Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) andy####.shijiw####.com.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.shijiw####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 2####.58.212.206:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.shijiw####.com
- and####.b####.qq.com
- andy####.shijiw####.com
- c####.g####.ig####.com
- c-h####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- a####.shijiw####.com/html/detail.html
- a####.shijiw####.com/html/static/css/app.35a7b68772ce9382cd360b0e16f0e3e...
- a####.shijiw####.com/html/static/js/app.8374c09523dadc6811d1.15338692925...
- a####.shijiw####.com/html/static/js/manifest.08f69352488b997af97a.153386...
- a####.shijiw####.com/html/static/js/vendor.cfd9dc68086661286954.15338692...
- andy####.shijiw####.com.####.com/1535100112_1158104635.jpg?imageVi####
- andy####.shijiw####.com.####.com/1535100145_4225384996.jpg?imageVi####
- andy####.shijiw####.com.####.com/1535100178_20654922.jpg?imageVi####
- andy####.shijiw####.com.####.com/1535100208_1701108064.jpg?imageVi####
- andy####.shijiw####.com.####.com/1535100251_4117856970.jpg?imageVi####
- andy####.shijiw####.com.####.com/1535597281_626613831.png
- andy####.shijiw####.com.####.com/1537935163_167886735.png?imageVi####
- andy####.shijiw####.com.####.com/1539308355_942632612.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539308882_3231586428.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539309115_749090615.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539315753_3058786354.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539335011_622900731.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539825879_625838976.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539825921_3432043055.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539825948_1873656235.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539826072_3103455554.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539826112_2978541667.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539826153_1953921354.jpg?imageVi####
- andy####.shijiw####.com.####.com/1539826389_3995286566.jpg?imageVi####
- andy####.shijiw####.com.####.com/1540002627_2655449307.png?imageVi####
- andy####.shijiw####.com.####.com/1540002658_2824428576.png?imageVi####
- andy####.shijiw####.com.####.com/1540198873_1038062417.png
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_vHH584
- t####.c####.q####.####.com/tdata_wmL809
Запросы HTTP POST:
- a####.shijiw####.com/api/v1/mobile/token_login
- a####.shijiw####.com/manage/activity/find-all.json
- a####.shijiw####.com/manage/broadcast/find-all.json
- a####.shijiw####.com/manage/catalog/find-all.json
- a####.shijiw####.com/manage/goods/find-all-by-type.json
- a####.shijiw####.com/manage/goods/find-one.json
- a####.shijiw####.com/manage/recommend/find-all.json
- a####.shijiw####.com/res/get_res
- and####.b####.qq.com/rqd/async
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/038b97b60fb20b81766acf9311837d562487de4e8f9f0f0....0.tmp
- /data/data/####/0f140e5a156c7541ccad9e1c894f9bfcbea9b884c0b2d10....0.tmp
- /data/data/####/2615a4341f541930ae5461123a77b556890a840f9e3bbc3....0.tmp
- /data/data/####/32ac509547e3a467efff7fa06472398420cef80f7af17e7....0.tmp
- /data/data/####/33b758e71f8afa2a7dd8b01c2e9d37deda758f5e0d04b8f....0.tmp
- /data/data/####/3f3e336745be723509c2f62747dcfbb593bd8a429ba8a02....0.tmp
- /data/data/####/412435a0aa6c588fc113ca3703a463b32bc25bde6ae1acc....0.tmp
- /data/data/####/43bab3b96c884ab424f20dc36fb2894463998af4316092f....0.tmp
- /data/data/####/457b07d028c4169e48d0902af6e4719571c6c70ae89643b....0.tmp
- /data/data/####/485680d555abd928a4c81428f693fbc76a985fd7628e3d0....0.tmp
- /data/data/####/5218ef4112bdbb4973b1e29e5187df45caed66accb1b494....0.tmp
- /data/data/####/785ea0ded7c67d7dda3460464cf0a0a3bc2599c5f1874c4....0.tmp
- /data/data/####/7d754106575dac462a3110dc823343804e3d309679e8a9b....0.tmp
- /data/data/####/88e984f13b1a89a1b95bd537fba6f2884da7360a98b5c7a....0.tmp
- /data/data/####/8be41c436e79ec06f651007485a651fcd974b031fda304f....0.tmp
- /data/data/####/b2457ef3c4f003c8b4d1c7a77b66585d1862fa267dee61b....0.tmp
- /data/data/####/b26ab4419b536dfe97993020adfef7421de2db1c77da5f1....0.tmp
- /data/data/####/b525bd18be9cf0a1097ad021bcf080c9fd9086fa9f7946e....0.tmp
- /data/data/####/be6da2772c63fa064f127b4fd6c2b0a35beda8e69fcd35d....0.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c577bf5abfa9b80bb58c237d8cc6dc71a399517845284a2....0.tmp
- /data/data/####/c995a64318f5881c0352c834b0828f16780e97bfd8825be....0.tmp
- /data/data/####/d8c3f21ce9f1d2010b5176a9e19d9df342d31fc1cd9125d....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/okgo.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share_data.xml
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tdata_wmL809
- /data/data/####/tdata_wmL809.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.shijiweika.andy.bin
- /data/media/####/com.shijiweika.andy.db
- /data/media/####/tdata_vHH584
- /data/media/####/tdata_wmL809
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.http.MyPushService 24903 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.http.MyPushService 24903 300 0
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libnfix
- libshella-2.9.0.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
