Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) down####.w####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) ipswitc####.fmscach####.ou####.com:80
- TCP(HTTP/1.1) www.w####.com:80
- TCP(HTTP/1.1) xiu.xi####.com.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) dn####.fas####.com:80
- TCP(SSL/3.0) 9ec8524####.bug####.com:443
- TCP(TLS/1.0) 9ec8524####.bug####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- 9ec8524####.bug####.com
- a####.u####.com
- c####.g####.ig####.com
- c-h####.g####.com
- dn####.fas####.com
- down####.w####.com
- l####.tbs.qq.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- w####.xi####.com
- www.w####.com
- x1.xi####.com
- xiu.xi####.com
Запросы HTTP GET:
- dn####.fas####.com/dnionget
- down####.w####.com.####.com/ad/jifenzadannew7/xxh.jpg
- down####.w####.com.####.com/ad/xunbao/xunbao-xxh.jpg
- down####.w####.com.####.com/ad/zhouxingnew/xxh.jpg
- down####.w####.com.####.com/faxian/shouchongxxh.jpg
- ipswitc####.fmscach####.ou####.com/vshow/streamname?get_url=####
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_SLj922
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- www.w####.com/style/wxstyle/release/project/jpxz/banner/ios.jpg
- xiu.xi####.com.####.com/upload/xiu/1/47/qq-wmfoodbnbt_pixel_56.com_18032...
- xiu.xi####.com.####.com/upload/xiu/24/58/qq-snzwintwqn_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/33/44/qq-xfbqkvoypi_pixel_56.com_1807...
- xiu.xi####.com.####.com/upload/xiu/39/86/wx-nvjumtsiuo_pixel_56.com_1812...
- xiu.xi####.com.####.com/upload/xiu/40/8/sj-lcypbffdqk_pixel_56.com_18092...
- xiu.xi####.com.####.com/upload/xiu/41/33/sj-gaimjzrgum_pixel_56.com_1812...
- xiu.xi####.com.####.com/upload/xiu/46/34/sj-edrsahterr_pixel_56.com_1812...
- xiu.xi####.com.####.com/upload/xiu/46/42/bhc31203_pixel_56.com_150620155...
- xiu.xi####.com.####.com/upload/xiu/47/77/qq-zpvxwnkefe_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/48/66/sj-qwdxbmsqnk_pixel_56.com_1812...
- xiu.xi####.com.####.com/upload/xiu/5/76/qq-uwhveopdpe_pixel_56.com_18101...
- xiu.xi####.com.####.com/upload/xiu/53/73/qq-vdlobxohkw_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/64/41/yuxiaomeizi_pixel_56.com_150122...
- xiu.xi####.com.####.com/upload/xiu/64/82/wx-basiuvcxcf_pixel_56.com_1810...
- xiu.xi####.com.####.com/upload/xiu/66/47/xx429583345_pixel_56.com_171022...
- xiu.xi####.com.####.com/upload/xiu/67/36/wx-gqeblwyypz_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/68/82/py1992_pixel_56.com_18050211555...
- xiu.xi####.com.####.com/upload/xiu/7/29/wx-jhzqvzmszd_pixel_56.com_18110...
- xiu.xi####.com.####.com/upload/xiu/7/98/qq-viehxjzhyp_pixel_56.com_16050...
- xiu.xi####.com.####.com/upload/xiu/73/12/vvvv1100_pixel_56.com_171227215...
- xiu.xi####.com.####.com/upload/xiu/76/20/sj-mqfwfjxskm_union_b_171008131...
- xiu.xi####.com.####.com/upload/xiu/78/43/qq-cwjcuruxjw_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/82/14/qq-bdrthbunnp_pixel_56.com_1804...
- xiu.xi####.com.####.com/upload/xiu/82/54/r495029708_pixel_56.com_1411051...
- xiu.xi####.com.####.com/upload/xiu/84/6/qq-ygckccpzhe_pixel_56.com_18060...
- xiu.xi####.com.####.com/upload/xiu/85/72/qq-vsqfhyttyi_pixel_56.com_1807...
- xiu.xi####.com.####.com/upload/xiu/87/0/wx-ixeamaabqi_pixel_56.com_18101...
- xiu.xi####.com.####.com/upload/xiu/88/74/lzg777_union_b_151201110422.jpg
- xiu.xi####.com.####.com/upload/xiu/9/73/maqqqq10_union_b_171006210254_75...
- xiu.xi####.com.####.com/upload/xiu/91/13/wx-yymjxgwzrp_pixel_56.com_1811...
- xiu.xi####.com.####.com/upload/xiu/91/99/wx-simnpptywr_pixel_56.com_1711...
- xiu.xi####.com.####.com/upload/xiu/92/52/qq-viaaqxydhz_pixel_56.com_1812...
- xiu.xi####.com.####.com/upload/xiu/94/1/qq-dhbbeoskcm_pixel_56.com_18012...
- xiu.xi####.com.####.com/upload/xiu/94/37/qq-sschraamjz_pixel_56.com_1810...
- xiu.xi####.com.####.com/upload/xiu/97/3/huaxiaom1_pixel_56.com_170610143...
- xiu.xi####.com.####.com/upload/xiu/97/69/sj-uihlvajnzz_pixel_56.com_1810...
- xiu.xi####.com.####.com/upload/xiu/99/48/qq-fldfcvzmkp_pixel_56.com_1804...
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- l####.tbs.qq.com/ajax?c=####&k=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.w####.com/index.php?action=####&do=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/056ddab1dcfa53bfaf54ddf4134454fba621ab4b9f149b3....0.tmp
- /data/data/####/05d85dd02bce1cebee00d9b91e6545ca4468de3f3139043....0.tmp
- /data/data/####/0da4d1b8f6b84a6170f7eb7332e1f305bb44bfaa131823d....0.tmp
- /data/data/####/11d2e55b0b731ed11f62750d1003b5dde00b8974bf32da1....0.tmp
- /data/data/####/15ea22b7ffc73e546451aecafd4abbb39d28d884f1c23fe....0.tmp
- /data/data/####/16375233e9edb0244dedb0ac71d65aac08b6db385818852....0.tmp
- /data/data/####/1c73ff0f8a1ec00d1a1eb0a1174566602742226284cec24....0.tmp
- /data/data/####/24f07dbccc0889add10df41b9cb848d25ec5bba35722538....0.tmp
- /data/data/####/285213b4b93aed821bc352c69bedf9be409bfdc3412f375....0.tmp
- /data/data/####/28e07b9281a31ebc7077e386f05042cb55881fea249e6e5....0.tmp
- /data/data/####/28ed5318855f8cdbe0baab6516c21ff312c48e2f07697eb....0.tmp
- /data/data/####/2af7fbe4b1d351cbc1462a8eadbe9464ba3e1e50d8383ec....0.tmp
- /data/data/####/36cf0a9f4a55e3ae2242eb8dc981eff795641973c6f3492....0.tmp
- /data/data/####/3857ff17c9955f69a9a9edb89a5a695e52d2acaf73f5b3c....0.tmp
- /data/data/####/508461df49c375288fc3f737dccfeb66fceb1eb386c32cd....0.tmp
- /data/data/####/51bedbd4990ee156b6f48c5077bff33683a86a99d9cbac2....0.tmp
- /data/data/####/5873a930b75b66e56b6eb6590b0ea939337d942c936f6f7....0.tmp
- /data/data/####/58f7ad0f4ec093093cbe7fe2a89af06cb5aca91f02d8a35....0.tmp
- /data/data/####/684b8d2dd3900b706bd366829d762350917f005c8814473....0.tmp
- /data/data/####/6a64606ed36b8809a96271f5ff0f70e0295beaf15e69402....0.tmp
- /data/data/####/6cc89a7051ecd5669a0224a1a7250bf86b8a3c9604cabd7....0.tmp
- /data/data/####/6de3b406c0316ba5e6e3d9f52515004f5c86482684b8621....0.tmp
- /data/data/####/78b96d7ebd3bccbd3428490f471c7cc3d32ce80e82be15d....0.tmp
- /data/data/####/835619d24e417b8a0f2ee89c11da564ec816b3a2d3f1dcc....0.tmp
- /data/data/####/84d84aa02bf5db489779c686bfdb4dbed7b4ed90fe8bf21....0.tmp
- /data/data/####/8f86655ea4058a1d29b8876fb131ef4a83aa2e565f31657....0.tmp
- /data/data/####/91c2d2245d32f6b412c42aca799d44dd52b869a840bd54c....0.tmp
- /data/data/####/942c7f12d462d94143de215f271be49913da54c8cef8e3a....0.tmp
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/a1e6416e7c922e0aae26ca5ece3b55acb5a42c865c9621c....0.tmp
- /data/data/####/a47d59b27891e4472e903fde77cfec8f46903fcda84fe0e....0.tmp
- /data/data/####/a90639211d1a341ac566044cd564b7bc70e71248fb87d4f....0.tmp
- /data/data/####/ae41213d1a261f686626545c8529e0e64f5fedc5d799e9b....0.tmp
- /data/data/####/b20ea04859bbb1cf992d7df4fdf25e6c3750d376ce61a10....0.tmp
- /data/data/####/b5ecb910c9eacc2f2ed1530bb80e9a5cd91c7fbb38cff22....0.tmp
- /data/data/####/bc77bac36583461fbb4f577e9808ef5e7f51bb9f65ec624....0.tmp
- /data/data/####/c237b63db69717b2787a89327756aa6bad877dc77e294ec....0.tmp
- /data/data/####/c2e1b34b040a948cb439364c8b2c51b869d09de9c7b0715....0.tmp
- /data/data/####/cbd9e115cee3c4a4dab5b28208dadbc0e4dcfd762be3d35....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ce88655c2e58e5666119195bb78c052ccdd9a7149986ffb....0.tmp
- /data/data/####/core_info
- /data/data/####/d1fa97d8eeccc8766eafc5027ab2413c77a8c6616ad546b....0.tmp
- /data/data/####/d6c60edf351dd21f2e8fc8114f5f86061fbf6b1ab9826cf....0.tmp
- /data/data/####/d71515b234453f9f3f431ad41106e04df909cda94f0b9ec....0.tmp
- /data/data/####/d8c47d20778ae8c2e72694a81db7fe95157d6198a1b8d70....0.tmp
- /data/data/####/db9a94a652161f5f0cdaa574c582b63fdcb03c6ed49942f....0.tmp
- /data/data/####/de1781d2a6d38ef2901d968b51787d8c3a4ff0356029591....0.tmp
- /data/data/####/e8e82c2b5e7bcd56771da6d9e29efd27b2b833c78b3ddd2....0.tmp
- /data/data/####/e935682e3167572c60a056e871eb4fb9eefc70d408dd5cb....0.tmp
- /data/data/####/ef0fa7f06bb87d12139c8ad37cdefcf3a824afa36e36df6....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f5615f340d1a82bb94073df0a4c940f78e6b346ba3b7b19....0.tmp
- /data/data/####/f8e9948e1bce183ad667287c373514f4ac9c242aa42b1fb....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu616568235.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_SLj922
- /data/data/####/tdata_SLj922.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.wole56.ishow.bin
- /data/media/####/com.wole56.ishow.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_SLj922
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop ro.product.cpu.abi
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
Загружает динамические библиотеки:
- Bugtags
- getuiext2
- libjiagu616568235
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
