Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) 3dm####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 3dm####.com
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.3dm####.com
- log.u####.com
- o8pco####.bkt.clo####.com
- pub-####.qin####.com
- s####.u####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- 3dm####.com/service/getcategory
- idv####.qini####.com/271670c0d6004855af1f82b776bb832b
- idv####.qini####.com/473b4086deae41aa988c87ece459ce73
- idv####.qini####.com/8dd5665e541c40c7a65cc2a59e74986f
- idv####.qini####.com/af38bd7092b044bcb8441c6c9406e212
- idv####.qini####.com/ca53360ef02a460391a06c8eab0056a2
- idv####.qini####.com/tdata_EDT369
- t####.c####.q####.####.com/09d66edc383f42ec94a27eaa8f6cbee6
- t####.c####.q####.####.com/1a2824a2d9294cdbb59d0873bdc07bcd
- t####.c####.q####.####.com/1bf0f4aff44746b5b8f8ff16f6427e6a
- t####.c####.q####.####.com/2e3ae8fa97ea491199ec94c0e41a3971
- t####.c####.q####.####.com/49b779fea7b6483684b188b5fac37383
- t####.c####.q####.####.com/4fda5d41b50842b5aa04599760a70f64
- t####.c####.q####.####.com/5c45488f1d254c0d8d44d5406c60789c
- t####.c####.q####.####.com/6fc1ab9711eb45f2a55bd60437f2020d
- t####.c####.q####.####.com/9c4e2e86cf944f709faad9b267918d3f
- t####.c####.q####.####.com/9f8a9dea5e4b4db0ada5b191dfc0c7c5
- t####.c####.q####.####.com/a935e1d76d274eeab50a0a950e0660ec
- t####.c####.q####.####.com/avatar.jpg
- t####.c####.q####.####.com/c6323ccc438d404fbbbc31406690a538
- t####.c####.q####.####.com/cf326f939aee40f7a2927bd2cbf2d532
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/d86d4c328a7b450e8d65ba050da0d100
- t####.c####.q####.####.com/stl_cover.jpg
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_SLj922
Запросы HTTP POST:
- 3dm####.com/service/getVersion
- 3dm####.com/service/getmodeldetail/3964
- 3dm####.com/service/getmodeldetail/3987
- 3dm####.com/service/getmodelfilelist/3964
- 3dm####.com/service/getmodelfilelist/3987
- 3dm####.com/service/getmodellist
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0d93017624b689754114061a61f4ca4bb532981ef36fc3f....0.tmp
- /data/data/####/1547721081336.log
- /data/data/####/15e5c6f5b97f3dc8c5d89390830ab622462b40f6387ee13....0.tmp
- /data/data/####/1bb26a8094fa4057d85c2b2c809ebeb1fba26b348ad4e6d....0.tmp
- /data/data/####/203ce1b0a5d42140b68e0cff0dc6fb634042511fbc821e2....0.tmp
- /data/data/####/2d875da6f93d4f2cdcb6641c669e7c2d9cfc58e2f13e5fa....0.tmp
- /data/data/####/3077b3c6c979e4e9cc753c49bfb3f7d4e597a6050433108....0.tmp
- /data/data/####/34bd585e2dc4e862c1f7965d242cd1c8bab0a1618ea73fd....0.tmp
- /data/data/####/370861e0ec0d8f9e63798e9f711b19411f54c154714e75a....0.tmp
- /data/data/####/3cec1f3d5d25db93af9563a47bc4dd79414fa1e3035dd3e....0.tmp
- /data/data/####/3eeea1bba43e2a9d3f100409c83df95671ff25ecce1adf7....0.tmp
- /data/data/####/41b2a9230dfce54fa2056a071769a61ad42c862ae8abc20....0.tmp
- /data/data/####/43b21ece9bb67fc402a6ed192dbd28163cbdaa4699b64c6....0.tmp
- /data/data/####/46447cf7c1e4b3952d6bf7657a590a4af1086c4dcc660a9....0.tmp
- /data/data/####/50f262d45c0f7d0ce100ee3fb65ef06180179c40d7084ca....0.tmp
- /data/data/####/52c19f510cf32975fad99b1b846b6b7e593dc2b79d217ff....0.tmp
- /data/data/####/63864472d3ea2d9db347a61419fd57dad734079f272965e....0.tmp
- /data/data/####/7335c0614a9dc90a664754a069a7d2c29cf03392e3d5b6c....0.tmp
- /data/data/####/7a777b839209089fef1f94975d046f00dfa4bb1dc81893e....0.tmp
- /data/data/####/7d7be946f6fe84058dd7337a8e4816eca4237318f21a797....0.tmp
- /data/data/####/7fca03231578e6f7285fe3cbc993e0cc967850127cf3a8f....0.tmp
- /data/data/####/819a13f87d6238d71d140ecd480f9edc2d3fef68405776c....0.tmp
- /data/data/####/95a6f1a746d04f723aa7c6c2293cc90916e5f816fe5bc5a....0.tmp
- /data/data/####/a01345f93d72d5a31cecff5e651a0471bb96639d89a9cca....0.tmp
- /data/data/####/a103589b3cbf05b7d137fa8bc2d96e2ac1812c14a2067b7....0.tmp
- /data/data/####/a887619d5b0da7cc5bfe0e5d29927d33080371a4dece133....0.tmp
- /data/data/####/ae849988db6b97476bf04869fae7e85e25909cca7e58960....0.tmp
- /data/data/####/b45500ad9dcc
- /data/data/####/b844646c045f6ccbf9402fa8bd735ed0.0.tmp
- /data/data/####/b844646c045f6ccbf9402fa8bd735ed0.1.tmp
- /data/data/####/c084e820f54251b41524c39296e962d36c7485edab0e779....0.tmp
- /data/data/####/cp-db-journal
- /data/data/####/d77e0b83d17203e680a771e5a2bdcd32bca4d494e8a47e7....0.tmp
- /data/data/####/d989dfb25d757cf99a20c354a062710e8ce0319632bb739....0.tmp
- /data/data/####/e6c994df5bdce8eb638223e06ad9669678985471476044d....0.tmp
- /data/data/####/e7e8d78737e60704ecc0148c7e69c5000f01968e6dd2501....0.tmp
- /data/data/####/ec75f6bbbf8d9b5df4ea3e2ef9e9cdc3eeed3e0dcaef7bd....0.tmp
- /data/data/####/f282468c0f67c42b51bb6e5f0a29c36031e1941cb61361c....0.tmp
- /data/data/####/f88449629f6bca1af7891c2cf0fbade045ab7648a58e619....0.tmp
- /data/data/####/f894045e7db0492103d54be7ede6491439dd414f95a54f0....0.tmp
- /data/data/####/ff140eb3504140c76b4f3b94c6bb866a108d69d96be40d5....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_SLj922
- /data/data/####/tdata_SLj922.jar
- /data/data/####/umeng_socialize.xml
- /data/media/####/app.db
- /data/media/####/com.dedibot.moira.bin
- /data/media/####/com.dedibot.moira.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_SLj922
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24678 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24678 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
