Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
- TCP(HTTP/1.1) api.f####.so:80
- TCP(HTTP/1.1) l####.cc:80
- TCP(HTTP/1.1) c####.g####.com:80
- TCP(HTTP/1.1) qos.l####.360.cn:80
- TCP(HTTP/1.1) gs.g####.com:80
- TCP(HTTP/1.1) s####.s.360.cn:80
- TCP(HTTP/1.1) b####.g####.com:80
- TCP(HTTP/1.1) 65a4####.cdn.uc####.####.cn:80
- TCP(HTTP/1.1) sdk.l####.360.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) p.s.3####.cn:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) s####.l####.360.####.com:80
- TCP(HTTP/1.1) oth.str.mdt.####.com:8080
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) lbs.net####.im:443
- TCP(TLS/1.0) wa####.127.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) log####.weilito####.net:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) wea####.weilito####.net.####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) client####.weilito####.net:443
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) sdkc####.e.360.cn:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP ou####.yun####.net:8000
Запросы DNS:
- 01img####.eas####.com
- 07img####.eas####.com
- a####.u####.com
- adser####.go####.com
- amap####.cn-hang####.oss####.####.com
- api.f####.so
- b####.g####.com
- c####.g####.com
- clien####.weilito####.net
- client####.weilito####.net
- gs.g####.com
- l####.cc
- lbs.net####.im
- log####.weilito####.net
- mt####.go####.com
- oth.eve.mdt.####.com
- oth.str.mdt.####.com
- ou####.yun####.net
- p.s.3####.cn
- pc.weilito####.net
- qos.l####.360.cn
- res####.a####.com
- s####.l####.360.cn
- s####.s.360.cn
- sdk.l####.360.cn
- sdkc####.e.360.cn
- ssl.gst####.com
- st####.et####.cn
- st####.weilito####.net
- up####.weilito####.net
- wa####.127.net
- wea####.weilito####.net
- wfd.net####.im
- wl####.weilito####.net
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- 65a4####.cdn.uc####.####.cn/imgs/upload/1537949379.5235.jpeg
- qos.l####.360.cn/vc.gif?&bid=####&pid=####&ver=####&c_ver=####&os=####&m...
- s####.l####.360.####.com/Object.getFile/livecloudsdk/YW5kcm9pZF9wbHVnaW5...
- s####.s.360.cn/ak/2e65f2f2fdaf6c699b223c61b1b5ab89.html?m2=####
- sdk.l####.360.cn/codec?os=####&tm=####&model=####&r=####&package=####&pi...
- sdk.l####.360.cn/qvideo_sdk_and_android_783.conf?os=####&tm=####&r=####&...
- sdk.l####.360.cn/rtc?os=####&tm=####&model=####&r=####&package=####&pid=...
- sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.f####.so/enhancement/api/v1/ads
- b####.g####.com/api.php?format=####&t=####
- c####.g####.com/api.php?format=####&t=####
- gs.g####.com/encryption/key/fetch
- gs.g####.com/geshu/sdkStatistics/bindInfo
- gs.g####.com/geshu/sdkStatistics/uploadBI
- l####.cc/i/sdk/close
- l####.cc/i/sdk/install
- oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
- oth.str.mdt.####.com:8080/analytics/upload
- oth.str.mdt.####.com:8080/analytics/upload?sid=####
- p.s.3####.cn/update/update.php?p=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-2106054163730613333
- /data/data/####/-640719768-501905058
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1598703383-835276907
- /data/data/####/87882562-2091611785
- /data/data/####/887521184-1692785757
- /data/data/####/924690551-913197985
- /data/data/####/Beacon_sig_1.lock
- /data/data/####/DENGTA_META.xml
- /data/data/####/DownloadMarket.db-journal
- /data/data/####/ECalendarPreferences.xml
- /data/data/####/LKME_Server_Request_Queue.xml
- /data/data/####/NIMSDK_Config_883d8a8d8c35039814932350efa3944a.xml
- /data/data/####/NIMSDK_Config_883d8a8d8c35039814932350efa3944a_...15.xml
- /data/data/####/NIMSDK_Config_UI883d8a8d8c35039814932350efa3944a.xml
- /data/data/####/PreSettings-journal
- /data/data/####/QH_DeviceSDK.xml
- /data/data/####/QH_SDK_M2.xml
- /data/data/####/QH_SDK_UserData2e65f2f2fdaf6c699b223c61b1b5ab89.xml
- /data/data/####/ReadAward.xml
- /data/data/####/SuishenAd_prf.xml
- /data/data/####/SuishenExitPageSDK_v91.apk
- /data/data/####/Umeng.xml
- /data/data/####/Update.db.xml
- /data/data/####/WlttNews.db-journal
- /data/data/####/Y24ud2VsaS5zdG9yeQ==.tick.lock
- /data/data/####/app_globel_config_file.xml
- /data/data/####/beacon_db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.weli.story_preferences.xml
- /data/data/####/com.qihoo.livecloud.settings.GPWebrtcSettings.pref.xml
- /data/data/####/daemon
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/finalcore.jar
- /data/data/####/gtc.db-journal
- /data/data/####/history_cache.db-journal
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/ias.db-journal
- /data/data/####/ias_sp.xml
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libdvrender.so.tmp
- /data/data/####/libjiagu587952875.so
- /data/data/####/libjplayer.so.tmp
- /data/data/####/liblocalserver.so.tmp
- /data/data/####/libmyssl.so.1.1.tmp
- /data/data/####/libtranscore.so.tmp
- /data/data/####/libviewer.so.tmp
- /data/data/####/libwgs2gcj.so
- /data/data/####/linkedme_referral_shared_pref.xml
- /data/data/####/localserver_2.0.3.18042602.zip
- /data/data/####/locker
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/msg.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/nim_cache.db-journal
- /data/data/####/nim_device
- /data/data/####/player_2.0.3.18051401.zip
- /data/data/####/pref.xml
- /data/data/####/qhvc_plugin.xml
- /data/data/####/qhvc_plugin.xml.bak
- /data/data/####/sdk_config.xml
- /data/data/####/serverData.db-journal
- /data/data/####/share_data.xml
- /data/data/####/slldate.xml
- /data/data/####/sp.livecloud.database.xml
- /data/data/####/suishenAccountInfo.xml
- /data/data/####/suishen_ad.db-journal
- /data/data/####/suishen_ad_pramas.xml
- /data/data/####/tools_2.0.3.18051401.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.deviceId
- /data/media/####/.iddata
- /data/media/####/.lm_device_id
- /data/media/####/.lm_device_info
- /data/media/####/.nomedia
- /data/media/####/.sfp
- /data/media/####/.testf
- /data/media/####/1537949379.5235.jpeg
- /data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89
- /data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89 (deleted)
- /data/media/####/Y6P
- /data/media/####/Y6P (deleted)
- /data/media/####/alsn.db
- /data/media/####/alsn.db-journal
- /data/media/####/blank.png
- /data/media/####/btn_nav_bg.9.png
- /data/media/####/btn_nav_sel.9.png
- /data/media/####/cn.weli.story_.db
- /data/media/####/dialog_details_bg.9.png
- /data/media/####/dialog_dismiss.png
- /data/media/####/dialog_dismiss_sel.png
- /data/media/####/download_btn_normal.9.png
- /data/media/####/fes_type_sel.9.png
- /data/media/####/grid_bg.9.png
- /data/media/####/grid_sel.9.png
- /data/media/####/ic_btn_down.png
- /data/media/####/ic_default.png
- /data/media/####/info
- /data/media/####/list_bg_sel.png
- /data/media/####/meta.dat
- /data/media/####/nim_sdk.log
- /data/media/####/top_btn_normal.9.png
- /data/media/####/top_btn_selected.9.png
- /data/media/####/update_btn_normal.9.png
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh -c getprop ro.build.fingerprint
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/app_bin/daemon
- chmod 755 <Package Folder>/.jiagu/libjiagu587952875.so
- getprop ro.build.fingerprint
- mars_d -p <Package> -s com.igexin.sdk.PushService -p1r 44 -p1w 45 -p2r 46 -p2w 47
Загружает динамические библиотеки:
- EcalendarLib
- daemon_api20
- libdvrender
- libjiagu587952875
- libjplayer
- liblocalserver
- libtranscore
- libviewer
- pl_droidsonroids_gif
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DESede
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DESede
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
