Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) down####.w####.com.####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) dn####.fas####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) ipswitc####.fmscach####.ou####.com:80
- TCP(HTTP/1.1) www.w####.com:80
- TCP(HTTP/1.1) xiu.xi####.com.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) u####.xi####.com:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) 9ec8524####.bug####.com:443
- TCP c####.g####.ig####.com:5226
- TCP s1a.c####.xi####.com:19714
- TCP sdk.o####.t####.####.com:5224
- TCP 1####.171.140.97:1935
Запросы DNS:
- 7j####.c####.z0.####.com
- 9ec8524####.bug####.com
- a####.u####.com
- c####.g####.ig####.com
- c-h####.g####.com
- dn####.fas####.com
- down####.w####.com
- l####.tbs.qq.com
- s1a.c####.xi####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.xi####.com
- w####.xi####.com
- www.w####.com
- x1.xi####.com
- xiu.xi####.com
Запросы HTTP GET:
- dn####.fas####.com/dnionget
- down####.w####.com.####.com/ad/jifenzadannew7/xxh.jpg
- down####.w####.com.####.com/ad/xunbao/xunbao-xxh.jpg
- ipswitc####.fmscach####.ou####.com/vshow/streamname?get_url=####
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_YJA893
- u####.xi####.com/photo/85/85/qq-dbmbreevbk_b_56.com_.jpg
- u####.xi####.com/style/wxstyle/release/project/jpxz/banner/ios.jpg
- xiu.xi####.com.####.com/upload/xiu/16/44/sj-xzsykgyway_pixel_56.com_1808...
- xiu.xi####.com.####.com/upload/xiu/16/8/wx-xzujkngcig_pixel_56.com_18041...
- xiu.xi####.com.####.com/upload/xiu/18/12/qq-nsyenyhorb_pixel_56.com_1809...
- xiu.xi####.com.####.com/upload/xiu/25/73/qq-adalanyctk_pixel_56.com_1807...
- xiu.xi####.com.####.com/upload/xiu/26/24/oqq-kntsgaybop_pixel_56.com_180...
- xiu.xi####.com.####.com/upload/xiu/27/33/s122585630_pixel_56.com_1809011...
- xiu.xi####.com.####.com/upload/xiu/34/15/ee12aa4_union_b_171029211332_55...
- xiu.xi####.com.####.com/upload/xiu/4/3/qq-jtqofntyly_pixel_56.com_181007...
- xiu.xi####.com.####.com/upload/xiu/54/90/s122585633_pixel_56.com_1809071...
- xiu.xi####.com.####.com/upload/xiu/60/54/wangdan1005_pixel_56.com_180905...
- xiu.xi####.com.####.com/upload/xiu/63/57/wx-fbdwqgfenc_pixel_56.com_1712...
- xiu.xi####.com.####.com/upload/xiu/63/9/s122585634_pixel_56.com_18090110...
- xiu.xi####.com.####.com/upload/xiu/66/26/woxiumike_pixel_56.com_18092423...
- xiu.xi####.com.####.com/upload/xiu/69/14/qq-rywglucuna_union_b_150906113...
- xiu.xi####.com.####.com/upload/xiu/72/26/wx-jmlfspuxjg_pixel_56.com_1809...
- xiu.xi####.com.####.com/upload/xiu/75/9/qq-ijrlnnwcdu_pixel_56.com_18071...
- xiu.xi####.com.####.com/upload/xiu/77/5/zhenai88_pixel_56.com_1807311731...
- xiu.xi####.com.####.com/upload/xiu/82/14/qq-bdrthbunnp_pixel_56.com_1804...
- xiu.xi####.com.####.com/upload/xiu/85/85/qq-dbmbreevbk_pixel_56.com_1801...
- xiu.xi####.com.####.com/upload/xiu/96/48/qq-kptcpwidoh_pixel_56.com_1808...
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- l####.tbs.qq.com/ajax?c=####&k=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- u####.xi####.com/index.php?action=####&do=####
- www.w####.com/index.php?action=####&do=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/056ddab1dcfa53bfaf54ddf4134454fba621ab4b9f149b3....0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.1.tmp
- /data/data/####/16637764bd8baa563ebfc020937d4c2b8ff855c62df125c....0.tmp
- /data/data/####/252965cc6e2c61792fc5f150fadb5b8d6d8ea2b6cddeae9....0.tmp
- /data/data/####/2ab5e7cb3d4cc99c44c76742ebce757b821da8c947322c6....0.tmp
- /data/data/####/2b12be2c4b911aefd7ef05d3d7d3c15ba8bcd14f1c488f6....0.tmp
- /data/data/####/453ef569330296206ed804539466005de0489241c864b57....0.tmp
- /data/data/####/45df4c40fff45acef7218534f908c46cb9837bc41a6caca....0.tmp
- /data/data/####/5bbb5360ba64e2c91557903e57a3f87c6dfcf6338fcb80a....0.tmp
- /data/data/####/616cdf74e6e0d7a5945f8c86277c9a99965db4916d7dd24....0.tmp
- /data/data/####/6206e3e0075debc814eadc60d42ac79d8b4da3bb9cb85d8....0.tmp
- /data/data/####/6454e9a1a5123c11b274a04efcb092d14c238e56767cbdf....0.tmp
- /data/data/####/654ecfc5ed3986e7742c96049f7db8ba0d177046a526d1f....0.tmp
- /data/data/####/73f7540ad5e5eacdae17d91878e60142fe9bb55dee35b1f....0.tmp
- /data/data/####/866a0ac13b2bd2d7c0eeb9f6268c86be01907615f2a7bcb....0.tmp
- /data/data/####/8a93d4b876a2e699047262cee79aee0186b5acff241a045....0.tmp
- /data/data/####/91a3ed76ea28e2ca19ad7f02e4eb1c0311c3aadb1849e84....0.tmp
- /data/data/####/94d4dc2d7f80cfe9b708898b05543b8c139ae262ceec681....0.tmp
- /data/data/####/9a9dd2ca7a2050b44d2a9451d796a45e180b70b18cfb968....0.tmp
- /data/data/####/9d324dead07dc29e64d9e273dc1cdf19d2c46aa77c59c2c....0.tmp
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/ab5fd7878ec7830fec0f0f78b8d18f39d2c251fd884438d....0.tmp
- /data/data/####/ae41213d1a261f686626545c8529e0e64f5fedc5d799e9b....0.tmp
- /data/data/####/b3cab90938a3602262b603a813a1781b4734b3a97ff5dbb....0.tmp
- /data/data/####/c269f30c1e25fab514661f9d6ca10ad8f8714487d10e6ee....0.tmp
- /data/data/####/c40524f372e634b0964c8e7b0239bc529f97e118d23f661....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/core_info
- /data/data/####/d31e26335374347e8ac8d35d63d9c56a17fab40b22dc2fa....0.tmp
- /data/data/####/d47bef683f1bafcc237f6d5e573e4b422062d04c03c0587....0.tmp
- /data/data/####/de1781d2a6d38ef2901d968b51787d8c3a4ff0356029591....0.tmp
- /data/data/####/e2850f4462369f3abf9c6475e14dd13e80366b848636cfd....0.tmp
- /data/data/####/e30fac66f1177401472e4d938a1a05e8c8fea8703da53b2....0.tmp
- /data/data/####/ecac6c7ff1aef619573c7944094f2cb788b419177c73736....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f649c05ed42d05127fc3b45dfe83b7e4cc39544a3720d69....0.tmp
- /data/data/####/f685e896f2d4842a3d718c36d0976652743a01abfb3823c....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu616568235.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_YJA893
- /data/data/####/tdata_YJA893.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.wole56.ishow.bin
- /data/media/####/com.wole56.ishow.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_YJA893
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu616568235.so
- getprop ro.product.cpu.abi
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
Загружает динамические библиотеки:
- Bugtags
- getuiext2
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu616568235
- openh264
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
