Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) ser####.dc####.net.cn:80
- TCP(HTTP/1.1) api.juejinc####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) jjlmo####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) p####.byt####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) p####.byt####.cn.####.com:80
- TCP(TLS/1.0) ser####.dc####.net.cn:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) jjlmo####.oss-cn-####.aliy####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- api.juejinc####.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c####.g####.ig####.com
- c-h####.g####.com
- hm.b####.com
- jjlmo####.oss-cn-####.aliy####.com
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ser####.dc####.net.cn
- st####.dc####.net.cn
Запросы HTTP GET:
- api.juejinc####.com/v1/article/pull_up?ch_rand=####&columnid=####&page=#...
- api.juejinc####.com/v1/channel/recommend?source_style=####&uid=####&user...
- api.juejinc####.com/v1/channel/user?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/gift_image?source_style=####&uid=####&user_token=...
- api.juejinc####.com/v1/message/hint?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/share/copywriting?tag=####&url=####&is_small_rout...
- api.juejinc####.com/v1/share/top_car?source_style=####&uid=####&user_tok...
- api.juejinc####.com/v1/system/get_domain?source_style=####&uid=####&user...
- api.juejinc####.com/v1/system/menu?vsn=####&source_style=####
- api.juejinc####.com/v1/task/minute30?source_style=####&uid=####&user_tok...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_31477/brand_logo/b685b2...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_31477/pic_list_h/e804e3...
- p####.byt####.cn.####.com/thumb/pgc-image/0520b44d38364f59b1cc9c0fa8b39b...
- p####.byt####.cn.####.com/thumb/pgc-image/183da637e4af4081b46fd0ab55fcd2...
- p####.byt####.cn.####.com/thumb/pgc-image/3a4779072e614fa8884357432c3482...
- p####.byt####.cn.####.com/thumb/pgc-image/3ce4c6eb9ec04a1ba79de5a213a35f...
- p####.byt####.cn.####.com/thumb/pgc-image/3f267b3967ff4fd7b13441092e2a83...
- p####.byt####.cn.####.com/thumb/pgc-image/4d357f6a30044a95a7fec9fa0fad75...
- p####.byt####.cn.####.com/thumb/pgc-image/6aedb9d74e01497cbb084b0f336e5d...
- p####.byt####.cn.####.com/thumb/pgc-image/738de601910446b2a246a4abe4d140...
- p####.byt####.cn.####.com/thumb/pgc-image/7d33c87f652a421e80bf3d1135e47e...
- p####.byt####.cn.####.com/thumb/pgc-image/7ed81cfc785f42918b8441daa57b7d...
- p####.byt####.cn.####.com/thumb/pgc-image/8299e48f3d004470af7fb567431a32...
- p####.byt####.cn.####.com/thumb/pgc-image/868f2c28b3984aa8891fd3880d3bf6...
- p####.byt####.cn.####.com/thumb/pgc-image/87499b8197664e088c5194976fff2a...
- p####.byt####.cn.####.com/thumb/pgc-image/a3a38a2b2ec446698754ad7aa566e2...
- p####.byt####.cn.####.com/thumb/pgc-image/b53e663b698949f3923f85e4a4584e...
- p####.byt####.cn.####.com/thumb/pgc-image/b60ba287fa4d47569ab92c2aafd5f2...
- p####.byt####.cn.####.com/thumb/pgc-image/b7e456ffddae417288cf5b6e2ef1d8...
- p####.byt####.cn/thumb/pgc-image/1545364e71ad40bc9104ea113a727f0a?x-oss-...
- p####.byt####.cn/thumb/pgc-image/176a3872ed4a459793c78b4658307e71?x-oss-...
- p####.byt####.cn/thumb/pgc-image/1ad69aa7105742b78368bb79fd3661a5?x-oss-...
- p####.byt####.cn/thumb/pgc-image/1c585f89512b41c3bebefbf9f9ea2e05?x-oss-...
- p####.byt####.cn/thumb/pgc-image/1e4453c977ce47e58947acb713d55923?x-oss-...
- p####.byt####.cn/thumb/pgc-image/31cf0be6d1924a5e934ee9bae3d7ecce?x-oss-...
- p####.byt####.cn/thumb/pgc-image/371f460b33154de0b01df0c8b8649892?x-oss-...
- p####.byt####.cn/thumb/pgc-image/3bc91051c4dd4483aa13130eef889ab3?x-oss-...
- p####.byt####.cn/thumb/pgc-image/49f8bc6a805a4a4dbb3443fa87c928ef?x-oss-...
- p####.byt####.cn/thumb/pgc-image/4c590e80ba354ff693284bd6df6b99fd?x-oss-...
- p####.byt####.cn/thumb/pgc-image/5f58b2dfd34a4405884a8e9654426ff5?x-oss-...
- p####.byt####.cn/thumb/pgc-image/6363216020fb4debbcd43635f9be446b?x-oss-...
- p####.byt####.cn/thumb/pgc-image/8712a57e33bc420ca96adcc86de03871?x-oss-...
- p####.byt####.cn/thumb/pgc-image/8abb0bc4446a466a8a578ea8695a6734?x-oss-...
- p####.byt####.cn/thumb/pgc-image/RJ9X3B5HqVPq8L?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/RJ9X4DUDZMzETA?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/RJ9X4DkBdKcX4O?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/RJ9X4DxFiKYtLg?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/ad2ec3502dde44c5b035aa9115b3a872?x-oss-...
- p####.byt####.cn/thumb/pgc-image/adb8ecac717b4d818e7da7796ea8a7c3?x-oss-...
- p####.byt####.cn/thumb/pgc-image/b044805d32f94c8897e71bf6d6cc1ee6?x-oss-...
- p####.byt####.cn/thumb/pgc-image/c64b672aff24452d9ab4ce50cfb972a6?x-oss-...
- p####.byt####.cn/thumb/pgc-image/cf9ace18d477401cacb12cd423cff286?x-oss-...
- p####.byt####.cn/thumb/pgc-image/d6edb13832464a23b95097c5b0447d97?x-oss-...
- p####.byt####.cn/thumb/pgc-image/d70f49d2ae1c439c879c1efe648c2596?x-oss-...
- p####.byt####.cn/thumb/pgc-image/dbe5de39045340be8ca010d32cb33ce4?x-oss-...
- p####.byt####.cn/thumb/pgc-image/e4bd9ca4e50f464bb7fac0542414e6d5?x-oss-...
- p####.byt####.cn/thumb/pgc-image/eb52f8ab336449089eda943d33082ed3?x-oss-...
- p####.byt####.cn/thumb/pgc-image/ef44c52bef4941e2b3c01adadfaef9f1?x-oss-...
- p####.byt####.cn/thumb/pgc-image/f2974b597b104c53b889fb4dd9413935?x-oss-...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- ti####.c####.l####.####.com/tdata_EDT356
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- ser####.dc####.net.cn/device/location
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imei.txt
- /data/data/####/.jg.ic
- /data/data/####/H53C01A44.xml
- /data/data/####/MultiDex.lock
- /data/data/####/_adio.dcloud.feature.ad.a.a.xml
- /data/data/####/a78f20dff98b
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc_ad_type_key.xml
- /data/data/####/eje3cnc
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/file__0.localstorage-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/html5Geo.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu493851424.so
- /data/data/####/multidex.version.xml
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/start_statistics_data.xml
- /data/data/####/stream_permission.xml
- /data/data/####/test_app
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.imei.txt
- /data/media/####/AdEnable.dat
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.juejinchain.android.bin
- /data/media/####/com.juejinchain.android.db
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu493851424
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
