Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) yipi####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a.appj####.com
- c####.g####.ig####.com
- c-h####.g####.com
- c.sz.gt.####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- yipi####.com
Запросы HTTP GET:
- t####.c####.q####.####.com/tdata_IKl114
- t####.c####.q####.####.com/tdata_qHR433
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- yipi####.com/storage/web/source/1/1OJ9y62gwoPn_CXXFylYxZsnx_TlU0PX.png
- yipi####.com/storage/web/source/1/E7BQZwGfPzT1i65FwR6Zk5--zKUPwtjc.png
- yipi####.com/storage/web/source/1/Ex544E9bopR06kFMjiK-d6qgXdlPuc-p.png
- yipi####.com/storage/web/source/1/Ij3F-HdXEMpodVxKVp6bqHW-A5taIK5-.png
- yipi####.com/storage/web/source/1/LehyfwYjlaL-0NqN98bnvAO1UldTolOi.jpg
- yipi####.com/storage/web/source/1/SzZ63uBLADnmD2lOQ2HF7Z-jV058eLHA.png
- yipi####.com/storage/web/source/1/W8EJ6C5t4HM9G5a-xBF3EMkCcS1xEI6V.jpg
- yipi####.com/storage/web/source/1/WSz-K-YQsyQiMelQBIUmJN6QfiYNqsyG.png
- yipi####.com/storage/web/source/1/XNAeUy9X3O9wLu0M95fAqraESYv0B5L2.png
- yipi####.com/storage/web/source/1/b8-ZLBee5bSww7eGKfETemr1e0BlPaW2.jpg
- yipi####.com/storage/web/source/1/bEL61NgJ6mph6csNg7hHUUWZmP5zRpU4.png
- yipi####.com/storage/web/source/1/ha2kPtYkVLSsFIEZKPCmSFQZEGj28gze.jpg
- yipi####.com/storage/web/source/1/jeI3OVxHmMDGOJJlCz24FfxTLBuXmgFR.png
- yipi####.com/storage/web/source/1/mJaTeE0f1QuPyGUlw6un78sxm-ultdFj.png
- yipi####.com/storage/web/source/1/xVO4gJaGylJEC6iu7Ft3sLhRm1vnpDWQ.jpg
- yipi####.com/storage/web/source/1/z9ObO-ClVaMNmwIFFNtMLKl-7tZHbqyB.jpg
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- yipi####.com/api/web/v1/goods/get-child-type
- yipi####.com/api/web/v1/goods/get-type1
- yipi####.com/api/web/v1/goods/goods-info
- yipi####.com/api/web/v1/goods/goods-lists
- yipi####.com/api/web/v1/goods/home
- yipi####.com/api/web/v1/index/last-version
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/0510014abf81828ef6c1833f3e6722a54087941d250f7e6....0.tmp
- /data/data/####/0ba487246bed304493d0478aa6c92036cdc1446413ea6f8...29b8.0
- /data/data/####/12ebe6d07f4b7ebd9891a6b935c73e30595526bf833a523....0.tmp
- /data/data/####/181f157a63140fa763fa137065316fe38ab6c5fbb482515....0.tmp
- /data/data/####/1b57264d4e995938da3049c743e8fd905bdb47bf6fcad56....0.tmp
- /data/data/####/25b7a32bc31c4086bb7590842466df678bb905b7811b006....0.tmp
- /data/data/####/2f51b93efc88d50cd5d978af3ddab49af2650ad1a1f8793....0.tmp
- /data/data/####/2f51b93efc88d50cd5d978af3ddab49af2650ad1a1f8793...21c4.0
- /data/data/####/326b29e8d1d2719ed0be0a593c79403142e200c2434a51c....0.tmp
- /data/data/####/48a3314dd841707108887fdbea64cdf8cbded4ccff24c35....0.tmp
- /data/data/####/4f678f3b0a8ab7e9b27f80f930556aea5c06f86a6ff00df....0.tmp
- /data/data/####/532b44e44f03cf7a896334fe819a659eaf78bdb5fd30ddb....0.tmp
- /data/data/####/7625daeb7c787c92f6de78747b77df64131dabf075c9287....0.tmp
- /data/data/####/78313f8f27307f4b6edf9b80caab5db00102ea6a0686f6f....0.tmp
- /data/data/####/818f44ae9bd6a5bfda244c2c0aa329e329ab8eb36e67822....0.tmp
- /data/data/####/833d632235d395754ab2ebec1aecd13a5e83a3cb927a7b6....0.tmp
- /data/data/####/84cb4e70e05f5e71d2ff837aa86d59065d706b8fcc14301...22f6.0
- /data/data/####/86a5eb5d8e6f9f518f5a1d3f86a462831173b9bcc4f28a8....0.tmp
- /data/data/####/9db909d1384ca5685a62022f12a58b833a0945ccc5da555....0.tmp
- /data/data/####/a49db2773175aaaf68a1a63997f11d4db87d0d52fda0cb6....0.tmp
- /data/data/####/afba9d09e54fe70a0012190bc4ab8f428a42d838a09366c....0.tmp
- /data/data/####/b76500b9dec1e09381352d74dea37484a3f4203f1c87e72....0.tmp
- /data/data/####/c47794f43c54c6f4d26fced47b577eb579346c872787c3a....0.tmp
- /data/data/####/ce5492905f7a1ccb1c3ef9dddafe26dca0048761c4f905e....0.tmp
- /data/data/####/da443230e35dc79445885f7ddc44534142bc7854bcad9e2....0.tmp
- /data/data/####/dd381b773b50ddb4b6feb5b32c6a38e09428f090e744d63....0.tmp
- /data/data/####/dfb4b9e0f050ac38f6a102b2bc8c697b19368c9d2a35ba8....0.tmp
- /data/data/####/e320239baf7ef4fee69f217f2a073fba7943043ef6ccbef....0.tmp
- /data/data/####/e3b0a63047d29101dfbf000e1a9253221be96738e2c4af4....0.tmp
- /data/data/####/e938874fb36c0153de7e995fd3a5955b31bb919e3029cf8....0.tmp
- /data/data/####/fb0629693ebfe8f043852cc904ef4da034d6a50bd5ae900....0.tmp
- /data/data/####/fdc0c20e49a9931371a4033fee28fe0284b7b398d502e7c....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/okhttputils_cache.db
- /data/data/####/okhttputils_cache.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/tdata_IKl114
- /data/data/####/tdata_IKl114.jar
- /data/data/####/tdata_qHR433
- /data/data/####/tdata_qHR433.jar
- /data/data/####/type1
- /data/media/####/.nomedia
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.ttouch.beveragewholesale.db
- /data/media/####/tdata_IKl114
- /data/media/####/tdata_qHR433
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25871 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
