Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) img.newairc####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) oss.newairc####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) h5.newairc####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) oss.newairc####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a.appj####.com
- c####.g####.ig####.com
- c-h####.g####.com
- d####.opensp####.cn
- h####.opensp####.cn
- h5.newairc####.com
- img.newairc####.com
- oss.newairc####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- h####.opensp####.cn/launchconfig?t=####&p=YWJhb####
- h5.newairc####.com/api/getArticles?sid=####&cid=####&lastFileID=####&row...
- h5.newairc####.com/api/getColumns?sid=####&cid=####
- h5.newairc####.com/api/getConfig?sid=####
- img.newairc####.com/zgshb/pic/201802/02/afbe64ca-fc8f-483a-a19f-2cdabf30...
- oss.newairc####.com/xy/att/201611/03/d77af881-811c-4351-ac48-e5dbcf7717d...
- oss.newairc####.com/zgshb/pic/201612/09/5e6df6ce-d326-424c-bfa8-90c9f39b...
- oss.newairc####.com/zgshb/pic/201612/09/dde2c201-9f54-47cc-b971-e83ffe95...
- oss.newairc####.com/zgshb/pic/201612/13/ce47a45d-30ea-4d86-9c0d-ebcbd80f...
- oss.newairc####.com/zgshb/pic/201612/20/2f971680-fbb5-4ac3-ab38-ba556ebc...
- t####.c####.q####.####.com/tdata_SzD730
- t####.c####.q####.####.com/tdata_ZCi456
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1312716470
- /data/data/####/-1383998695
- /data/data/####/-1383998697
- /data/data/####/-1383998698
- /data/data/####/-1383998702
- /data/data/####/-1383998724
- /data/data/####/-1383998725
- /data/data/####/-1383998726
- /data/data/####/-221336907
- /data/data/####/-4198258
- /data/data/####/-66237872
- /data/data/####/-903772661
- /data/data/####/-934792468
- /data/data/####/-965812275
- /data/data/####/-97257679
- /data/data/####/.jg.ic
- /data/data/####/1389023919
- /data/data/####/1686290081
- /data/data/####/1695857311
- /data/data/####/1753447940
- /data/data/####/2014178409
- /data/data/####/386967948
- /data/data/####/492116671
- /data/data/####/722524198
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/base.css
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/columnId.xml
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/core_info
- /data/data/####/db_founder0-journal
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/gdaemon_20161017
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/gx_sp.xml
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.founder.shihuabao.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libjiagu.so
- /data/data/####/loading.png
- /data/data/####/mobclick_agent_cached_com.founder.shihuabao20
- /data/data/####/news_detail.html
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_SzD730
- /data/data/####/tdata_SzD730.jar
- /data/data/####/tdata_ZCi456
- /data/data/####/tdata_ZCi456.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/video.png
- /data/media/####/03856f1a84347af923c148b87f8fdc8dbae91e2ea80d4e....0.tmp
- /data/media/####/05f5f4bb489e2b56a3bbbde0f110b628201ab03f66926c....0.tmp
- /data/media/####/09a20268014e1d669d66ab850ed0d2ee5954379c76b72c....0.tmp
- /data/media/####/113a6da2fb1f68b0e1b1abeed34abf1bc6d650ff9f38ec....0.tmp
- /data/media/####/2cb1d981c74cf84abc93f7007579b9aea8cf9d55d73ee4....0.tmp
- /data/media/####/2e19e0ee56cb5e4a9157328425d73aef6751b32eeb89f0....0.tmp
- /data/media/####/328419a7411a22b32551a2af2409d6eb38dc2d20c81021....0.tmp
- /data/media/####/397552d949a040c3aa5c2a7402fc95770a54871ca8f729....0.tmp
- /data/media/####/3beb90aeb2b46e004da944646e93dc4f9dcae92c640133....0.tmp
- /data/media/####/3c6270eb162a9a9f1ab7409e27b92bded8ddc1980d32da....0.tmp
- /data/media/####/3d02f49191ec0f4d01bc18683fbb538353d83ea0c71b23....0.tmp
- /data/media/####/44c0d2c159f03dc3a92af0f27424cf3b153a4ad0a3746e....0.tmp
- /data/media/####/464e1f467ab504b388f4bb4c72617d402b86d9b9207d55....0.tmp
- /data/media/####/48d73ee000b9483de19a12a007d24bf10fdf37257645f6....0.tmp
- /data/media/####/49a11066c86220894fa875a8a9efa480f834e8b695e131....0.tmp
- /data/media/####/4f0c8d994196d3f8771240320d88bda9d398d66f89328d....0.tmp
- /data/media/####/55b351626a0c48cfa884df4ff50e00435a132bbe3acca8....0.tmp
- /data/media/####/56976f5c7e9f375ae481728ed7b3bc53e27d1d99efc8fe....0.tmp
- /data/media/####/5750cc79d5c00b856cda2e4161c858cd1f50e8d8f9f9e8....0.tmp
- /data/media/####/601c8d2ec601f5d4ae2e0281d967320681e74a93510522....0.tmp
- /data/media/####/6331bc18f775d102c067be760bb47dcc27d56a2d444b10....0.tmp
- /data/media/####/6416347bd036f5ad374577c03413aa94c73202d05980ea....0.tmp
- /data/media/####/64e20ae3f0a619cc486b812a7dd68c42e9d666b26f2e12....0.tmp
- /data/media/####/66bbceca6203b8f828bdaf27131d59a068ac585bdde5a1....0.tmp
- /data/media/####/6d0c860d00fae262bb719a3a34b14630dc9f51da0850d4....0.tmp
- /data/media/####/70738393b774db31910be7a89ff847089b537151a91423....0.tmp
- /data/media/####/78a40a784d7da68c87ee125809a750a46374d2dba8ee5a....0.tmp
- /data/media/####/87c904d2c3700ef1d229e46744313e13e8609ae5b46c71....0.tmp
- /data/media/####/9a214c089b8ba29a814574df85a75cb479ab1110998f53....0.tmp
- /data/media/####/a49324bbb301f66f2045f372978f1d5183ef161fd29768....0.tmp
- /data/media/####/ace2f0419400e166b96d7b4a8e7a56e5e97a62fbb35366....0.tmp
- /data/media/####/ad922f9e493a5e6f9d6c270bafa90f97fcbc57d9d758e8....0.tmp
- /data/media/####/app.db
- /data/media/####/b64e961312785e23b6d2b1495de41f2b889155623fce1a....0.tmp
- /data/media/####/bb1bfc363a84ddb58a8363cbadf072e0b9428502b77a67....0.tmp
- /data/media/####/c7e0f5a55b15a8be98170da341e056b60670213849228e....0.tmp
- /data/media/####/ce34355ddcd1d0940e971d81b32d0ba3273394097b9855....0.tmp
- /data/media/####/com.founder.shihuabao.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/d8e8db4df09a4644646e3037b041b3128a338b47e4a104....0.tmp
- /data/media/####/e0b287ee1b23c51649a336ee37cb781b17b8118601abe3....0.tmp
- /data/media/####/e2f30577cd4ce70bef84ca24e190a3a76d39797e7444b9....0.tmp
- /data/media/####/e54a9c0937622c2a1ded3583ec08f5e66fd350c455d551....0.tmp
- /data/media/####/e65b06f1248d23a28366eb97818180118a3c6e923955b5....0.tmp
- /data/media/####/ebb043f616ecc05d9db782943fb0e3e08da9e9b32c7217....0.tmp
- /data/media/####/eead44b2b6983dabadfe0242b22912ef878b5b8acd04d7....0.tmp
- /data/media/####/f50553c48767e1981a92908e990da71faafbcc3f43faf6....0.tmp
- /data/media/####/iflyworkdir_test
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
- /data/media/####/tdata_SzD730
- /data/media/####/tdata_ZCi456
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25114 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25114 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
