Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) i####.meitu####.com:80
- TCP(HTTP/1.1) i####.meitu####.com.####.com:80
- TCP(HTTP/1.1) m.me####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) trac####.me####.com:80
- TCP(TLS/1.0) res####.a####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- amap####.cn-hang####.oss####.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.meitu####.com
- i####.meitu####.com
- i####.meitu####.com
- i####.meitu####.com
- i####.meitu####.com
- m.me####.com
- pub-####.qin####.com
- res####.a####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- trac####.me####.com
Запросы HTTP GET:
- i####.meitu####.com.####.com/group1/M00/87/67/33f67c0ffdb2481b871fde9d4d...
- i####.meitu####.com.####.com/group1/M00/8E/20/974ae2671bd648e3b34452081f...
- i####.meitu####.com.####.com/group1/M00/8F/F1/a300578048044987903d8520e8...
- i####.meitu####.com.####.com/group1/M00/B2/D6/dd658c44abd14ff5aab2ae09d9...
- i####.meitu####.com.####.com/group1/M00/CC/56/df9e35641cc147888d6a36f93c...
- i####.meitu####.com.####.com/group1/M00/E7/3F/3f71d03b954f491f8f3abe0832...
- i####.meitu####.com/group1/M00/0A/A1/ba1b06ebcd7f479f9b168be69df0a123.jp...
- i####.meitu####.com/group1/M00/11/C6/c6d39bda8f8e497eb77741141b54b9f2.png
- i####.meitu####.com/group1/M00/13/B3/b3568d913dbe4b07a57a1d4f00f5f9ea.png
- i####.meitu####.com/group1/M00/2A/1B/e03b308d31bc43d9a499adfa2ab79e4e.png
- i####.meitu####.com/group1/M00/41/BE/2fc1c986e462417ca02d09186c398be9.pn...
- i####.meitu####.com/group1/M00/47/6D/e9497f6d07be4e76b368cc04471adbd9.pn...
- i####.meitu####.com/group1/M00/51/D4/82b65b09be6d46238f451a559b8b866f.jpg
- i####.meitu####.com/group1/M00/5E/7B/5e703cdd259c48a7b92a34e24c137e54.jpg
- i####.meitu####.com/group1/M00/61/A1/bb102ea982c84486954d51a1067a61fd.jpg
- i####.meitu####.com/group1/M00/7F/A8/3a8f38ed7fea4fea85b68207e15378e9.pn...
- i####.meitu####.com/group1/M00/82/46/26efb6d3cfbe4b838270c310a8304657.jp...
- i####.meitu####.com/group1/M00/8A/70/970e238a8a71431d8a8ff813e350bd29.png
- i####.meitu####.com/group1/M00/8E/19/0f919d9cf8e34be7877fa2c7a86fff37.jpg
- i####.meitu####.com/group1/M00/9D/BC/7c9d6549bc5047fbb2b23d24a24d5846.png
- i####.meitu####.com/group1/M00/A4/11/c334fca3c82a4a11bbac858ad3b8ce06.pn...
- i####.meitu####.com/group1/M00/A8/32/917061e31a3c4288a8e5b6325a76668a.png
- i####.meitu####.com/group1/M00/B5/46/a947f539cdbe46ba95d8a1bb516e2954.jpg
- i####.meitu####.com/group1/M00/BD/82/10d41ed5827b42f5b5d8bd85e1f48e41.jpg
- i####.meitu####.com/group1/M00/C8/74/132b1687f4e7494983c5618b1c8d6d13.png
- i####.meitu####.com/group1/M00/CD/0A/f8d0afea99fb4ee9a49a5f760d3cd840.png
- i####.meitu####.com/group1/M00/D1/A5/41acbd0c839e4bd1aff8a5c24f989c43.png
- i####.meitu####.com/group1/M00/D4/BF/217a363327a94a46bf3101d4ce01ef06.png
- i####.meitu####.com/group1/M00/DE/89/617d55d1786d489db9fdeade235897aa.png
- i####.meitu####.com/group1/M00/EA/80/f84ad5c3f28340dea51dbb8074128802.png
- i####.meitu####.com/group1/M00/EB/B7/7505352696c14723a73c38e759eb7777.jpg
- i####.meitu####.com/group1/M00/EC/C0/d1dec98e4c904246a74c05470b7a6f71.png
- i####.meitu####.com/group1/M00/ED/0A/5026e9c178ac4ed2a36436a766b0a6f5.pn...
- i####.meitu####.com/group1/M00/ED/13/3b734fb8113a444f95a6edbb84bec6c2.jpg
- i####.meitu####.com/group1/M00/F7/F0/fc3e27df7d2f4601a4f4177b31f019dd.png
- m.me####.com/mobile/app/upgrade.htm?apptype=####&appversion=####&cityid=...
- m.me####.com/mobile/system/getRequestBaseInfo.htm?apptype=####&appversio...
- m.me####.com/mobile/system/getcurrenttime.htm?apptype=####&appversion=##...
- m.me####.com/newapi/cms/findHomeModuleList?agekeyids=####&ageweek=####&c...
- m.me####.com/newapi/cms/findHomeWordNavigator?cityid=####&protocol=####&...
- m.me####.com/newapi/cms/findModuleInfoList?cityid=####&curpage=####&page...
- m.me####.com/newapi/cms/findTopicHotZone?cityid=####&protocol=####&provi...
- m.me####.com/newapi/cms/findUserAgeData?birthday=####&cityid=####&protoc...
- m.me####.com/newapi/mobile/common/close_site_notice?cityid=####&protocol...
- m.me####.com/newapi/mobile/common/querySwitch?cityid=####&protocol=####&...
- m.me####.com/newapi/topic/topicdetail/topicDetail?cityid=####&protocol=#...
- m.me####.com/newapi/topic/topicflow/findTopicListByChannelType?channelty...
- sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
- t####.c####.q####.####.com/tdata_Rnl693
- t####.c####.q####.####.com/tdata_Soq141
- t####.c####.q####.####.com/tdata_fEV688
- t####.c####.q####.####.com/tdata_siA393
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- m.me####.com/mobile/appbase/newestPatch.htm
- m.me####.com/mobile/community/getAppInitAdvertiseInfo.htm
- m.me####.com/newapi/promotion/coupon/couponCenter/receiveCoupons
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
- trac####.me####.com/service/T0001
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1158506790351134871
- /data/data/####/-3157421091129340108
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/3HsYRqwzqDSsQNpqGbl4GsX22XQ.-1625192699.tmp
- /data/data/####/3wDXf_3FA5hayqSCVxMGS9qtn2A.-1508216102.tmp
- /data/data/####/9-JU69R52WtWlGhH02Em-0fhLWA.263316525.tmp
- /data/data/####/926l_Utfua2yjOV1KN7eFf0QnUk.-1401941726.tmp
- /data/data/####/A-zQ6wn6VTJ8qEqGfpMGA2E3mZE.-1445070535.tmp
- /data/data/####/BL-B1qCpvTj90s2ZQwXguAJk2CM.2143905237.tmp
- /data/data/####/BYYocRrHJ0NcY1ol3TdV7vr-N-s.-1268098351.tmp
- /data/data/####/Constant.xml
- /data/data/####/G34NaVFN4hnrXqu2iJsMEGCQh7Y.222044537.tmp
- /data/data/####/GASu_OxQjIHqXsR_G8u9JW_HDFU.-321782336.tmp
- /data/data/####/GvxXXPRYwL0vENYA4RMu8R5R0zY.537352002.tmp
- /data/data/####/IEkNaY3Yemz_bYpl9xYGYJ3Pnkw.1251301149.tmp
- /data/data/####/Jkb7tB4e2PXRPjBChf5DrHtrts0.-1289518612.tmp
- /data/data/####/N9zbVvJipfDKMWsv9iny-YTxt-g.-1969826249.tmp
- /data/data/####/QVNd3iYA_dSnsrK2zdQ56ZznlUI.225048751.tmp
- /data/data/####/RKAgNsYsbN1jN8Fo1pH-KLrtl1I.-221124533.tmp
- /data/data/####/VQ7oty7KKFKctVpRHARVoQZiBzA.-1286705336.tmp
- /data/data/####/XNSDKStore1.0.xml
- /data/data/####/XNclientid.xml
- /data/data/####/XNmachineid.xml
- /data/data/####/ZDeKmzO84biiVnPssaTuujHygUk.-1514549940.tmp
- /data/data/####/ZRYR5B58HcYXVxgHikcC4EQk8Ak.-116689719.tmp
- /data/data/####/ZkADLTlcCYkW5Y2V4LqtcP4adD8.-2068415268.tmp
- /data/data/####/_andfix_.xml
- /data/data/####/bCb-neTYTpeVTCruajNu3_B8lUQ.-1574468066.tmp
- /data/data/####/com.meitun.mama_preferences.xml
- /data/data/####/eylLJu1WOjpfUJ2PoZb1kYVyeFI.225179380.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/hYpe_E4I8D_PVRONOOZG2JQhe8U.cnt
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/hpz3pqG9pfZdiSuHSzhbJyS3TX8.-1776898144.tmp
- /data/data/####/iO_6XOy1fWvX5_5IBlJJuWC4h_Y.-2010081653.tmp
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jNYT7qPE_HoZKqkz-3IYDQToz6s.1763660604.tmp
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/kKqCChz2cjotP6rx28YR9TR0AIs.-1860406885.tmp
- /data/data/####/l8HOm7p4LBA62R9VdpYdSW_wMe0.1522959425.tmp
- /data/data/####/libjiagu.so
- /data/data/####/loctemp.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/meitun_statistics.db-journal
- /data/data/####/mobclick_agent_online_setting_com.meitun.mama.xml
- /data/data/####/mt_1000_ISME9754_guest6998885690058520955644299...ournal
- /data/data/####/multidex.version.xml
- /data/data/####/pref.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/rhFWlVDEmABC6TQ485rTs8gg4w0.1167583741.tmp
- /data/data/####/rov7fKbRMtZEAwjyPLUYKvRDB_Y.-1024448481.tmp
- /data/data/####/run.pid
- /data/data/####/s0CJuiQBXcEL-GSYQPZw3EaeQfM.-1963325180.tmp
- /data/data/####/s6Tes1Pan1HvsBtXTq3LTEw_JEw.-1675501295.tmp
- /data/data/####/setting.db-journal
- /data/data/####/tdata_Rnl693
- /data/data/####/tdata_Rnl693.jar
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_fEV688
- /data/data/####/tdata_fEV688.jar
- /data/data/####/tdata_siA393
- /data/data/####/tdata_siA393.jar
- /data/data/####/ujdwxOqkgXojCscWKvK56UzTt7k.1200609471.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/xQIp79WI_fCSy0EEnZyumHn9sGg.757766195.tmp
- /data/data/####/xnsdkconfig.xml
- /data/data/####/y7wYJS_zMwa0FsGjt5gqQSdTGtY.605873118.tmp
- /data/data/####/yk1E6saXvQYE_bRRfuOGJeGieeY.-1720973918.tmp
- /data/media/####/1551499340308.db
- /data/media/####/1551499342461.db
- /data/media/####/alsn.db
- /data/media/####/alsn.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.meitun.mama.bin
- /data/media/####/com.meitun.mama.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/tdata_Rnl693
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_fEV688
- /data/media/####/tdata_siA393
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.getui.GetuiPushService 24481 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.getui.GetuiPushService 24481 300 0
Загружает динамические библиотеки:
- andfix
- bitmaps
- getuiext2
- libjiagu
- memchunk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- DESede
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
