACIPsAAB5AqcU6AQ702_640*300.jpg
- i####.v89.com/group1/M08/00/00/rBIy0lupk8SAMCD_AABG5jkj74k204_640*240.jpg
- i####.v89.com/group1/M08/07/9A/rBAA11r1QfGAC2GTAAFFVzb_fH4666_790*619.JPG
- i####.v89.com/group1/M08/07/9B/rBAA11sMpfSACy0qAAtWanzRhGw252_800*800.png
- i####.v89.com/group1/M08/07/9B/rBAA11sMvvGAbLMMAAVXsTD2fpM598_800*800.png
- i####.v89.com/group1/M08/07/9B/rBAA11sWAhmAfPLzAApnVxHCOBw614_800*800.png
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async?aid=####
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- app.s####.v89.com/appInvite/getIsInviteFriend
- app.s####.v89.com/community/getCartInfo
- app.s####.v89.com/community/getCartInfoByGoodsInfo
- app.s####.v89.com/community/getCommodityDetail
- app.s####.v89.com/community/getCommunityServicePhone
- app.s####.v89.com/community/getDistributionCommunityList
- app.s####.v89.com/community/getMyStoreOrderCount
- app.s####.v89.com/community/getNewCommodityCategoryList
- app.s####.v89.com/community/getNewCommodityPage
- app.s####.v89.com/community/getUsableStoreCoupons
- app.s####.v89.com/community/getVersion
- app.s####.v89.com/community/getWebHomePageMenus
- app.s####.v89.com/community/homePage
- app.s####.v89.com/community/touristLogin
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/Hawk
- /data/data/####/Hawk-journal
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.ydh.wuye.BETA_VALUES.xml
- /data/data/####/com.ydh.wuye_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/db_default_job_manager-journal
- /data/data/####/disk_entries_list_LinJuImagePipelineCacheDefaul...54.xml
- /data/data/####/disk_entries_list_LinJuImagePipelineCacheSmall_...03.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu-675290566.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/-10441855471758659187
- /data/media/####/-1516168681315621134
- /data/media/####/-1601062257-1108068484
- /data/media/####/-1850023988-1190700458
- /data/media/####/-1850023988-560712144
- /data/media/####/-744383834364732069
- /data/media/####/-fEPWjDF-0TMN9y0bFQiy9A27_A.-1051223071.tmp
- /data/media/####/0Y9APOZP9bPifzYVoxn0gg8QtWc.-1224322716.tmp
- /data/media/####/1116542598573509635
- /data/media/####/15600381531547800073
- /data/media/####/15600381532103746865
- /data/media/####/1989986458-1271095828
- /data/media/####/1989986458-76376178
- /data/media/####/19899864581874529506
- /data/media/####/1cL0TSKf2AUA2ofHnObfiS1ofv0.392853620.tmp
- /data/media/####/2530822791328946579
- /data/media/####/53ef666fbd9fa108abc0c31ebb989645.0.tmp
- /data/media/####/54vv5Kl66jERz_vpD9hPsXUeN5E.595605681.tmp
- /data/media/####/5oiLEDOy1mhTYbpTb3KAnX2Q04I.-488610067.tmp
- /data/media/####/6330584661731112048
- /data/media/####/7FJi6hVoXH1B3psE-3ONO8sut_w.-817531491.tmp
- /data/media/####/7sHYZUUKgQoT0wywwpmxchyRq9g.434539890.tmp
- /data/media/####/89b093d61788221dbb76a5bce695de5d.0.tmp
- /data/media/####/9808c7133a14e69cf80781e4a792956a.0.tmp
- /data/media/####/9uPjWdTqruVnkfOH1_mkSqj3ZQ8.435429870.tmp
- /data/media/####/AeDFnbjgqfmk_Dy88dy33XHnCZ0.-1882933702.tmp
- /data/media/####/C68SDImKqP6TbRCx0enAlAOXlL4.-693476833.tmp
- /data/media/####/ELtFDBCxL4HTTLNdm03aSUlGE9w.-1022309068.tmp
- /data/media/####/Eq1hWW4HgnjxxVECvYyS-pobGmk.-868956390.tmp
- /data/media/####/FzGhPTNjC6pjSBwku_TbXCdojRs.-351060460.tmp
- /data/media/####/G_R9BwwF-a3CU8LRMOpa8T3LwIg.-2077488998.tmp
- /data/media/####/Ixcb1wVCbKA3l3P5HGkEAcAT580.-738780967.tmp
- /data/media/####/K3bhgGvW__YW8-CN3L-sgFmXd_M.-844593607.tmp
- /data/media/####/KVGTb9h4m7-fDId5AzXiLXskA_s.cnt
- /data/media/####/Kv-iWP9khv3GDq1wSxOgFESXrto.-1655043071.tmp
- /data/media/####/L9mdI_tnZ14qPytfD2kGDQj5n78.-1125038185.tmp
- /data/media/####/NZOYgXW_NJTs7i_ifr5KspcNCRU.-1872676241.tmp
- /data/media/####/P1Nsm3oxEHBw8SQK9HD2qT51c80.-1280547822.tmp
- /data/media/####/Q4Gh6nAVVpDfRlXUHpohmhXK6_c.934516746.tmp
- /data/media/####/QH0t93uv5HDmpEXeASfeh4VhrUM.1993344598.tmp
- /data/media/####/RE3ORueGN7LjS7qZnWF88EFsqDo.-1105079112.tmp
- /data/media/####/RRuxdbvnXOAsNHgbQ0tuosCRxMY.1058725995.tmp
- /data/media/####/SeSrR_ZWjyboUEQdj2DwvL70syc.1963693730.tmp
- /data/media/####/TH3O4bS3EfSFliwB7lWGOTOSVjQ.-1364528014.tmp
- /data/media/####/WH0sHhMfqpBVhQQg4hT3_I2bUog.1800561387.tmp
- /data/media/####/Yfd7bGvCVPunEnweMfFJvgEEXXI.-1662959913.tmp
- /data/media/####/YlXBAev3LBetMcsjCUW5HfepwT4.828293236.tmp
- /data/media/####/YwzQ99njgcMWMfH51FJ_jaVjyBA.1640112615.tmp
- /data/media/####/__Uba8y3bJYD3M_1xi0gNBfQDXE.380155729.tmp
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.ydh.wuye.bin
- /data/media/####/com.ydh.wuye.db
- /data/media/####/e42037fd0c204f072da562ab7254ce32.0.tmp
- /data/media/####/eEj6QCv9Hq3VW6u02un4Waf1Ycs.712303234.tmp
- /data/media/####/ebca63415fa0087bd12acde8b4dd04a1.0.tmp
- /data/media/####/ec6ddc10e514b92d0c8cb88b927e368b.0.tmp
- /data/media/####/fnth8RmUl2qUryx2Rqift8xcoP4.48486333.tmp
- /data/media/####/fnth8RmUl2qUryx2Rqift8xcoP4.cnt
- /data/media/####/gGgblIXC4sGRuQmAOSBrISWsBvo.-876763392.tmp
- /data/media/####/gd0VZi0JPrOQ2_tTGdjx28VUyzY.106517240.tmp
- /data/media/####/hRMTuxzIGspdX6FEkUXv-w9U6Uo.-1987217459.tmp
- /data/media/####/jSND39Bu_RU8b2aEbeai7BZfwT8.-614203906.tmp
- /data/media/####/journal.tmp
- /data/media/####/jzgb650yDwbSbIEwRzSVSn3YN9Q.929508159.tmp
- /data/media/####/nfK0ffm3WfXXZdwDAy8XeTK-yOA.191043472.tmp
- /data/media/####/pXJFYjAUEY0UVHLxEst7bF2mWVo.1629826923.tmp
- /data/media/####/p_pxKu5-FjAHU4OfidWhAMrqHvQ.-1717447476.tmp
- /data/media/####/pqkNdCklboihI3uTY76G_6Tg7E4.-1825302066.tmp
- /data/media/####/pza8GSYaWK54WjuRupkr8trQwJQ.-1888884199.tmp
- /data/media/####/pzeFDNI05X8f6CKHTmATRlWyjZ0.-955565501.tmp
- /data/media/####/qaV5acqhyr9M-4leTwCEBR9M1oE.-2097444195.tmp
- /data/media/####/sAPkuvEBlwUh0R4CsCOsLCyWksk.-1330333333.tmp
- /data/media/####/t4sjSNVZ-zheDeQGDIXpaHt47T0.81405154.tmp
- /data/media/####/tI_pDUzCyTmEw1vUgll9QKjMOpc.515333214.tmp
- /data/media/####/tcIxT1Gc8EjNjeNX-AEsxLnJeu0.1383847755.tmp
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
- /data/media/####/ti4jTnp5ExMWZK3jnodqCLFVWa8.146812573.tmp
- /data/media/####/tl3uCWFIE5z_7cOLIzXKKsypIgo.1529911943.tmp
- /data/media/####/zFRBu4vlxlV0bId8wDF2Gf4RpI8.921780049.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.PushService 24194 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-675290566.so
- getprop
Загружает динамические библиотеки:
- Bugly
- getuiext2
- imagepipeline
- libjiagu-675290566
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
