Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pub-####.qin####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(TLS/1.0) ti####.b####.com:443
- TCP(TLS/1.0) idv####.qini####.com:443
- TCP(TLS/1.0) www.dia####.com:443
- TCP c####.g####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.dia####.com
- log.u####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- thi####.q####.cn
- ti####.b####.com
- www.dia####.com
- wx.q####.cn
Запросы HTTP GET:
- et2-na6####.wagbr####.ali####.####.com/bar/get/5a4ccb1d8f4a9d0b4a0003ea/...
- idv####.qini####.com/comments/201803271732191473351383.png
- idv####.qini####.com/comments/201803271732191775202248.png
- idv####.qini####.com/comments/20180402144049-689318328.png
- idv####.qini####.com/comments/201804021440491481947145.png
- idv####.qini####.com/comments/201804021440491755382015.png
- idv####.qini####.com/comments/20180402144655-1029178291.png
- idv####.qini####.com/comments/201804021446552081045257.png
- idv####.qini####.com/comments/20180402155917-1786238974.png
- idv####.qini####.com/comments/20180402155917-2044120913.png
- idv####.qini####.com/comments/20180402155917-2130938124.png
- idv####.qini####.com/comments/20180402155917-990181800.png
- idv####.qini####.com/comments/201804021559171416685686.png
- idv####.qini####.com/comments/20180611120523-1040734522.png
- idv####.qini####.com/comments/20180611120523-480563701.png
- idv####.qini####.com/comments/20180611120523272312400.png
- idv####.qini####.com/comments/20180611122145-1524515579.png
- idv####.qini####.com/comments/20180611122145-1947226842.png
- idv####.qini####.com/comments/20180611122145-534627293.png
- idv####.qini####.com/comments/20181128140801-515021924.png
- pub-####.qin####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_nxn539
- thi####.q####.cn/mmopen/vi_32/DYAIOgq83eqILqZ9ShzZicMVPZB7WNqxGdJrQgoia6...
- thi####.q####.cn/mmopen/vi_32/DYAIOgq83eqhcWBPdEhISE5wGriaz4kOXUvD3Ic4sS...
- thi####.q####.cn/mmopen/vi_32/OqQ7fxKH95Dv7UmNSib3iaIXerkVgAG98iaRNBAibX...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTIjUDIRQ0gRicqq9bEj3JjcGq5oSEgSrd...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTJ0K4Ea95u4meQKUxeGLls2e24mLeE5zO...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTJvxTO5l5tNHaicVWyhAZCYbJtNzsiaDP...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTJwDbXQHtDHmNd7RVGzAew5ODMwbaia28...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTKWFom0HvwlCdUibMeCSAe9M3Rm2ExAsm...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTKicT2BO0Y6urMsET9mDFrwChsWONY79o...
- thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTLRicfDOU3aibyjiae22UibsXLUF6UaDW...
- thi####.q####.cn/mmopen/vi_32/UEcjia0x8H9Wmp2aap7Z09NWkLJrKAxxAbiciakDh2...
- thi####.q####.cn/mmopen/vi_32/aASBQoxCmhUbDOsH6F1Isxiaae3fyOia9aoZh9jwbO...
- thi####.q####.cn/mmopen/vi_32/h05yQwCUib8bU0iaNYksIGgPdciaPicSex1XDxx3JI...
- thi####.q####.cn/mmopen/vi_32/ohDdvzhycYXiaVIOcOjCJwbf01cm0jIs9TnfMcn0TJ...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/032acd60550b0ebbfdc92be1bcf451b3ebb878fd275e030....0.tmp
- /data/data/####/0b9e7cf741295d5ed4e26dfed57b564e3310648fb597ac5....0.tmp
- /data/data/####/11862f3bae34629b133cf2237d0f9471a11147e4c855ad0....0.tmp
- /data/data/####/1ae30236150d158dd257a5c9574b3dd989969a96a27001c....0.tmp
- /data/data/####/213c0b2e0d78b70552e1677451b6e8c6c78fd9907a3a044....0.tmp
- /data/data/####/27c2b10526b274c6ea89fdc2381569681b0961890101285....0.tmp
- /data/data/####/289ca9a28cee8d0c18ee1b8855f85ee7f97ade038c2fc79....0.tmp
- /data/data/####/29b63cd18321617ded3dfe7aa931db0f3d24a07cc5759c2....0.tmp
- /data/data/####/2a0ed655b9f42fa69eda89d50c62a96b65090fcdf92e54b....0.tmp
- /data/data/####/300f41eaa565e21d22aa4204540d5e5aca1c972da37c2ec....0.tmp
- /data/data/####/315c2e5bde7d7df08e56421d92c8f463fad5e773f82b04f....0.tmp
- /data/data/####/377a7144c00998f9f046cca937278aa09497be968c40347....0.tmp
- /data/data/####/39582d6723517b2f748933b2cf0aa730f898aeb16bab329....0.tmp
- /data/data/####/3f72df11ce1a3a61cbd3de775c2e86ea28046dbb443ce7b....0.tmp
- /data/data/####/500a74ea4adf9992266c16d813a422862498bc4b20f5f01....0.tmp
- /data/data/####/5290fca330acad2dcb5f7baba061f654750e95fdbf31225....0.tmp
- /data/data/####/5a4c36c7bbf27ff4418afc8ed8869f2402d3a7a382cf705....0.tmp
- /data/data/####/631c17cc4fbf8f485426d2fafecef21771e8ee489dfbac6....0.tmp
- /data/data/####/647cd51ba2184a4c8944170fbd1b699fabdcf0e27ac3137....0.tmp
- /data/data/####/6ff0595d0b1da15cb76950793e8fd4a5a21aaebb10958cc....0.tmp
- /data/data/####/70ba23e55b72564693ecd711e48fa60e6fe8adff3d6a90c....0.tmp
- /data/data/####/736af15a15a3419163c78e096f85efe5a2bfb7aefdb970f....0.tmp
- /data/data/####/737b9338ffddf5927b4acf2feeba3c1217de1f5d1f113e2....0.tmp
- /data/data/####/77ed5655fff97f5f71309026335bb2d41801d75c954f082....0.tmp
- /data/data/####/7a2b873b80ab6359871c44ad9fedb7c6ec289b04bd1631e....0.tmp
- /data/data/####/7b4aeb18874a91894b44f43de6bef25fda6342e604c14e9....0.tmp
- /data/data/####/7b9aed0b04b3a58d9fd64296c140eec787ce40bec2a0e10....0.tmp
- /data/data/####/7d9a0dfcb902
- /data/data/####/83581e06567217d6e63a920af811515ed5b741ca49b5c4c....0.tmp
- /data/data/####/8731d1ece16219e097ae490b064c2080649ea410a0ba727....0.tmp
- /data/data/####/8833db8c6ae04385523c6b59ef9bd2284439b4afe0cc2df....0.tmp
- /data/data/####/88b4852b2e7bd02b81ead4542589227580e5f55a3767c53....0.tmp
- /data/data/####/91049fac78c650677af0fecd4106c29622ad5a97765397c....0.tmp
- /data/data/####/9c42e6d9699822c32231a3d4fd7cc1c84c393e418f5fb45....0.tmp
- /data/data/####/9cfc9f55dd9710ad5e12df036a143983342aa0e56133b33....0.tmp
- /data/data/####/9f248e430a017185682548a6c2ea6a1745c24924f4ec4ee....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/ae115148b66e7451dddd869a59cbb79891968db011ffdc3....0.tmp
- /data/data/####/b955abdeb3402f2b5ccdf76e88de933c0199c850a435ae9....0.tmp
- /data/data/####/be973b67f8d15651a74ef1dedf1e4ac1aeafa7cab92df3e....0.tmp
- /data/data/####/c042c7a32d5121ccab7de685d0e299c46224f0f260866d2....0.tmp
- /data/data/####/c5b7a02b893e4fd9139a108e5f681c9a04bfe4ba6bb1573....0.tmp
- /data/data/####/c65ea951ba679a174de34314f0167dc6af2796e22e5d66c....0.tmp
- /data/data/####/cadaf64e18a81ebb2dbaae7fdbd02b9131bdaba336b33ad....0.tmp
- /data/data/####/e051d4b4ce81dd3edcb504dd0133281d41bf219e9e49507....0.tmp
- /data/data/####/e2a27e5ddb0cf15e726d1cfdf1a985f7c572b140e443542....0.tmp
- /data/data/####/e5662d1bd523d386be8fdee6d0209e54159ab0c6605332e....0.tmp
- /data/data/####/e8ec353cd748a0667b224767377c0c4a8eaaac473e6d074....0.tmp
- /data/data/####/f0257207b523f584f359e6c611838c104cbe0c50a805c27....0.tmp
- /data/data/####/f29cb933e13190db5aff0d2053cfab277f583c749a46e18....0.tmp
- /data/data/####/f3fb73425710ce9c8cd9fcb1db4e19d66d97eb2e4cc26c1....0.tmp
- /data/data/####/fa7a8ff2c0df4efcb0ca33a6c69ed2053dd3f153ebb8806....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1476717575.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/share_data.xml
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_nxn539
- /data/data/####/tdata_nxn539.jar
- /data/data/####/umeng_socialize.xml
- /data/media/####/app.db
- /data/media/####/com.example.administrator.sharebag.bin
- /data/media/####/com.example.administrator.sharebag.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_nxn539
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.server.PushService 26443 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu1476717575.so
- mount
Загружает динамические библиотеки:
- getuiext2
- libjiagu1476717575
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
