Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) s####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) appinte####.5####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) 1####.217.19.206:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP(TLS/1.0) hotfix####.aliy####.com:443
- TCP(TLS/1.0) wild####.al####.com.####.net:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- a####.man.aliy####.com
- a####.u####.com
- api.map.b####.com
- appinte####.5####.com
- c####.g####.ig####.com
- c-h####.g####.com
- hotfix####.aliy####.com
- i####.5####.net
- img.al####.com
- loc.map.b####.com
- o####.map.b####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- s####.oss-cn-####.aliy####.com/mall/xzw/05dfe2f0-9ecf-4af1-bd0e-67840dab...
- s####.oss-cn-####.aliy####.com/mall/xzw/335cd70a-db2d-4126-82c4-a62c4c31...
- s####.oss-cn-####.aliy####.com/mall/xzw/48e6d40f-978d-466e-9adc-d65758ec...
- s####.oss-cn-####.aliy####.com/mall/xzw/9a3e11c1-eaa5-47fb-a209-90301a53...
- s####.oss-cn-####.aliy####.com/mall/xzw/c1cb85ee-9e9e-486a-a950-a710b934...
- s####.oss-cn-####.aliy####.com/mall/xzw/f68ccd81-d4e8-4f73-ac99-5af50353...
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.duid
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/.vpl_lock
- /data/data/####/11a877a467106ca8a428c65eb6a157eb7785a519aab9824....0.tmp
- /data/data/####/1aa1dd5d28e45ccce0283f788237f4bdc4718fddd9d5fc6....0.tmp
- /data/data/####/280fc68b91b8725019320468b0b7da2b12e92e2b4469668....0.tmp
- /data/data/####/3f566dcc92b6c41b0968cf2164449ae67d62f0f70b3321f....0.tmp
- /data/data/####/4120546f7a3392bccd7a571bdbf7c7f12e235ff3db61c0c....0.tmp
- /data/data/####/42005a2cb313af204db605a054a8b2cb377a3463dc429ab....0.tmp
- /data/data/####/539c98fe0baaf090db5fc8ee9ebe5f0892b886501bd84fe....0.tmp
- /data/data/####/73b91f9a2ff5d1599ecfe871c7a8124566fdeb0ff656a31....0.tmp
- /data/data/####/7fc12412f573c33bedf98e9a93c43e51d132f278d1779e0....0.tmp
- /data/data/####/82c2129a4b98db553289708caf8157398bbdd3d3a7c3181....0.tmp
- /data/data/####/8656cac053070d6c566d87ed16e81139c17a2a362a0714b....0.tmp
- /data/data/####/8fc0179abd59e90f5cbd29e2c26b10f62de29f89612a2fe....0.tmp
- /data/data/####/99237e571a6490acf3a408d5a2fff7174d531b936b6f237....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/MultiDex.lock
- /data/data/####/PageInfo.db-journal
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/authStatus_com.alidao.sjxz;remote.xml
- /data/data/####/bc75fdece9ea964c11aa19e5db6901965e9fa403f148489....0.tmp
- /data/data/####/c0add10611e1e1272b64df4daf2cd2e4d610c04aa4b50fd....0.tmp
- /data/data/####/c6e4feba22c5a3a5ae75a8dfd09677e439c7f3c6c90fe3b....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/d3617bf13f2b02f064bf6fa57d3aac1f653b3e2a61ff641....0.tmp
- /data/data/####/d554439b9fa44d28009be970830642f1e2e7156a0b1bfff....0.tmp
- /data/data/####/d79839f240784b2a18331f8fc9a5cb59beda8e9f8f2143b....0.tmp
- /data/data/####/disk_entries_list_image_cache_-1702915271.xml
- /data/data/####/domain_1
- /data/data/####/eaf5eb81fde58952e85755f40e4c0472c2442362345b133....0.tmp
- /data/data/####/efdc0e3723400cc1e4fbcfe3630a29c160e9bb950422876....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f80f46a42cc4196e74c7bb8d707c598cde4ea6a4056fb31....0.tmp
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu658884186.so
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/multidex.version.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sp_sophix.xml
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.artc_lock
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.di
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.im_lock
- /data/media/####/.lesd_lock
- /data/media/####/.mn_-1464060969
- /data/media/####/.nomedia
- /data/media/####/.pkg_lock
- /data/media/####/.pkgs_lock
- /data/media/####/.rc_lock
- /data/media/####/.slw
- /data/media/####/.ss_lock
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.alidao.sjxz.bin
- /data/media/####/com.alidao.sjxz.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui_service.DemoPushService 24492 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
Загружает динамические библиотеки:
- getuiext2
- libjiagu658884186
- locSDK7b
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
