Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) a1.eas####.com:80
- TCP(HTTP/1.1) www.eas####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) www.darling####.com:80
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- a1.eas####.com
- c####.g####.ig####.com
- c-h####.g####.com
- ip.ta####.com
- mt####.go####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- t####.darling####.com
- www.darling####.com
- www.eas####.com
Запросы HTTP GET:
- ip.ta####.com/service/getIpInfo2.php?ip=####
- t####.c####.q####.####.com/tdata_RSQ274
- t####.c####.q####.####.com/tdata_RbW195
- t####.c####.q####.####.com/tdata_qHR433
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- www.darling####.com/mall/special-products?adid=####&tour_token=####&ajax...
- www.darling####.com/mall/special-sections?psize=####&specid=####&page=##...
- www.darling####.com/product/mobile-detail3?id=####&tour_token=####&ajax=...
- www.darling####.com/product/ratings?psize=####&id=####&page=####&tour_to...
- www.darling####.com/product?id=####&_=####&tour_token=####&ajax=####
- www.darling####.com/upfile/ad/pic/201703/25/58d6284bcffef189.jpg
- www.darling####.com/upfile/ad/pic/201703/25/58d6285b6b9ba899.jpg
- www.darling####.com/upfile/ad/pic/201703/29/58db4df9e7acc957.jpg
- www.darling####.com/upfile/product/common/images/201703/01/enkkljsb47.jpg
- www.darling####.com/upfile/product/common/images/201703/28/eoe9yvgkgq.jpg
- www.darling####.com/upfile/product/pic/201702/09/589bf214bfff9302.jpg
- www.darling####.com/upfile/product/pic/201702/23/58aea563c0b70718.jpg
- www.darling####.com/upfile/product/pic/201702/23/58aea563c0b70718_m.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f4d9e999e210.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f4edc368f708.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f4edc368f708_m.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f5249fcdf758.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f5249fcdf758_m.jpg
- www.darling####.com/upfile/product/pic/201702/28/58b4f534828e7668.jpg
- www.darling####.com/upfile/third/strawberrynet/product/4/4/14244/l/01424...
- www.darling####.com/upfile/third/strawberrynet/product/8/4/171348/l/1713...
- www.darling####.com/wui/client/common/css/mobile2.css
- www.darling####.com/wui/client/common/image/bfm/product_desc.png
- www.darling####.com/wui/client/common/image/bfm/product_instructions.png
- www.darling####.com/wui/client/common/image/bfm/product_params.png
- www.darling####.com/wui/client/common/image/bfm/product_show.png
- www.darling####.com/wui/client/common/js/jquery.js
- www.eas####.com/easemob/server.xml?sdk_version=####&app_key=####&file_ve...
Запросы HTTP POST:
- a####.u####.com/app_logs
- a1.eas####.com/darling/darlingwallet/devices
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
- www.darling####.com//mall/navs
- www.darling####.com/api-version-check
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-3478060232091993688
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1880658799-2046790177
- /data/data/####/2w6kADs4bwu9InvJ1VjEQ71rvDU.-1864910293.tmp
- /data/data/####/64nDavWb-v_GCdhbnJNjhcXT5dU.-505536578.tmp
- /data/data/####/705942561738887272
- /data/data/####/7KmfsOeczn3jicbXq0NCx8wMjwE.-621263273.tmp
- /data/data/####/7bSyJR3sCTMIRYe6lq8hP2BKko0.-130749167.tmp
- /data/data/####/ASmpyw6px3KdZ8GzO0P85-k5RGU.1030290403.tmp
- /data/data/####/KsFqdd0Dv6LR2ZNTs-3nLyq1Dzw.-2103167189.tmp
- /data/data/####/RFD6sGVgrCFugVfzNvEzZv29fVQ.670387254.tmp
- /data/data/####/TYm56spyIVyXi33PnqRaKb28gos.-2077464867.tmp
- /data/data/####/_nohttp_cookies_db.db
- /data/data/####/_nohttp_cookies_db.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.darling.baitiao_preferences.xml
- /data/data/####/darlingwallet.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_id.xml.xml
- /data/data/####/easemob.sdk.pref.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fGBQz9dOcp9nsybjbfwHNaBoj3k.-2008429649.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/gdaemon_20161017
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/j3FkY68nsYWP0qROJxbpFnJYcFA.1558936200.tmp
- /data/data/####/k_MJQmu63R2JGJsGdN_LqkJy-Yk.2015427465.tmp
- /data/data/####/libjiagu.so
- /data/data/####/mPQ4ckrRcNvt_RLqvESYTtELUUE.-1911017913.tmp
- /data/data/####/multidex.version.xml
- /data/data/####/pHHhc-RvHa6b5W4x54RaHZ_PBSw.802804112.tmp
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sCxMZ3yKA38Qy28CwrNo32P8uyo.-224293231.tmp
- /data/data/####/tdata_RSQ274
- /data/data/####/tdata_RSQ274.jar
- /data/data/####/tdata_RbW195
- /data/data/####/tdata_RbW195.jar
- /data/data/####/tdata_qHR433
- /data/data/####/tdata_qHR433.jar
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/000.html
- /data/media/####/20081179e6d6f01d0a8a4c152ddb3e5a.0
- /data/media/####/39fecc26a2a6211efaa719f00d47bcaa.0
- /data/media/####/9c77afd6f4017b722e30ec056d4f9e8e.0
- /data/media/####/add_pic_btn.png
- /data/media/####/app.db
- /data/media/####/com.darling.baitiao.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/journal.tmp
- /data/media/####/profile_default.png
- /data/media/####/tdata_RSQ274
- /data/media/####/tdata_RbW195
- /data/media/####/tdata_qHR433
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24877 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
Загружает динамические библиотеки:
- MtaNativeCrash
- bitmaps
- getuiext2
- libjiagu
- memchunk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
