Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) i####.yilianb####.cn:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) hn1.api.oka####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) api.yilianb####.cn:443
- TCP(TLS/1.0) li.yilianb####.cn:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.cli####.go####.com
- api.yilianb####.cn
- c####.g####.ig####.com
- c-h####.g####.com
- hn1.api.oka####.com
- i####.yilianb####.cn
- li.yilianb####.cn
- res####.a####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- hn1.api.oka####.com/?s=####&model_name=####&id=####&app_key=####&sign=####
- i####.yilianb####.cn/business/banner/1539400836178.png
- i####.yilianb####.cn/business/banner/1539400864800.png
- i####.yilianb####.cn/business/banner/8081020e-14f4-410f-9029-9b2455d8805...
- i####.yilianb####.cn/business/banner/d2d2ff0a-91e5-45bf-b8ed-48f35b3fe28...
- i####.yilianb####.cn/business/goods/1538115640487.jpg
- i####.yilianb####.cn/business/goods/1538389222591.jpg
- i####.yilianb####.cn/business/goods/1539490522213.jpg
- i####.yilianb####.cn/business/goods/1540092083747.jpg
- i####.yilianb####.cn/business/goods/1540179221197.jpg
- i####.yilianb####.cn/business/goods/1540434909160.jpg
- i####.yilianb####.cn/consumer/upload/store/110/2017/08/19/20b1faae-b266-...
- i####.yilianb####.cn/consumer/upload/store/110/2017/08/19/248024cd-45ac-...
- i####.yilianb####.cn/consumer/upload/store/110/2017/08/30/e95429a0-79c5-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/04/19/d82485c0-265e-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/07/07/231ab672-773a-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/07/07/8d3a572b-0210-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/02/3365c39c-c420-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/03/877cda89-4e98-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/04/58f79e34-56bf-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/04/6c991f0c-12d4-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/04/a2621a8b-6196-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/08/30/4458863e-371a-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/09/12/b96e4be3-93f7-...
- i####.yilianb####.cn/consumer/upload/store/110/2018/10/08/2decd286-1cdd-...
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_bca864
- t####.c####.q####.####.com/tdata_fyR930
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1028ad9e24e19f0461f42f1dcd6e6414ee8c734ff648d5e....0.tmp
- /data/data/####/10e5956e3b1a70b2ccb7c5f78d98d94b30fc546c0568fc6....0.tmp
- /data/data/####/11c1a78a94965d59677fc79933d727c83315c3c6e9de7e1....0.tmp
- /data/data/####/13f9db195978f2c2f3718a8ebc292defa14a0db1be074da....0.tmp
- /data/data/####/197574272ccaff49281631c5643c90b4f952f369d3149d4....0.tmp
- /data/data/####/1aa0c3b3770d67e86454b6abeb5d639143fccfe4fe0015b....0.tmp
- /data/data/####/1c2690a90fda755c76559bf425db887591db4329ed6a2b1....0.tmp
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/27c26f9e078450d691b730e523d84cf83bf0765897e951d....0.tmp
- /data/data/####/2b69d68be3a2a29e8f5a0a64ebb5eb971af0b4bc06dc6e8....0.tmp
- /data/data/####/350c53e7a8b36f5a436b1bf976d27b51e5171acd640e5ff....0.tmp
- /data/data/####/49900b4f770cf328045d822693670b91ecf3fb6f284bda7....0.tmp
- /data/data/####/4d478267615c8f7e5a57a0802c88543fcd55d3a587e6849....0.tmp
- /data/data/####/5dcc6edb2e5ade3ecd566236a303fc3feccc6b01233e0ce....0.tmp
- /data/data/####/6c6bddefe866f509f26fec5b83d2e418bf06644fe54d6c0....0.tmp
- /data/data/####/712819c7bb00397c594bb32ec0dc5c7d5f212875626a245....0.tmp
- /data/data/####/79e520ee38d84a60f7fd8461e462a5e8dbb387338f2dfbb....0.tmp
- /data/data/####/80b1cedfbd25e66665b901f4e377405c97547dd4949779b....0.tmp
- /data/data/####/82355edf2ae4b50e1d7176274b67fc4ed6e158c3bfff1ef....0.tmp
- /data/data/####/9c9fcd9a57b16baa7d82ff1d4d5d48863a78d94433b723b....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/a5a1faea71c100c82547625f631aa3fff315fc5a571bdf2....0.tmp
- /data/data/####/a840be21fe9e1170b9297eeb7c7a40a9386c28749be195a....0.tmp
- /data/data/####/acb0437bb8fa16319bea64db1ff67a1217a622106288793....0.tmp
- /data/data/####/bbcc2eb48edfac47a1bfa4d0fa8e4da6df02a122c01746c....0.tmp
- /data/data/####/c0586a10777146560765a69231d89beb.xml
- /data/data/####/ca18f8b8c9ee7b05e0712d9f4f0987474e313e176fd0932....0.tmp
- /data/data/####/dbd80a6b1e12d70c977da8b46e6f5af615c5f153ce77f94....0.tmp
- /data/data/####/e6a9125be1da787768438e5109ad274f1a2cb01a1439aa8....0.tmp
- /data/data/####/ea9feb52db24616158a69f8f9d22408f221683c3fa600a1....0.tmp
- /data/data/####/fb43e22d817e85b3d9b39c77e229f9587689bcdaad53315....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/k.store
- /data/data/####/libjiagu-1020479799.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/pref.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_bca864
- /data/data/####/tdata_bca864.jar
- /data/data/####/tdata_fyR930
- /data/data/####/tdata_fyR930.jar
- /data/data/####/ylbh.xml
- /data/media/####/.nomedia
- /data/media/####/1540605583156.db
- /data/media/####/alsn20170807.db
- /data/media/####/alsn20170807.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.ylbh.app.bin
- /data/media/####/com.ylbh.app.db
- /data/media/####/tdata_bca864
- /data/media/####/tdata_fyR930
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.other.PushService 24163 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.other.PushService 24163 300 0
Загружает динамические библиотеки:
- getuiext3
- libjiagu-1020479799
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
