Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hi.hiwe####.net:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c-h####.g####.com
- h####.b####.com
- hi.hiwe####.net
- m.d####.mob.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- hi.hiwe####.net/index.php?m=####&c=####&a=####&catid=####&id=####
- hi.hiwe####.net/index.php?m=####&c=####&a=####&size=####&type=####
- hi.hiwe####.net/statics/assets/css/amazeui.min.css
- hi.hiwe####.net/statics/assets/css/app.css
- hi.hiwe####.net/statics/assets/js/amazeui.min.js
- hi.hiwe####.net/statics/js/jquery.min.js
- hi.hiwe####.net/uploadfile/2018/0923/20180923014747607.jpg
- hi.hiwe####.net/uploadfile/2018/0923/20180923015212451.jpg
- hi.hiwe####.net/uploadfile/2018/0923/20180923015501767.jpg
- hi.hiwe####.net/uploadfile/2018/0925/20180925082320538.png
- hi.hiwe####.net/uploadfile/2018/1009/20181009024939987.jpg
- hi.hiwe####.net/uploadfile/2018/1022/20181022060824845.jpg
- hi.hiwe####.net/uploadfile/2018/1022/20181022084208291.jpg
- hi.hiwe####.net/uploadfile/2018/1025/20181025052537351.jpg
- hi.hiwe####.net/uploadfile/2018/1029/20181029024708652.jpg
- hi.hiwe####.net/uploadfile/2018/1030/20181030013213229.jpg
- hi.hiwe####.net/uploadfile/2018/1031/20181031082938254.jpg
- hi.hiwe####.net/uploadfile/2018/1101/20181101055807905.jpg
- hi.hiwe####.net/uploadfile/2018/1101/20181101064355373.jpg
- hi.hiwe####.net/uploadfile/2018/1101/20181101065802150.jpg
- hi.hiwe####.net/uploadfile/2018/1101/20181101085634174.jpg
- hi.hiwe####.net/uploadfile/2018/1101/20181101085836528.jpg
- hi.hiwe####.net/uploadfile/2018/1102/20181102083309229.jpg
- hi.hiwe####.net/uploadfile/2018/1102/20181102095128653.jpg
- m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_YYn966
- t####.c####.q####.####.com/tdata_eOt091
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- c-h####.g####.com/api.php?format=####&t=####
- hi.hiwe####.net/index.php?m=####&c=####&a=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/0b0157fa2f668211a8d0ea5b3783f3555218eaf6cd4a7dc....0.tmp
- /data/data/####/3d84f25db7091ff83daae98e2f8aeb13c6a2a68bd685d02....0.tmp
- /data/data/####/41b0c083e5b6a81f9fe676d209435b21a2bfe57eaa3ba8d....0.tmp
- /data/data/####/43193ccbacb2d0a5bb31d53fa6a0295cdd8fbd41a0c7122....0.tmp
- /data/data/####/4423f19ab194da03d4e896b09bd342a6ef539e544962009....0.tmp
- /data/data/####/45f2849491a6bbed9ba3fda44c575098e353d3be1baa468....0.tmp
- /data/data/####/4a9b09d7272ff84f9eabe500a9781d7e6ec77a69719f7c2....0.tmp
- /data/data/####/4e02b1a8cdce89a9ea28646f1da567df669fb3d2d9f157b....0.tmp
- /data/data/####/5d4ca8094317579a1901b7c4b61239bae1b895574791ba0....0.tmp
- /data/data/####/60e53b139135eb73e16c85a199bb2b515fdb77d71962612....0.tmp
- /data/data/####/64cf334919bbb73dd50df53d5c4d51a9c8f8435390be9cd....0.tmp
- /data/data/####/74c89594aa07259c53afbf83b67629cdcdc575e69fcc953....0.tmp
- /data/data/####/81cc10eeeea049139ed3fc3a0efeb3e9e8c7fde4d4db5f8....0.tmp
- /data/data/####/86361df010adcfa617f543b1488cd2453df304174dbed6d....0.tmp
- /data/data/####/8b67fc0445c1a2c8a0ba4eddfc7fbb518205483a550ef6d....0.tmp
- /data/data/####/9647f57d1e51233a674c8ba3e2ae8e3823097d53ec2c711....0.tmp
- /data/data/####/9e8a63cd6f68f5a89474c84fd177d8f6311fa5dba1f38dd....0.tmp
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1541150504086
- /data/data/####/a3b645143c12943496dbb2b4d8dd7c693717365c9d04335....0.tmp
- /data/data/####/a52afa8f86fd100881864547e57e7d1b8f22977bd4ac5bd....0.tmp
- /data/data/####/a8025189ff54c926d8e2e9826702cdc4898edf513bf5463....0.tmp
- /data/data/####/a9b8a067d3dbacade4a6d447e61be42fcd2ee833841a052....0.tmp
- /data/data/####/ab2fa0afbf841ba6f754adf531d1c723c4f0996fd8d2c05....0.tmp
- /data/data/####/ac13adb0b359d6b18c6f41c2311b10f35dd8ca2055fe971....0.tmp
- /data/data/####/ad9edfd315bf72ebb745ad34ec51f3223302c92f9207b1f....0.tmp
- /data/data/####/adbbc28920b551fa2b51b8ecd1814220e3b3c77130ea5ff....0.tmp
- /data/data/####/af77725e7f34fd4d23ac758f58c1e63575d6d2062855ed9....0.tmp
- /data/data/####/b368141e808351a68a63023610921a3793764e8ff0b6b0b....0.tmp
- /data/data/####/ba1c3d14d014104c4ea53bd369e61903a02e49f489e39bc....0.tmp
- /data/data/####/bafa7c5fee4c0dbc7cf2fbe91d7465cbd80e94a4d0fc7e2....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/c0074427977616a5c5e3315ae71ef77e4ce417c4d7f33ca....0.tmp
- /data/data/####/c35bf9e3ac0ae50c004bad1123c73a1979550db52e3c108....0.tmp
- /data/data/####/d3446340c149824f87e90e04cb3879f5c490a962d0d8b09....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbbe65d853fdf3b662c1eb56b74a35da40f270c4e7d329b....0.tmp
- /data/data/####/e735324e7e9a5a88e9b783350c05de5ba052179e8f93e95....0.tmp
- /data/data/####/e98b493b42b0041bec71c43d4bedb888f2743f39191c0d5....0.tmp
- /data/data/####/ef2ef23d559631c4dfbebae130a4f39edb5ce3d72de78c9....0.tmp
- /data/data/####/f49d48295630928c82c6614128194b8701311df39f61e8d....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1539022912.so
- /data/data/####/mob_commons_1
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_YYn966
- /data/data/####/tdata_YYn966.jar
- /data/data/####/tdata_eOt091
- /data/data/####/tdata_eOt091.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wei_hai.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.pkg_lock
- /data/media/####/.timestamp
- /data/media/####/app.db
- /data/media/####/cn.e23.weihai.bin
- /data/media/####/cn.e23.weihai.db
- /data/media/####/cn_e23_wei_hai_logo.png
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_YYn966
- /data/media/####/tdata_eOt091
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24134 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- crash_analysis
- getuiext2
- libjiagu-1539022912
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
