Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) app.s####.v89.com:80
- TCP(HTTP/1.1) i####.v89.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.b####.qq.com
- a####.u####.com
- and####.b####.qq.com
- app.s####.v89.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.v89.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- i####.v89.com/group1/M00/00/00/rBIy0lu6uAGAaIw3AADXHDx4K2E952_162*162.png
- i####.v89.com/group1/M00/00/00/rBIy0lut6NWAFfXZAAC7ahWyfm4333_640*640.jpg
- i####.v89.com/group1/M00/00/00/rBIy0lutgNeAcMDAAADiDlUe1Ls392_640*640.JPG
- i####.v89.com/group1/M00/00/00/rBIy0lvW0cyAYrdBAACGdcLbZug250_600*240.jpg
- i####.v89.com/group1/M01/00/00/rBIy0lu6uAaANzr0AADR7G_rnCw582_162*162.png
- i####.v89.com/group1/M01/00/00/rBIy0lvSY7qAWjBhAABghNuLccM698_640*300.jpg
- i####.v89.com/group1/M01/00/00/rBIy0lvW0dqAX14aAABzHt-yM4M240_600*240.jpg
- i####.v89.com/group1/M02/00/00/rBIy0lu6uAuAW1hSAACmnT5OLZo768_162*162.png
- i####.v89.com/group1/M02/00/01/rBIy0lvfm_KAL0GPAAAyGkN6ouQ077_320*240.jpg
- i####.v89.com/group1/M03/00/00/rBIy0lu6uBGAFnafAACNilfS47c813_162*162.png
- i####.v89.com/group1/M04/00/00/rBIy0lu6uBiAQqXOAADP5PtiiBA129_162*162.png
- i####.v89.com/group1/M04/00/00/rBIy0lvWpPCAeolwAAA2tHQti-s674_320*240.jpg
- i####.v89.com/group1/M04/00/01/rBIy0lvfnG6AUMrqAACwfWMX_xU888_640*300.jpg
- i####.v89.com/group1/M05/00/00/rBIy0lu6uB6ADWwrAADsrLGoKDo868_162*162.png
- i####.v89.com/group1/M05/00/00/rBIy0lvNeH-AJf5JAAB6VaN0S2c978_640*300.jpg
- i####.v89.com/group1/M06/00/00/rBIy0lu6t-6AXG4qAACxF009M8Y044_162*162.png
- i####.v89.com/group1/M06/00/00/rBIy0lu6uCKAO2W5AACoEv8BduM831_162*162.png
- i####.v89.com/group1/M06/00/00/rBIy0lus7QaABX2uAABWBpQou94030_640*240.jpg
- i####.v89.com/group1/M06/00/00/rBIy0lut1muANZoFAAEn0ieMWQo064_640*640.jpg
- i####.v89.com/group1/M06/00/00/rBIy0lvSd_uAeCLvAAB0D4iqOlk409_600*240.jpg
- i####.v89.com/group1/M07/00/00/rBIy0lut10GAPKCyAAC5jCSNU8w556_640*640.jpg
- i####.v89.com/group1/M07/00/00/rBIy0lutgbaAetnAAAD0vj3kEP4480_640*640.jpg
- i####.v89.com/group1/M07/00/00/rBIy0lutlHSAHTXOAADewhOz3r4394_640*640.jpg
- i####.v89.com/group1/M08/00/00/rBIy0lu6t_uARxLOAADTJS-iYHY305_162*162.png
- i####.v89.com/group1/M08/00/00/rBIy0lutgzKAZMFZAAEGAmDwxC8169_640*640.JPG
- i####.v89.com/group1/M08/00/00/rBIy0lvSY3SAIiWuAACELJ_TODI854_640*300.jpg
- i####.v89.com/group1/M08/00/00/rBIy0lvSeBWAAYPSAABtpNrSMvQ363_600*240.jpg
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async?aid=####
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- app.s####.v89.com/appInvite/getIsInviteFriend
- app.s####.v89.com/community/getCartInfoByGoodsInfo
- app.s####.v89.com/community/getCommunityServicePhone
- app.s####.v89.com/community/getDistributionCommunityList
- app.s####.v89.com/community/getMyStoreOrderCount
- app.s####.v89.com/community/getNewCommodityCategoryList
- app.s####.v89.com/community/getNewCommodityPage
- app.s####.v89.com/community/getVersion
- app.s####.v89.com/community/getWebHomePageMenus
- app.s####.v89.com/community/homePage
- app.s####.v89.com/community/touristLogin
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/Hawk
- /data/data/####/Hawk-journal
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.ydh.wuye.BETA_VALUES.xml
- /data/data/####/com.ydh.wuye_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/db_default_job_manager-journal
- /data/data/####/disk_entries_list_LinJuImagePipelineCacheDefaul...54.xml
- /data/data/####/disk_entries_list_LinJuImagePipelineCacheSmall_...03.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu-675290566.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/-10441855471758659187
- /data/media/####/-1516168681315621134
- /data/media/####/-1601062257-1108068484
- /data/media/####/-1850023988-1190700458
- /data/media/####/-744383834364732069
- /data/media/####/0WnIgnSgg9THUYfOd6D6w43sPAs.-1996389028.tmp
- /data/media/####/0soG_9qrbgacY9F6EKkXHwJpGFc.1322132813.tmp
- /data/media/####/1116542598573509635
- /data/media/####/15600381531547800073
- /data/media/####/17Z_nZ5HlYCXDLsbflIaQoYoeEo.1780672930.tmp
- /data/media/####/1989986458-1271095828
- /data/media/####/19899864581874529506
- /data/media/####/1rTtaleOHmD9MukTOZtpNUyOqDU.-2134595073.tmp
- /data/media/####/2530822791328946579
- /data/media/####/53ef666fbd9fa108abc0c31ebb989645.0.tmp
- /data/media/####/6330584661731112048
- /data/media/####/6c51e71a4b24d8c7a64f02784fca5afd.0.tmp
- /data/media/####/8eef5cd6bf1ff2aaee2f003c3331a3ed.0.tmp
- /data/media/####/8i5a0yK7c9eQdUF0QHoF8bkQ9dg.556035950.tmp
- /data/media/####/A7uzvmEY9KXJWomnWS8WtKU_1EE.-36217261.tmp
- /data/media/####/B_jc2EXaCkQvRR4zBvXYX32JEcs.454224607.tmp
- /data/media/####/Eyja4iYlSDzhNrzd_YsjRthPH6A.-806554896.tmp
- /data/media/####/F33gq361eq-viwldIcHUGMZen8o.1460397270.tmp
- /data/media/####/FgRvGGQUhViu739tZ6eU2vIFGXU.1833864701.tmp
- /data/media/####/MWhuoOLKV7KZPOx_Qv41qfZRog4.-281946343.tmp
- /data/media/####/NMaQl4yK2tzmt5dYosDXBJpI5Fk.1589910077.tmp
- /data/media/####/OVPXK49cVbbZzTuR8QMq0D07zlg.-687482404.tmp
- /data/media/####/QsewiumcOXAqTw2Eucy-OemRJQY.-240993470.tmp
- /data/media/####/SJVy5j2v_ersSe3_jn2Mik9RqFA.238603474.tmp
- /data/media/####/YuJbkk3whra-PGjrc_BJ4duWaHY.1880867242.tmp
- /data/media/####/app.db
- /data/media/####/b8f20ce1ddf8920f569e65b151de3585.0.tmp
- /data/media/####/cOY-2X0oGPXEpXhP9CycmHyBBHM.1980104411.tmp
- /data/media/####/cgfPZiRlt6IlDCtV8I5gENgFzKM.1225958292.tmp
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.ydh.wuye.bin
- /data/media/####/com.ydh.wuye.db
- /data/media/####/d03c9f2f7dd09773a60f2409e097474b.0.tmp
- /data/media/####/ekyO4IDWsoSMlKqdtxl2HJrew_I.2016959409.tmp
- /data/media/####/fe58131298090d7aa26a017e42f1d82b.0.tmp
- /data/media/####/journal.tmp
- /data/media/####/l0UK5lnBZxv3N5FAIGMhETYu6_g.-60155070.tmp
- /data/media/####/mEUEzazJ-RsSyCxG2TAc9CiVAAU.-825551793.tmp
- /data/media/####/n4Cg2G8FDZi-pVNNKbclj0o-rTE.1758642596.tmp
- /data/media/####/o6Uxphc4a3XvY59f_gDUhYZyqGw.1635838748.tmp
- /data/media/####/rdYR_9G6E6WDPWI3DCKtt96b11Q.612645607.tmp
- /data/media/####/rs7mAoK0nWzRsOgC9_9QEronlbc.1573829426.tmp
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
- /data/media/####/trPF06kK0a_yLpEl2TElHAf5zVk.1024533474.tmp
- /data/media/####/yl-UfGQwQktjRYbuaqtbZRKLTsY.-372830923.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.PushService 24194 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.PushService 24194 300 0
Загружает динамические библиотеки:
- Bugly
- getuiext2
- imagepipeline
- libjiagu-675290566
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
