Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) img.vid####.net:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) go.p####.net:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) www.daod####.com:80
- TCP(HTTP/1.1) app.jcpe####.com:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) www.daod####.com:443
- TCP(TLS/1.0) im####.jcpe####.com:443
- TCP(TLS/1.0) 1####.217.19.206:443
- TCP(TLS/1.0) as####.growi####.com.####.net:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP(TLS/1.0) pl####.p####.net.####.com:443
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- a####.man.aliy####.com
- and####.b####.qq.com
- api.growi####.com
- app.jcpe####.com
- as####.growi####.com
- c####.g####.ig####.com
- c-h####.g####.com
- go.p####.net
- im####.jcpe####.com
- img.vid####.net
- m.d####.mob.com
- pl####.p####.net
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- t.growi####.com
- www.daod####.com
Запросы HTTP GET:
- app.jcpe####.com/faultCode/versionCode.aspx?app_type=####
- go.p####.net/admin/printjson.php?vid=####
- img.vid####.net/uimage/e/ee5fd62b6f/9/ee5fd62b6fcd347e22a626ee3042aae9_0...
- m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iGj879
- www.daod####.com/Coin/GetThisWeekSignInList?learnerid=####&token=####
- www.daod####.com/article/GetArticleList?cateid=####&pagesize=####&token=...
- www.daod####.com/course/GetClassDetail?classid=####&learnerid=####&token...
- www.daod####.com/course/GetClassInfo?classid=####&token=####
- www.daod####.com/course/GetClassList?classid=####&learnerid=####&classty...
- www.daod####.com/course/GetOtherClass?classid=####&learnerid=####&token=...
- www.daod####.com/course/classinfopage?pagesize=####&type=####&token=####
- www.daod####.com/home/indexbanner?typeid=####&token=####
- www.daod####.com/home/indexcategory?parentid=####&token=####
- www.daod####.com/home/indexfree?pagesize=####&pageindex=####&token=####
- www.daod####.com/home/indexjob?pagesize=####&pageindex=####&token=####
- www.daod####.com/home/indexlive?time=####&token=####
- www.daod####.com/home/indextech?pagesize=####&cateid=####&token=####
- www.daod####.com/home/indextech?pagesize=####&token=####
- www.daod####.com/org/GetOrgClass?orgid=####&pageindex=####&pagesize=####...
- www.daod####.com/org/GetOrgInfo?orgid=####&token=####
- www.daod####.com/org/GetOrgRecomandClass?orgid=####&token=####
- www.daod####.com/org/GetRelativeArticle?orgid=####&token=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- and####.b####.qq.com/rqd/async?aid=####
- app.jcpe####.com/app_client_api_v2/app_useStat?
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/0250f99c9d45527cf450cafcfc84aa204cb54c923c5b292....0.tmp
- /data/data/####/09cbe9f878f6984549cb6fe843207940d93bf1306541282....0.tmp
- /data/data/####/0c32d1610e6a67e1ff1b5b1c61d7b637b9e495b23257a3a....0.tmp
- /data/data/####/1004
- /data/data/####/102bb348412d3d37472a0e61504ddd27aed0246da355791....0.tmp
- /data/data/####/1de1c0186d798d0a4fe1896d26dd3458c3718d338c4a658....0.tmp
- /data/data/####/2b1af733a703c15a8eabaedf6e5da47172a89c049b6b7e3....0.tmp
- /data/data/####/2e88c5dc47d3df09184c9013134945d2f95b0f81ccad482....0.tmp
- /data/data/####/33e1b1cb52dd22629f8f4a867ac59dadb632e4c981aa4aa....0.tmp
- /data/data/####/37f1d761db62ce4f6f34676a5065a23f2927a14d5641cbe....0.tmp
- /data/data/####/3b2661006f5a04fb8fdf5c2ae8262cdc8567b9763e277e6....0.tmp
- /data/data/####/3c09b1fbb758e008bd9f4dfc312e619f4e8ef8dfe52c61f....0.tmp
- /data/data/####/3cda652b2106b69c4d1678a5561137e27575c4751d69595....0.tmp
- /data/data/####/3fe82c7cee6f82833e5365a880f419a5210073bc5849b5e....0.tmp
- /data/data/####/4acbd3776880f8994affe7adc8ec03752f40585ed60421a....0.tmp
- /data/data/####/53f56b93e5b6939aad4e355fd9f0ca4935d3e5cfb2661cc....0.tmp
- /data/data/####/5e7fac8a1806b93e14719c03ed1a1a82e05b37dda41713f....0.tmp
- /data/data/####/60a3d22c4348986899ee712f2a8daf04f577a4f212d2d67....0.tmp
- /data/data/####/651b8134015952a04fe4a231e5c1b27be31dea635b53daf....0.tmp
- /data/data/####/7a1333717b894c5d8b583f1c8e1ed8bc981b3678884bae4....0.tmp
- /data/data/####/7e47f6474152fc5b8df41ad7bd2fa32cf0620fe44c43fef....0.tmp
- /data/data/####/8132c3992c01a4f206132d6238da7bb0bf13b3f0e3cfc34....0.tmp
- /data/data/####/8202fb909af97daa29467595af8c0401a698e1a985aea8f....0.tmp
- /data/data/####/8dce451ddb4ebfc79b55a25319dd01c4d030a6524c20072....0.tmp
- /data/data/####/9aa24cf0ebe627943cb6a9d7a3c33dde0fab1c9780b0903....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1545127850616
- /data/data/####/a0383e522540ef3c98b591563b8a0cb9dcb8aada29658c0....0.tmp
- /data/data/####/a27554a0abf677e08c3a74d030d0113fe503ac2475229eb....0.tmp
- /data/data/####/a4e676a50d50b30b4e6aaa24415f4b2e635432db279e615....0.tmp
- /data/data/####/ada453837628761994438b13584092bd542b9f83854dd4f....0.tmp
- /data/data/####/b0503a3ee5fad0d8198100c12c24aa14caa9a387626bb37....0.tmp
- /data/data/####/b52a02e0f87e7108a406d18e1aecc7abe64688054122265....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/bdf4cd677f2fd929584888f4479c5e63f6d30380dd47ba7....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c955083ad431bab432f578149d666aeb5cfeb912eb85e4d....0.tmp
- /data/data/####/com.jicheng.daodao;pushservice.growing.db
- /data/data/####/com.jicheng.daodao;pushservice.growing.db-journal
- /data/data/####/config.xml
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/db64f20f693dcf30cc6f3aae260339bc53f8a48d5a08aa2....0.tmp
- /data/data/####/e400457b59aaab68b5e6ef6061ab78d6e3b9ce526327f82....0.tmp
- /data/data/####/e818b8ac395b4f39a2b955688d89d2da59b9508dcfa44c9....0.tmp
- /data/data/####/e880a24474e2531362fd9177e5200a880f0ed28c1e37922....0.tmp
- /data/data/####/ebe048023b32c3f10fa64f0e1e3c1f473f49304a6890a90....0.tmp
- /data/data/####/eda320fa1646a811762f7f520c3710839da4653dbe1b53c....0.tmp
- /data/data/####/f_000001
- /data/data/####/fdc8735114d732e77830f6b7f0d6e4fbcbb3055c2dcfae7....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/global_version.xml
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_ecsid.xml
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growingio_diagnose.xml
- /data/data/####/growingio_diagnose.xml.bak
- /data/data/####/gx_sp.xml
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/httpdns_config_cache.xml.bak (deleted)
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-787932831.so
- /data/data/####/local_crash_lock
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/multidex.version.xml
- /data/data/####/polyv_sdk_video.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iGj879
- /data/data/####/tdata_iGj879.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1125440455
- /data/media/####/-1352822139
- /data/media/####/-1418100858
- /data/media/####/-1740871602
- /data/media/####/-1908465657
- /data/media/####/-261428641
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nomedia
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/.timestamp
- /data/media/####/1141225964
- /data/media/####/1286638516
- /data/media/####/142016723
- /data/media/####/1801590603
- /data/media/####/1814174163.tmp
- /data/media/####/356315224
- /data/media/####/376758525
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.jicheng.daodao.bin
- /data/media/####/com.jicheng.daodao.db
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iGj879
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24755 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- sh
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24755 300 0
Загружает динамические библиотеки:
- Bugly
- crash_analysis
- getuiext2
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu-787932831
- ndkbitmap
- neh
- polyvModule
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
