Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hi.hiwe####.net:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- c####.g####.ig####.com
- c-h####.g####.com
- h####.b####.com
- hi.hiwe####.net
- m.d####.mob.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- hi.hiwe####.net//uploadfile/avatar/14346.jpg
- hi.hiwe####.net//uploadfile/avatar/14655.jpg
- hi.hiwe####.net//uploadfile/avatar/289.jpg
- hi.hiwe####.net/api.php?op=####&id=####&modelid=####
- hi.hiwe####.net/index.php?m=####&c=####&a=####&catid=####&id=####&f_s=####
- hi.hiwe####.net/index.php?m=####&c=####&a=####&size=####&type=####
- hi.hiwe####.net/statics/js/jquery.min.js
- hi.hiwe####.net/uploadfile/2018/0925/20180925082320538.png
- hi.hiwe####.net/uploadfile/2018/0926/20180926065252744.jpg
- hi.hiwe####.net/uploadfile/2018/0927/20180927041808898.jpg
- hi.hiwe####.net/uploadfile/2018/0928/20180928121246866.jpg
- hi.hiwe####.net/uploadfile/2018/0929/20180929033239160.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930014215987.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930061920769.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930064614255.png
- hi.hiwe####.net/uploadfile/2018/0930/20180930065617265.png
- hi.hiwe####.net/uploadfile/2018/0930/20180930081114882.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930083546995.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930084016815.jpg
- hi.hiwe####.net/uploadfile/2018/0930/20180930111022732.png
- hi.hiwe####.net/uploadfile/2018/0930/20180930113740712.jpg
- m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_YYn966
- t####.c####.q####.####.com/tdata_eOt091
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- c-h####.g####.com/api.php?format=####&t=####
- hi.hiwe####.net/index.php?m=####&c=####&a=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/02105af88e6a2cca82155c8088b072f38da395d584ebcce...1636.0
- /data/data/####/023b3d1ddea581f7abda87c0852d09f5b7c25194ea8326b....0.tmp
- /data/data/####/0e48b2368758c740dd7a3face9e79d868b0fe2ca5dd6394....0.tmp
- /data/data/####/14ad7d256890b82e5599a54e68061fdd26fd18e8ddf4a13....0.tmp
- /data/data/####/1eff0912c7294f717d36dbf3f47659e0f485dce19955abd....0.tmp
- /data/data/####/357a723d6bc6db73be46cb24a19e7edd9ed9fb9700aca56....0.tmp
- /data/data/####/39b76768b06ee04b33a64bd72172f614583ac98af25d64e....0.tmp
- /data/data/####/3b16eb71b334710b068a7df15c5452ccf80c504a0b4495e....0.tmp
- /data/data/####/4417694642c25e57c75d05a34adbf74e61821e071a425a3....0.tmp
- /data/data/####/522f54c73adb621ce16fb9f72249d94ac1c6ce8af52119d....0.tmp
- /data/data/####/649d92d1cc23aae16364551bbfad69f3bdc3fb8926944d6....0.tmp
- /data/data/####/6ccf6fab0f604cce0b0246e3af12c0cf0a0fa88376d4416....0.tmp
- /data/data/####/8a3d21b36852ac3c0fd238d725d1452af18eb40ca7cb0d4....0.tmp
- /data/data/####/8fb8c99f8740657e5c3c6976e364a251808080dde979db7....0.tmp
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1538378543301
- /data/data/####/a04afa50447ad360c96e7421633122995cec01a6d2e547f....0.tmp
- /data/data/####/a4cc5058235fba1763c69203ca5bae1c2c43baa1fdb4e97....0.tmp
- /data/data/####/a8025189ff54c926d8e2e9826702cdc4898edf513bf5463....0.tmp
- /data/data/####/ab088cc4f698b3de6f66b2a6225e0673336c99ab68f4a9c....0.tmp
- /data/data/####/ab2fa0afbf841ba6f754adf531d1c723c4f0996fd8d2c05....0.tmp
- /data/data/####/b78a703328bd7fb919eec9351667a68783ee8e4c4085de5....0.tmp
- /data/data/####/b8dabf6baf43bfa7c802656c46754f2fc15a1aa17ab49d2....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/baidu_mtj_sdk_record.xml.bak
- /data/data/####/c053b9f134a3e0bcb438d7595294da1fd0f7047d4e11e45....0.tmp
- /data/data/####/c146df1d57b3ac14c57f593b8ecd32d6e91dcebb199c732....0.tmp
- /data/data/####/c1cf136e2c366381b195b95b618aacbefce6ecf566a82a2....0.tmp
- /data/data/####/c379d5048be43d4ad40ebdf0c04cb9e8e4cd106e8f69340....0.tmp
- /data/data/####/c3a3ca869d66dbc153c741d7cf4bba374df5b434f2c1a2f....0.tmp
- /data/data/####/cbb5390cc321964639d6324717a27bf7b2225f97eab7767....0.tmp
- /data/data/####/d6b8897cb57619b62d87aa9cfb5f035b5251846b6f0e733....0.tmp
- /data/data/####/d79e16fd9949e66a6e18d7685bd9f9503237e7836c4502e....0.tmp
- /data/data/####/d8e2e702fa7018c14f886cd5ec70f6c1ba47bc48f35513a....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc9e193058f981373aeb50b28289d3ac6fed63d5946fa08....0.tmp
- /data/data/####/dd27522d03f8ed5f1de819f52a77fa90d370c405f121adc....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000003 (deleted)
- /data/data/####/f_000004
- /data/data/####/f_000004 (deleted)
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1539022912.so
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_YYn966
- /data/data/####/tdata_YYn966.jar
- /data/data/####/tdata_eOt091
- /data/data/####/tdata_eOt091.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wei_hai.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/.timestamp
- /data/media/####/app.db
- /data/media/####/cn.e23.weihai.bin
- /data/media/####/cn.e23.weihai.db
- /data/media/####/cn_e23_wei_hai_logo.png
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_YYn966
- /data/media/####/tdata_eOt091
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24134 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-1539022912.so
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- sh
Загружает динамические библиотеки:
- crash_analysis
- getuiext2
- libjiagu-1539022912
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
