Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) xiu.xi####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) www.w####.com:80
- TCP(HTTP/1.1) w####.xi####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) dn####.fas####.com:80
- TCP(TLS/1.0) 9ec8524####.bug####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5224
- TCP s3.c####.xi####.com:39714
- TCP 1####.171.140.131:1935
Запросы DNS:
- 7j####.c####.z0.####.com
- 9ec8524####.bug####.com
- a####.u####.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c-h####.g####.com
- dn####.fas####.com
- l####.tbs.qq.com
- s3.c####.xi####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.xi####.com
- w####.xi####.com
- www.w####.com
- x1.xi####.com
- xiu.xi####.com
Запросы HTTP GET:
- dn####.fas####.com//dnionget
- t####.c####.q####.####.com/tdata_BAI450
- t####.c####.q####.####.com/tdata_SLj922
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- w####.xi####.com/vshow/streamname?get_url=####
- www.w####.com/huodong/SpringFestival2019?webpage=####&time=####&room_use...
- www.w####.com/~x1/webjs/lib/jquery/jquery/1.7.2/jquery.js
- xiu.xi####.com/photo/3/75/wx-spqxjkkffe_b_56.com_.jpg
- xiu.xi####.com/script/page/app/common.js
- xiu.xi####.com/style/wxstyle/release/mobile/v1/css/common/wx_common_v2.css
- xiu.xi####.com/style/wxstyle/release/mobile/v1/css/topic/springFestival_...
- xiu.xi####.com/style/wxstyle/release/mobile/v1/img/bg_pic/room_bg_spring...
- xiu.xi####.com/style/wxstyle/release/mobile/v1/img/topic/springFestival_...
- xiu.xi####.com/style/xiu/base/v1/css/gift_v.1.css
- xiu.xi####.com/upload/xiu/1/38/sj-bmnfvmyidb_pixel_56.com_180329125849.jpg
- xiu.xi####.com/upload/xiu/1/84/qq-luxktescuo_pixel_56.com_171226194150.jpg
- xiu.xi####.com/upload/xiu/16/8/wx-xzujkngcig_pixel_56.com_180414195953.jpg
- xiu.xi####.com/upload/xiu/20/47/qq-adhdthladn_pixel_56.com_170412190916....
- xiu.xi####.com/upload/xiu/26/24/oqq-kntsgaybop_pixel_56.com_190110031729...
- xiu.xi####.com/upload/xiu/27/82/dw123456_pixel_56.com_190111181654.jpg
- xiu.xi####.com/upload/xiu/29/23/sj-egcwvyjkmt_pixel_56.com_190112183821....
- xiu.xi####.com/upload/xiu/31/94/qq-yczhgasdag_pixel_56.com_181226113249....
- xiu.xi####.com/upload/xiu/40/71/oqq-hqjfvxtpsg_pixel_56.com_170503175637...
- xiu.xi####.com/upload/xiu/46/21/gg1174066585_pixel_56.com_180225130657.jpg
- xiu.xi####.com/upload/xiu/47/3/sj-umryhzzqti_pixel_56.com_190120235146.jpg
- xiu.xi####.com/upload/xiu/50/68/aby5201314_pixel_56.com_171205221746.jpg
- xiu.xi####.com/upload/xiu/54/78/sj-zrktovbhjl_pixel_56.com_181025012137....
- xiu.xi####.com/upload/xiu/55/40/qianbao5200_pixel_56.com_181222234026.jpg
- xiu.xi####.com/upload/xiu/59/60/wlp1314ai_pixel_56.com_181122050319.jpg
- xiu.xi####.com/upload/xiu/63/57/wx-fbdwqgfenc_pixel_56.com_171208181013....
- xiu.xi####.com/upload/xiu/64/41/yuxiaomeizi_pixel_56.com_150122023002.jpg
- xiu.xi####.com/upload/xiu/64/50/bnm0067_union_b_171129140916_7327.jpg
- xiu.xi####.com/upload/xiu/64/61/qq-ckesrnmedj_pixel_56.com_181208180649....
- xiu.xi####.com/upload/xiu/67/6/xl-vutncgfufs_pixel_56.com_181115101307.jpg
- xiu.xi####.com/upload/xiu/68/76/z1075743128_pixel_56.com_170222000809.jpg
- xiu.xi####.com/upload/xiu/68/82/py1992_pixel_56.com_180502115554.jpg
- xiu.xi####.com/upload/xiu/70/16/bnm177_pixel_56.com_181027134815.jpg
- xiu.xi####.com/upload/xiu/72/26/wx-jmlfspuxjg_pixel_56.com_180920120652....
- xiu.xi####.com/upload/xiu/75/9/qq-ijrlnnwcdu_pixel_56.com_181126015611.jpg
- xiu.xi####.com/upload/xiu/77/40/qq-innoyjzuta_pixel_56.com_181225142346....
- xiu.xi####.com/upload/xiu/78/65/qq-csskkbahac_pixel_56.com_180127133136....
- xiu.xi####.com/upload/xiu/9/6/r541038759_pixel_56.com_181126024520.jpg
- xiu.xi####.com/upload/xiu/92/49/qq-jolpaexgrz_pixel_56.com_181129121310....
- xiu.xi####.com/upload/xiu/95/46/qq-fgasrdaxty_pixel_56.com_181220225831....
- xiu.xi####.com/upload/xiu/95/74/qq-27120890_pixel_56.com_181113212340.jpg
- xiu.xi####.com/upload/xiu/97/41/qq-atgktgnsfk_pixel_56.com_181026130934....
- xiu.xi####.com/upload/xiu/98/70/qq-oruwteaodu_pixel_56.com_190127195034....
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- l####.tbs.qq.com/ajax?c=####&k=####
- l####.tbs.qq.com/ajax?c=####&v=####&k=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.w####.com/index.php?action=####&do=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/015413b7e1c326eee31148dc744ddb6f222bdff1ce0738a....0.tmp
- /data/data/####/0da4d1b8f6b84a6170f7eb7332e1f305bb44bfaa131823d....0.tmp
- /data/data/####/0efc3ad2dfca0982b88fcba43fd3dbbba8745e81607485b....0.tmp
- /data/data/####/12008ab95d668cfbbfc2c5bcc605681694e03fe1b1a1880....0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.1.tmp
- /data/data/####/245fe6bbcd73bd80345d481946dcd665073da0536470eb2....0.tmp
- /data/data/####/26b5e767b13b1765606aa1939d4e916be080f7159f44681....0.tmp
- /data/data/####/2b12be2c4b911aefd7ef05d3d7d3c15ba8bcd14f1c488f6....0.tmp
- /data/data/####/2b45fbc675b2460225e63add41016f1e3e62f9f62b9ca48....0.tmp
- /data/data/####/32c410a6e27813da26943600c1e5d11ef8b471b544df5c5....0.tmp
- /data/data/####/37d0dd691fc79c5a4958a73f266eb9ea2a2e95673e844a3....0.tmp
- /data/data/####/3f873e324b9fa7d8de135fd2ca638f1578ab0337e01a854....0.tmp
- /data/data/####/4bd83b8aa67e97086e8ee12ded0365293dc0165929b4748....0.tmp
- /data/data/####/5200f7a92a28b76da691cc0a97ba39ac97e75925384327d....0.tmp
- /data/data/####/619165faeb295b6cb6b8d7020c1ad51ea72d8d9a297613c....0.tmp
- /data/data/####/7155926dff0764e5ef1000dea96625a4e85c49867af82e4....0.tmp
- /data/data/####/74d8e9d2dcb4eaebddff7304218a59d48742df09015ea9d....0.tmp
- /data/data/####/76d5cca8b3ea09dd5645388be9b7728fb58ac05e2914afe....0.tmp
- /data/data/####/7ef68853022ffc93174428a862b0a3c1d4ee1d553626b2b....0.tmp
- /data/data/####/84c1e50341aa2be8ae1b396cd6400dd51873d95040eeea9....0.tmp
- /data/data/####/866a0ac13b2bd2d7c0eeb9f6268c86be01907615f2a7bcb....0.tmp
- /data/data/####/8b26245c36c53bb14eeac879902239179e83367865a592e....0.tmp
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/a7f989c6fd2904907845bae9ddd8f06c4ab9c5276246898....0.tmp
- /data/data/####/b4e5a6737b7771217814ad42425eac9840aac0449b28b4b....0.tmp
- /data/data/####/b501928de3c9bab92eb38f6a977a4267c888eb927602a00....0.tmp
- /data/data/####/c2a2759db12bb21497ae4ed854d8c0331eda84cd66af7b4....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cd58698874d1b16f22be8551f05d21fe5e5360b8b274789....0.tmp
- /data/data/####/ceeaee82d825d162beb420b89a52cfe046949df48a84b9c....0.tmp
- /data/data/####/cf67594042e894df2481b5ca30c2d605a6b53025a346664....0.tmp
- /data/data/####/core_info
- /data/data/####/d2a3a49a4b0939cac1bb178e925efc8a1fa9d6e21a02ba2....0.tmp
- /data/data/####/d9baeb69efe8afb048c7fac2f6f54ca482d71a52b0c8eaf....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/debug.conf
- /data/data/####/dfde7da047fb403e91bc97f3b2b68a75701f41655cc0cc8....0.tmp
- /data/data/####/e88327845298270f0cd7c59e30ba2fd375fadcfbe59fb89....0.tmp
- /data/data/####/ecac6c7ff1aef619573c7944094f2cb788b419177c73736....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f2acf8b053cc05f0c6c5777f5372972a8b317e66adb9c94....0.tmp
- /data/data/####/f51a6366e8d04fb4aadb0da7766f84fa7ddf3a1b20de401....0.tmp
- /data/data/####/f6df12e8e31bb80567ab06c4f687aa4525e602ae124dfbb....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/faa5908fa5366e3b97fc4ae97519b9483576397cb947e36....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu616568235.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_BAI450
- /data/data/####/tdata_BAI450.jar
- /data/data/####/tdata_SLj922
- /data/data/####/tdata_SLj922.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.wole56.ishow.bin
- /data/media/####/com.wole56.ishow.db
- /data/media/####/tdata_BAI450
- /data/media/####/tdata_SLj922
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop ro.product.cpu.abi
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24511 300 0
Загружает динамические библиотеки:
- Bugtags
- getuiext2
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu616568235
- openh264
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DESede-ECB-PKCS5Padding
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
