Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sni.c####.q####.####.com:80
- TCP(HTTP/1.1) tvaw####.g####.sina####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) ti####.c####.l####.####.com:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP(TLS/1.0) tinyali####.c####.l####.####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) c3af2e8####.c####.qingc####.com:443
- TCP(TLS/1.0) eco####.me####.com.####.com:443
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) sni.c####.q####.####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) t####.growi####.com:443
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- adser####.go####.com
- and####.b####.qq.com
- api.growi####.com
- app-pow####.ju####.im
- app-ver####.ju####.im
- banner-####.ju####.im
- c####.g####.ig####.com
- c-h####.g####.com
- eco####.me####.com
- gold####.x####.io
- gold-ta####.ju####.im
- lc-gold####.x####.io
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- short-m####.ju####.im
- ssl.gst####.com
- suid-ge####.ju####.im
- t####.growi####.com
- t####.sin####.cn
- t.growi####.com
- tag-sub####.ju####.im
- thi####.q####.cn
- timelin####.ju####.im
- user-go####.x####.io
- www.go####.com
- www.gst####.com
- xiaoce-####.ju####.im
Запросы HTTP GET:
- sni.c####.q####.####.com/tdata_vHH584
- sni.c####.q####.####.com/tdata_wmL809
- t####.c####.q####.####.com/config/hz-hzv3.conf
- thi####.q####.cn/mmopen/vi_32/ajNVdqHZLLD6Gvbxu49qx6tGleTjiaHgYYPbcXibeK...
- tvaw####.g####.sina####.com/crop.0.0.180.180.180/663aa05ajw1e8qgp5bmzyj2...
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/030b5f4aee14c8934b542b8fa20c257f4834146856cdd1d....0.tmp
- /data/data/####/04d42c1d534b835ba826a5d7bbc7daca6ad837dca038d40....0.tmp
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/1750258a627014a9af6af3d668d6a125ade3a5307efbc0d....0.tmp
- /data/data/####/23f40aeee1e54f76bd1b5932c1c0e2048e6e73d08938d4e....0.tmp
- /data/data/####/3de2d64b0ac99eebbd9235746d3836b620481d7e0725608....0.tmp
- /data/data/####/3e1d30c39a1c3e8e55185c5997535131011a67871a58447....0.tmp
- /data/data/####/43c9cac4b516d51ef50467f64aa2ee804dbc374b8976edd....0.tmp
- /data/data/####/4a843063b00f131524c907f2e3b7c893f792606f7f343af....0.tmp
- /data/data/####/62650cc68881a8ec94c28397df50794ed1b8b45bcd4e838....0.tmp
- /data/data/####/6aa22d805acfae08878a74d6d540b278f846d1a08e60063....0.tmp
- /data/data/####/6c9e4cfb01045293f736dcbcd65a99116e979f841d12df1....0.tmp
- /data/data/####/6d60aba7180b8cdc28557d64b917c82b0f8dcb47797327e....0.tmp
- /data/data/####/7885edd7eec113f1a3bf3b6817a5eb5e5af302cc5b7e343....0.tmp
- /data/data/####/7b7e368b4c845f11412ea7326ea74d0d8e02108fb83393a....0.tmp
- /data/data/####/7b80e4e2bb9a6d525cff6cbd83e84d19f914837720edebc....0.tmp
- /data/data/####/93b333c32650f690c3fd676aae773a1a7bb5fc5be238e43....0.tmp
- /data/data/####/970d3bac50168899244f7d53434415e326de67dfe334b1b....0.tmp
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/Meiqia.xml
- /data/data/####/MultiDex.lock
- /data/data/####/SP_AROUTER_CACHE.xml
- /data/data/####/a882a2d8df360ec2c7af7ff9aeefc994672f16586180381....0.tmp
- /data/data/####/b3073460e9635580af29b99323a1b335129207c7bfea91c....0.tmp
- /data/data/####/b32914755287987490309d7badaa55ccda0af2899ce6451....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/com.daimajia.gold.BETA_VALUES.xml
- /data/data/####/com.daimajia.gold.BETA_VALUES.xml.bak
- /data/data/####/com.daimajia.gold_PushEvents.db
- /data/data/####/com.daimajia.gold_PushEvents.db-journal
- /data/data/####/com.meizu.flyme.push.xml
- /data/data/####/crashrecord.xml
- /data/data/####/e252110c4a97e76edefe6dd9791d14e5af19ea230faa288....0.tmp
- /data/data/####/e2b7a8ec12c67a02be6624fdbaa43dfe1fd4667c321d943....0.tmp
- /data/data/####/e3c715b8a8e6f549cbfe05849474e12bb512c9a1c19b7f2....0.tmp
- /data/data/####/f225bb2fc7f9aa848e9ff8edb7abd8852cdf15da21ab0b0....0.tmp
- /data/data/####/f5cce9c3f966feb3b2883f0ca1a3b82af535e7a0f05b871....0.tmp
- /data/data/####/f78280391d683cc40fd542db0c3536f578b6bf1eed0e109....0.tmp
- /data/data/####/fc7387a49b7ad93237c3fac6942e00c625ffe1ee38e7fd2....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gold.db-journal
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_ecsid.xml
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growing_server_pref.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/juejin_default.xml
- /data/data/####/juejin_device.xml
- /data/data/####/libjiagu598539105.so
- /data/data/####/local_crash_lock
- /data/data/####/meiqia.db
- /data/data/####/meiqia.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tdata_wmL809
- /data/data/####/tdata_wmL809.jar
- /data/media/####/.nomedia
- /data/media/####/2018-10-08.log.txt
- /data/media/####/app.db
- /data/media/####/com.daimajia.gold.bin
- /data/media/####/com.daimajia.gold.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_vHH584
- /data/media/####/tdata_wmL809
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- <Package Folder>/files/gdaemon_20161017 0 <Package>/im.juejin.android.push.receiver.GetuiPushReciver 24649 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu598539105.so
- getprop
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/im.juejin.android.push.receiver.GetuiPushReciver 24649 300 0
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libjiagu598539105
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
