Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) m####.gzs####.net.####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) mi.gzs####.net:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.cli####.go####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- m####.gzs####.net
- mi.gzs####.net
- mt####.go####.com
- plb####.u####.com
- s####.u####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
Запросы HTTP GET:
- et2-na6####.wagbr####.ali####.####.com/bar/get/5b8f77ba8f4a9d3759000087/...
- m####.gzs####.net.####.com/upload/0589d353ab0140e4b7efe09a05f3ae3f_m.png
- m####.gzs####.net.####.com/upload/0abc8c310bfd4dd396b0123cc20870e5.png
- m####.gzs####.net.####.com/upload/38c51cfb92cd419d885dd79a613f05e6.png
- m####.gzs####.net.####.com/upload/41225b3b1b8640499306deb2277bc098.png
- m####.gzs####.net.####.com/upload/4966a8ae12cb4be685affbd7f33ed56e.png
- m####.gzs####.net.####.com/upload/5948b233b87c4f828acd827e0b692abe_m.png
- m####.gzs####.net.####.com/upload/5cd1afa0a57c44eb8f2b4bd06da1c98e.png
- m####.gzs####.net.####.com/upload/6e7beb321393446692a1e4faaaa6c062.png
- m####.gzs####.net.####.com/upload/97dfed8fdefd49e5ae5cb94611390991.png
- m####.gzs####.net.####.com/upload/9f4fce7bb80f4a8f810a3795af23bb53.png
- m####.gzs####.net.####.com/upload/c9aeea0902ec4783afa85a54b61ca3cf.png
- m####.gzs####.net.####.com/upload/d8285b13d89b435ea5caccaece991ba5.png
- m####.gzs####.net.####.com/upload/e14822a5b2684fad9cf0d7a8092f114e.png
- m####.gzs####.net.####.com/upload/ed90463596774158a268c9e563ccdbc9.png
- m####.gzs####.net.####.com/upload/f4a185ecbcaf418396a29ef1ca47ed00.png
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_YYn966
- t####.c####.q####.####.com/tdata_eOt091
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/05fd04db14240dd69a06eb7c11aff981f1efcb91c565ba4....0.tmp
- /data/data/####/141a6f193762e76f502422fb42aa5d605ff488db7167d2f....0.tmp
- /data/data/####/1540587310937.log
- /data/data/####/1e7e3c29fb7543c9eaed8bac65f1f64d56538a87d46dc5d....0.tmp
- /data/data/####/22bde6385d734150d53cc41f1fd2edb6536d5e9f7b3ed62....0.tmp
- /data/data/####/26d5df2f1980625cdac1b7d8f04f3da038f660fb139dcb3....0.tmp
- /data/data/####/33bb5fff5b120a6b1ef79eeb6dbbf593cc9ba7963435b34....0.tmp
- /data/data/####/4bb9a5a2ff5cf034a1cadb1bfbe9a42b8cb6cc625a1bfbe....0.tmp
- /data/data/####/503d984638bc174fe22910e92cf3e53ad1799382268d440....0.tmp
- /data/data/####/61d5258310733d24996d2a9c4542ff6d28232f8b8e8e02e....0.tmp
- /data/data/####/6b5949040f832d8eece46debb0de52489a6e64eccb5f01c....0.tmp
- /data/data/####/6e3c173725d7840e69c4a8ba4cd9d0a83336bbf2ac0dab3....0.tmp
- /data/data/####/6f341ec689568fcf8827b0bd0649644d9708f1a8fe4a67e....0.tmp
- /data/data/####/70c46a6bdda099613fd12f3b9fb6aa271bfa804c1c09804....0.tmp
- /data/data/####/73886c7c2dcdb5d756046b7204a72a5027c9cda464d0bff....0.tmp
- /data/data/####/75f3b1d455e374c34f9d9dbeeec51fe1351f7c399f486a6....0.tmp
- /data/data/####/7b369d2539b37e703dc9a36e7c7b892b468b07ecd430972....0.tmp
- /data/data/####/81a9defffd704c16a9023fd877de95e773b737d17ec6162....0.tmp
- /data/data/####/81d5eaae261fc370c9a113200158c60ad82909dadb389eb....0.tmp
- /data/data/####/82313dcc1f490335900e2efd228da66dda4321bec653be1....0.tmp
- /data/data/####/853a769507114934b6a336388210b4c2f19a87113c2aaa1....0.tmp
- /data/data/####/88bf7121b731216693fa512c11d4e50e2a6ded8185ef1e2....0.tmp
- /data/data/####/98b3f646c4f6dac8c9a0eb05335922c95d585a81ec59e35....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/a1290e83123aa0e00c48baa86b0cda9a6eeaae7da364e78....0.tmp
- /data/data/####/a786fba2ce9dc68a489e11932a6be2a1992fa0a5c715029....0.tmp
- /data/data/####/a==7.5.3&&1.0.8_1540587310315_envelope.log
- /data/data/####/ada425ff1cc5d82fe3b30e45a6e34eefcdeeee8c80e0127....0.tmp
- /data/data/####/adfa5eb7d5f1858593c65e2d86029780a51e11637e9c74b....0.tmp
- /data/data/####/b09dbaa58fa518c8164a30215d2a8ece54e54f975ace763....0.tmp
- /data/data/####/b1dd0cd0f3c7535b6de1548b96fd5cd9fcb79185558e0e6....0.tmp
- /data/data/####/b71aebd24e95aaaa31895545b94fcdfdc25b063d6668f66....0.tmp
- /data/data/####/bb7a94a780f75bcfa20274d51bc400c21385c84866046dd....0.tmp
- /data/data/####/bc3f283b7bee2391e48564851f14f0934e207f7df4b2916....0.tmp
- /data/data/####/be7ad155a6ba5041558c6d2fd96f2cc29a1ebdbfde5fa45....0.tmp
- /data/data/####/c1d0e6fe89b77061820aa9cff0795ae2b5378e7bd161b52....0.tmp
- /data/data/####/c73596ece079165e4153834ae6df4f439eb2cc7554bbd2a....0.tmp
- /data/data/####/c8f8b764180714cb1952c907898f8759f502b420e896546....0.tmp
- /data/data/####/cd28ebe08a45496d05717540180f04ae099f337381c9212....0.tmp
- /data/data/####/com.aisi.khmi_preferences.xml
- /data/data/####/da69587bea92c46648fb14ba9ab18b3369b06fd27a500a6....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbb696add0860d52a6fd013448ae980fb5f5fea407bd5cc....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/f_000026
- /data/data/####/f_000027
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/i==1.2.0&&1.0.8_1540587309986_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu651684228.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/shopwaiter_db-journal
- /data/data/####/tdata_YYn966
- /data/data/####/tdata_YYn966.jar
- /data/data/####/tdata_eOt091
- /data/data/####/tdata_eOt091.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/xUtils_http_cookie.db
- /data/data/####/xUtils_http_cookie.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/app.db
- /data/media/####/com.aisi.khmi.bin
- /data/media/####/com.aisi.khmi.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/crash-20181026205509-1540587309963.txt
- /data/media/####/tdata_YYn966
- /data/media/####/tdata_eOt091
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.qchepro.mall.push.PushService 24258 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu651684228.so
- ls /sys/class/thermal
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.qchepro.mall.push.PushService 24258 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu651684228
- pl_droidsonroids_gif
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
