Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.3.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) st####.cdn.al####.####.cn:80
- TCP(HTTP/1.1) ser####.dc####.net.cn:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) k.re####.cn:80
- TCP(HTTP/1.1) m.re####.cn:80
- TCP(HTTP/1.1) hrp.re####.cn:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) videoc####.cn-hang####.log.####.com:443
- TCP(TLS/1.0) ser####.dc####.net.cn:443
- TCP(TLS/1.0) g.al####.com:443
- TCP(TLS/1.0) ws.re####.cn:443
- TCP(TLS/1.0) cdn.boo####.com.####.com:443
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) cdn.dns-de####.al####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- c####.g####.ig####.com
- c-h####.g####.com
- cdn.boo####.com
- cdn.dns-de####.al####.com
- g.al####.com
- hrp.re####.cn
- k.re####.cn
- m.re####.cn
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ser####.dc####.net.cn
- st####.cdn.al####.####.cn
- st####.dc####.net.cn
- videoc####.cn-hang####.log.####.com
- ws.re####.cn
Запросы HTTP GET:
- hrp.re####.cn/843be4a78c7943239c3a93b0b1f32060/covers/9bd5b9500fa04095b8...
- hrp.re####.cn/d5cc74181f9040deb3547c234ee20aea/covers/e4c42ebc5b7a4a5ca6...
- hrp.re####.cn/ee2a11ea84ed4226b06f46146956bb0f/covers/d8b1bb30059349e09d...
- k.re####.cn/banner/banner05.jpg
- k.re####.cn/video/anchor/20180927/e20e0cfc3aed45a4a57a149fc951cd08.jpg
- k.re####.cn/video/anchor/20181025/e81d3823114a4605bc22e8176877ea69.jpg
- k.re####.cn/video/anchor/20181218/5d42521dee794e33b59aba6f338d47a1.jpg
- k.re####.cn/video/anchor/20181220/f6db65052b5341c882866e027863fcf5.jpg
- k.re####.cn/video/anchor/20181224/4ef9939e1b7e49e982a63561ac3e994e.jpg
- k.re####.cn/video/anchor/20190222/179abe28df054e62b2edf85ee92f4419.jpg
- k.re####.cn/video/anchor/20190222/465eee99bac4481584f0834cf1d52a76.jpg
- k.re####.cn/video/anchor/20190228/e7c618745be9456583ae306bdc8e7d3f.jpg
- k.re####.cn/video/image/20180927/edc50df2273c44579bf79e253753f9f4.jpg
- m.re####.cn/
- m.re####.cn/static/css/app.e2d0f628eaafa174888b61a89b22f7bf.css
- m.re####.cn/static/images/common/arrow.png
- m.re####.cn/static/images/common/ic_swith.png
- m.re####.cn/static/images/common/nowBtn.png
- m.re####.cn/static/images/common/p.png
- m.re####.cn/static/images/follow/follow1.png
- m.re####.cn/static/images/follow/hongbao.png
- m.re####.cn/static/images/follow/ic_attention_mor.png
- m.re####.cn/static/images/follow/ic_play .png
- m.re####.cn/static/images/follow/icon_del.png
- m.re####.cn/static/images/follow/icon_down.png
- m.re####.cn/static/images/follow/icon_history.png
- m.re####.cn/static/images/follow/icon_home.png
- m.re####.cn/static/images/follow/icon_logo.png
- m.re####.cn/static/images/follow/icon_menu.png
- m.re####.cn/static/images/follow/icon_news.png
- m.re####.cn/static/images/follow/icon_purse.png
- m.re####.cn/static/images/follow/icon_qq.png
- m.re####.cn/static/images/follow/icon_recommen.png
- m.re####.cn/static/images/follow/icon_search1.png
- m.re####.cn/static/images/follow/icon_set.png
- m.re####.cn/static/images/follow/icon_share2.png
- m.re####.cn/static/images/follow/icon_weixin1.png
- m.re####.cn/static/images/follow/icon_zan.png
- m.re####.cn/static/images/follow/index.png
- m.re####.cn/static/images/follow/jubao.png
- m.re####.cn/static/images/index/hy.png
- m.re####.cn/static/images/login/icon_back.png
- m.re####.cn/static/images/login/icon_close.png
- m.re####.cn/static/images/login/newgift.png
- m.re####.cn/static/images/main/heng.png
- m.re####.cn/static/images/main/lianjie.png
- m.re####.cn/static/images/main/member.png
- m.re####.cn/static/images/main/novip.png
- m.re####.cn/static/images/main/redxin.png
- m.re####.cn/static/images/main/weixin.png
- m.re####.cn/static/images/personinfo/ic_kfRight.png
- m.re####.cn/static/js/0.a889988b6b10c17d7fe1.js
- m.re####.cn/static/js/3.87b5db02a9cc45ee5b71.js
- m.re####.cn/static/js/app.3fb90035cb2aadbc628c.js
- m.re####.cn/static/js/flexible_css.js
- m.re####.cn/static/js/manifest.8cbe55a503251b940ffc.js
- m.re####.cn/static/js/vendor.41fbf82d2835754d8f49.js
- qin####.com.www.####.com/tdata_EDT356
- st####.cdn.al####.####.cn/dad/splash/36/20181010-2.jpg
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- ser####.dc####.net.cn/device/location
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imei.txt
- /data/data/####/.jg.ic
- /data/data/####/H5503E1FA.xml
- /data/data/####/_adio.dcloud.feature.ad.a.a.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc_ad_type_key.xml
- /data/data/####/eb6a7756de00
- /data/data/####/eje3cnc
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/html5Geo.xml
- /data/data/####/http_m.redpai.cn_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu-1477713180.so
- /data/data/####/multidex.version.xml
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/stream_permission.xml
- /data/data/####/test_app
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.imei.txt
- /data/media/####/AdEnable.dat
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.kd.hrp.bin
- /data/media/####/com.kd.hrp.db
- /data/media/####/data.json
- /data/media/####/img.png
- /data/media/####/test.log
- /data/media/####/tid.txt
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 23948 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 23948 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1477713180
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
