Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) oss.newairc####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) h5.newairc####.com:443
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) oss.newairc####.com:443
- TCP(TLS/1.0) s####.ml####.cc:443
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- a.appj####.com
- c####.g####.ig####.com
- c-h####.g####.com
- h5.newairc####.com
- img.newairc####.com
- oss.newairc####.com
- s####.ml####.cc
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- oss.newairc####.com/jgdst/pic/201701/03/9812104e-e7d0-4593-9093-469b77ea...
- oss.newairc####.com/jgdst/pic/201701/03/a48c374b-235f-4aff-ac84-2bed1061...
- oss.newairc####.com/jgdst/pic/201701/03/e57e16b1-4c6a-414d-a419-4fd21c60...
- oss.newairc####.com/jgdst/pic/201701/03/fa30343f-21ce-4c6d-a594-b8ef42c0...
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_SzD730
- t####.c####.q####.####.com/tdata_ZCi456
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1312716470
- /data/data/####/-1383971884
- /data/data/####/-1383971885
- /data/data/####/-1383971886
- /data/data/####/-1383971887
- /data/data/####/-1383971909
- /data/data/####/-1383971910
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1389023919
- /data/data/####/1526646622
- /data/data/####/1670436455
- /data/data/####/1695857311
- /data/data/####/1701456262
- /data/data/####/1732476069
- /data/data/####/1763495876
- /data/data/####/2014205197
- /data/data/####/386967948
- /data/data/####/492143459
- /data/data/####/722550986
- /data/data/####/956980894
- /data/data/####/988000701
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/QQ_3x.png
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/base.css
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/columnId.xml
- /data/data/####/core_info
- /data/data/####/db_founder0-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/gdaemon_20161017
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/gx_sp.xml
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_praise.png
- /data/data/####/icon_praiseStar.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libjiagu.so
- /data/data/####/loading.png
- /data/data/####/mwsdk_analytics.db-journal
- /data/data/####/news_detail.html
- /data/data/####/persistent_data.xml
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/sanjiaoxing.png
- /data/data/####/shareTimeline_3x.png
- /data/data/####/sina_3x.png
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_SzD730
- /data/data/####/tdata_SzD730.jar
- /data/data/####/tdata_ZCi456
- /data/data/####/tdata_ZCi456.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/video.png
- /data/data/####/wx_3x.png
- /data/media/####/.nomedia
- /data/media/####/02e62d33cf197c8a9766d21e5396a2c1cf2ff28f3e48e7....0.tmp
- /data/media/####/0ee24fa3b574d22d91f268e3898375b2b2d33c6d898bbc....0.tmp
- /data/media/####/103957a44ed2a2dccc775e0a73c0477f5065b907de283b....0.tmp
- /data/media/####/12c85c9f833161541b2c63b3cd2c2de4efca152b2286a8....0.tmp
- /data/media/####/26dd294cd673fb1a5e94a61836b54168348d2344ffbe43....0.tmp
- /data/media/####/2823547c9ea05a5a359b714e52a6194369612064fad5b0....0.tmp
- /data/media/####/30778f4430004e59c5d83282fff6993f16cbe303ede221....0.tmp
- /data/media/####/388d38ae1ac79b7ddb9992074cbe131ccba486e9613f41....0.tmp
- /data/media/####/3bbb39c0d5a2b5d054b29354c3d539fc14cdf571d6c797....0.tmp
- /data/media/####/46b78e69e19d6f94f8769c8edc85c426f21b8a53c71818....0.tmp
- /data/media/####/542118b564849868f4d3db76c315e675a17855aad981c2....0.tmp
- /data/media/####/56c90ba4b56cb3fda5d4d07c19c0db326fb6fe28c6f6dc....0.tmp
- /data/media/####/5e2b5d507f38d835556d0120a41828e4fc8738fd373ad7....0.tmp
- /data/media/####/67174e5862ccf77cf70239adf41b4684977fa984706123....0.tmp
- /data/media/####/77f09a9b3c513c09e1d8259da3c8ab60a880353b2184d0....0.tmp
- /data/media/####/8686da7560b38e6755b9f0595d2cf14bf44942dc11af0a....0.tmp
- /data/media/####/9f257946b3a0f38290b20a543e60c44ab76c88462aa6c8....0.tmp
- /data/media/####/aaca4f9aa4f161d2fdc3fb4a4a59d50032cd48caf3c310....0.tmp
- /data/media/####/app.db
- /data/media/####/b84426f2d1efc997aa3a061bcd4d32ecc50a14472ac656....0.tmp
- /data/media/####/c55a9baa99f1c4560f39acb2c3c4c62f8106bad42d995a....0.tmp
- /data/media/####/cec8cb0674a3aae042af4e76805d4e9aae917950c6eac4....0.tmp
- /data/media/####/com.founder.jiugang.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/d31578c6a707abaf115b10145bdbb2cd73a78777f9df73....0.tmp
- /data/media/####/e68687435d9dfc4f00b6a2ffc9d44f06c9ed54fdb6ce86....0.tmp
- /data/media/####/efafc8949ff32f79d0ab35d3a1aefc6fb660706109a39c....0.tmp
- /data/media/####/f35f8380a03161b2b7c0bebc6740afd09103f732c99255....0.tmp
- /data/media/####/f3b58762d1b9efcd6321b7a3e263282f27a8570deaf52a....0.tmp
- /data/media/####/f489595d2e7c223c9f303dadf2543a2cbcdad5cbe4f9e6....0.tmp
- /data/media/####/fbc8cd6ff42672382ffa24973908154cf07f4d054f1d9e....0.tmp
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
- /data/media/####/tdata_SzD730
- /data/media/####/tdata_ZCi456
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24907 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24907 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
