Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) valiu####.c####.qini####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) q####.q####.cn:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) pub-####.qin####.com:80
- UDP(NTP) n####.al####.com:123
- TCP(TLS/1.0) 2####.58.212.174:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) conte####.chao####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.b####.qq.com
- and####.cli####.go####.com
- c####.g####.ig####.com
- c-h####.g####.com
- conte####.chao####.com
- gxv####.chao####.com
- log.u####.com
- n####.al####.com
- plb####.u####.com
- pub-####.qin####.com
- q####.q####.cn
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
Запросы HTTP GET:
- pub-####.qin####.com/tdata_EDT356
- q####.q####.cn/qzapp/101378925/1E69459C1893708C70110453820E6547/100
- q####.q####.cn/qzapp/101378925/3D7D4D1B9D660990F58E42EC3DC2C121/100
- q####.q####.cn/qzapp/101378925/8103D6D5FAFACB64752652F0600BDE3B/100
- q####.q####.cn/qzapp/101378925/ABADE63276285966ECCB7FF46F2DD3C2/100
- q####.q####.cn/qzapp/101378925/AF0FEEA0B6DC1CBA7F1536936893387F/100
- q####.q####.cn/qzapp/101378925/AFBED9F503B7D21FE239DF8EE8E05A9F/100
- t####.c####.q####.####.com/tdata_bca864
- t####.c####.q####.####.com/tdata_ynp969
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- valiu####.c####.qini####.com/test/videos/doupi/reco/134266/0?vframe/####
- valiu####.c####.qini####.com/test/videos/doupi/videos/350719/0?vframe/####
- valiu####.c####.qini####.com/test/videos/netease/jokes/VO2QBDBQ8/0?vfram...
- valiu####.c####.qini####.com/test/videos/netease/jokes/VOSDRMBJT/0?vfram...
- valiu####.c####.qini####.com/test/videos/netease/jokes/VOSDRMDM8/0?vfram...
- valiu####.c####.qini####.com/test/videos/weibo/5910917799/43207292121360...
- valiu####.c####.qini####.com/test/videos/weibo/5910917799/43207554305056...
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/11ff983f0a0a
- /data/data/####/1b86c4abe57982312bd1914c626d5c2982cbe0b9c7259a0....0.tmp
- /data/data/####/2a7648ccae370e72f447300b83c2828df427fdf59146fb6....0.tmp
- /data/data/####/3a5126ee9f589e66a9af8177a6be826e8d04fdc3d8ff7e6....0.tmp
- /data/data/####/452af5d43fc4abf4b216718e14234a7c07c8514ba7215ac....0.tmp
- /data/data/####/4be9c836d2224ef070727405fa8e2a1b4a2a06303b2e475....0.tmp
- /data/data/####/6330fec96f8efe6ed0ac56d2532ad6f8bcf6671d4510a75....0.tmp
- /data/data/####/6529211d5e96182f918f3195e76059a41f83d3b00c85d4a....0.tmp
- /data/data/####/68ec57d1bda4faebd96fe9152ed465918e9dcb01e5354bb....0.tmp
- /data/data/####/778ffaa553afe66e17ba7c1efb2ea0c1974315011fd9876....0.tmp
- /data/data/####/7f6ab0d57d702ea765224cccdb57c9e27e76c6f9c000607....0.tmp
- /data/data/####/8141293893159767556843cdade1820f9402ab27dd22392....0.tmp
- /data/data/####/86fd092ca318f6c6a2871c17b65cb48ce8b11a99677f101....0.tmp
- /data/data/####/880d73216055d1e98dd4365958e1e6d5a4b48dc938f758b....0.tmp
- /data/data/####/8bb8f31704896eaaafd57016eff478c54edf80ffc2d886a....0.tmp
- /data/data/####/920c1e14dab17f46904f4b2317085800ca8b4d4f7e9a5ec....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a247b534cb23cde40426ed66f7d73284d748217a5a4fffc....0.tmp
- /data/data/####/a9a4d01e4217cbc6bdd8df26ac400a95219a953cfbfa6c9....0.tmp
- /data/data/####/a==7.5.4&&1.0.0_1546273324445_envelope.log
- /data/data/####/ac11f67d438d5833ae61e1092c8d7a53c4ad7513590936b....0.tmp
- /data/data/####/be1cd2d4a18ad862eee4f2c08220e6f403462e62c56344f....0.tmp
- /data/data/####/bf2d297592080c9862efa0b0e4f66e3d23b820f8fc2b3e3....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c202f03bc3bfad771e035748c70e57ba35c0dcb750d4b9d....0.tmp
- /data/data/####/crashrecord.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ2MjczMzIzODQw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ2MjczMzQxOTQw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ2MjczMzYxNjky;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ2MjczMzgyMTk5;
- /data/data/####/dW1weF9zaGFyZV8xNTQ2MjczMzI3Mjkw;
- /data/data/####/dW1weF9zaGFyZV8xNTQ2MjczMzI4OTgx;
- /data/data/####/e36822935e7c639d85cfcbfd77296928abf5e9c94284597....0.tmp
- /data/data/####/ed1e9c3523ea3309ff9fd647203baa10b050728d422ae18....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f95fc7e2c68e2ad3a2a46f37cb017de2304c4bbb9b28c5f....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/i==1.2.0&&1.0.0_1546273323883_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1546273341980_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1546273361704_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1546273382205_envelope.log
- /data/data/####/info.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1626942992.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share.db-journal
- /data/data/####/tdata_bca864
- /data/data/####/tdata_bca864.jar
- /data/data/####/tdata_ynp969
- /data/data/####/tdata_ynp969.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/app.db
- /data/media/####/com.bubble.witty.bin
- /data/media/####/com.bubble.witty.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/sysid.dat
- /data/media/####/tdata_bca864
- /data/media/####/tdata_ynp969
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24608 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop
- ls /
- ls /sys/class/thermal
- mount
Загружает динамические библиотеки:
- Bugly
- c++_shared
- getuiext3
- libjiagu-1626942992
- mmkv
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
