Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) prs####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) prs####.i####.com:80
- TCP(HTTP/1.1) sto####.i####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) wild####.q####.cn.####.net:443
- TCP(TLS/1.0) mp.we####.qq.com:443
- TCP(TLS/1.0) s####.tc.qq.com:443
- TCP c####.g####.ig####.com:5227
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- m####.q####.cn
- mp.we####.qq.com
- prs####.i####.com
- prs####.oss-cn-####.aliy####.com
- r####.wx.qq.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- sto####.i####.com
Запросы HTTP GET:
- et2-na6####.wagbr####.ali####.####.com/bar/get/58d9c3dd04e2056ef4001e76/...
- prs####.i####.com/banner/dav-banner1810111109157862.jpg@!banner
- prs####.i####.com/banner/dav-banner18101216220254884.jpg@!banner
- prs####.i####.com/banner/dav-banner18101216473476365.jpg@!banner
- prs####.i####.com/banner/dav-banner18101216580000537.jpg@!banner
- prs####.i####.com/banner/dav-banner18101216582365468.jpg@!banner
- prs####.i####.com/banner/dav-banner18101217220575423.jpg@!banner
- prs####.i####.com/face/dav-face18051709280909574.jpg@!face
- prs####.i####.com/face/dav-face18072420533361878.jpg@!face
- prs####.i####.com/face/dav-face18080101392498455.jpg@!face
- prs####.i####.com/face/dav-face18081310385180614.jpg@!face
- prs####.i####.com/face/dav-face1810151717099735.jpg@!face
- prs####.i####.com/resource/dav-resource18081502352109854.jpg@!resource
- prs####.i####.com/resource/dav-resource18100221541553154.jpg@!resource
- prs####.i####.com/resource/dav-resource18100222474898342.jpg@!resource
- prs####.i####.com/resource/dav-resource18100302375759579.jpg@!resource
- prs####.i####.com/resource/dav-resource18100510450557325.jpg@!resource
- prs####.i####.com/resource/dav-resource181005113834936.jpg@!resource
- prs####.oss-cn-####.aliy####.com/resource/1539686873088441.png
- sto####.i####.com/index.php?s=####
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_vHH584
- t####.c####.q####.####.com/tdata_wmL809
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sto####.i####.com/index.php?s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/05f63903e1ade5153f33ccbf53e607a5.0.tmp
- /data/data/####/05f63903e1ade5153f33ccbf53e607a5.1.tmp
- /data/data/####/120ec4be488887088dacc8983a4de829.0.tmp
- /data/data/####/120ec4be488887088dacc8983a4de829.1.tmp
- /data/data/####/2a5517cf56a830763b1b0b823aef5dd8.0.tmp
- /data/data/####/2a5517cf56a830763b1b0b823aef5dd8.1.tmp
- /data/data/####/42cd2584678aea7487c151c5033fea1d.0.tmp
- /data/data/####/42cd2584678aea7487c151c5033fea1d.1.tmp
- /data/data/####/520d5855f8de07747c4770e16a91d8ba.0.tmp
- /data/data/####/520d5855f8de07747c4770e16a91d8ba.1.tmp
- /data/data/####/546689f518f7662a58c66346f9dde4ef.0.tmp
- /data/data/####/546689f518f7662a58c66346f9dde4ef.1.tmp
- /data/data/####/5ae40036b8f268c9510903e8ee11b3e9.0.tmp
- /data/data/####/5ae40036b8f268c9510903e8ee11b3e9.1.tmp
- /data/data/####/7644bafb42f260ee146fb60c8de98d5d.0.tmp
- /data/data/####/7644bafb42f260ee146fb60c8de98d5d.1.tmp
- /data/data/####/79cafd788f2643569bf4b6085264e60c.0.tmp
- /data/data/####/79cafd788f2643569bf4b6085264e60c.1.tmp
- /data/data/####/7b2a5fb5c7f142376a7faf5bcb588d7f.0.tmp
- /data/data/####/7b2a5fb5c7f142376a7faf5bcb588d7f.1.tmp
- /data/data/####/8e24ca64ed0c4f9ffd729ae9f7c591ac.0.tmp
- /data/data/####/8e24ca64ed0c4f9ffd729ae9f7c591ac.1.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/a8280d06b2c41ff653f6b8ae751abf1c.0.tmp
- /data/data/####/a8280d06b2c41ff653f6b8ae751abf1c.1.tmp
- /data/data/####/b0aa1fea3d0f0c932175be3685dc3153.0.tmp
- /data/data/####/b0aa1fea3d0f0c932175be3685dc3153.1.tmp
- /data/data/####/b8e9552e3d634060e9d6b1e06fb01ef3.0.tmp
- /data/data/####/b8e9552e3d634060e9d6b1e06fb01ef3.1.tmp
- /data/data/####/c7f021607b6edd4addb1166fda938814.0.tmp
- /data/data/####/c7f021607b6edd4addb1166fda938814.1.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbdf563147436e0804d5ce59c0f598d3.0.tmp
- /data/data/####/dbdf563147436e0804d5ce59c0f598d3.1.tmp
- /data/data/####/e2f546cf639a59edb8cc157d2c0b25ba.0.tmp
- /data/data/####/e2f546cf639a59edb8cc157d2c0b25ba.1.tmp
- /data/data/####/ed75c789133340ca369f3a0dc899fec4.0.tmp
- /data/data/####/ed75c789133340ca369f3a0dc899fec4.1.tmp
- /data/data/####/ef31030b4cf76af1d970f1e1486c5db3.0.tmp
- /data/data/####/ef31030b4cf76af1d970f1e1486c5db3.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/hmall.xml
- /data/data/####/https_mp.weixin.qq.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1825764045.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tdata_wmL809
- /data/data/####/tdata_wmL809.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/org.gbmedia.hmall.bin
- /data/media/####/org.gbmedia.hmall.db
- /data/media/####/tdata_vHH584
- /data/media/####/tdata_wmL809
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.ui.main.MyPushService 24659 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-1825764045.so
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.ui.main.MyPushService 24659 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1825764045
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
