Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) xin.2####.com:8888
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) i####.51.la:80
- TCP(HTTP/1.1) 8####.com:80
- TCP(HTTP/1.1) js.u####.51.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) regi####.xm####.gl####.####.com:443
- TCP(TLS/1.0) gd-s####.j####.cn:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP sdk.o####.t####.####.com:5224
- UDP s.j####.cn:19000
- TCP 1####.121.49.95:7000
- UDP easytom####.com:19000
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- 8####.com
- ali-s####.j####.cn
- c####.g####.ig####.com
- c-h####.g####.com
- easytom####.com
- gd-s####.j####.cn
- hm.b####.com
- i####.51.la
- js.u####.51.la
- pi####.qq.com
- pub-####.qin####.com
- regi####.xm####.gl####.####.com
- s####.j####.cn
- s.j####.cn
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- sis.j####.io
- t####.j####.cn
- wt.1####.com
- xin.2####.com
Запросы HTTP GET:
- 8####.com/
- 8####.com/css/app.cba01c267ff4f95662d05f9d9a64f73d.css
- 8####.com/images/anzhuoewm.jpg
- 8####.com/images/clcp.jpg
- 8####.com/images/mi_desc_05_6d8919463089d0bcdacb2c018ffd1312_2698e79f18d...
- 8####.com/images/mi_desc_08_ad1b0694d732957e6c488882b2e03046.jpg
- 8####.com/images/mi_desc_10_5d63f691312eaa115518c971da89ef6e.jpg
- 8####.com/images/pingguoewm.jpg
- 8####.com/images/ttqp1.jpg
- 8####.com/images/ttqpwxkf.jpg
- 8####.com/images/ttqpzcdz.jpg
- 8####.com/images/在线娱乐.jpg
- 8####.com/images/模特.jpg
- 8####.com/images/种类多.jpg
- 8####.com/images/第一213.jpg
- 8####.com/js/app.48b4ec253c20dce51e79.js
- 8####.com/js/dcs_tag_3g.js
- 8####.com/js/dcss18i18x5k2zlt536xi3f7e_7j3n/wtid.js
- 8####.com/js/manifest.100ae3d095c74b31b0c5.js
- 8####.com/js/vendor.3da4e2f32756ae7ab1ab.js
- i####.51.la/go1?id=####&rt=####&rl=####&lang=####&ct=####&pf=####&ins=##...
- js.u####.51.####.com/19902741.js
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/dcscl4gb10000008e86gwgkjn_8n8y/dcs.gif?&dcsda...
- t####.c####.q####.####.com/dcscl4gb10000008e86gwgkjn_8n8y/dcs.gif?dcsred...
- t####.c####.q####.####.com/dcss18i18x5k2zlt536xi3f7e_7j3n/dcs.gif?&dcsda...
- t####.c####.q####.####.com/dcss18i18x5k2zlt536xi3f7e_7j3n/dcs.gif?dcsred...
- t####.c####.q####.####.com/dcss18i18x5k2zlt536xi3f7e_7j3n/wtid.js
- t####.c####.q####.####.com/tdata_FhD658
- t####.c####.q####.####.com/tdata_kgM272
- t####.c####.q####.####.com/tdata_mpY630
- t####.c####.q####.####.com/tdata_vHH584
- xin.2####.com:8888/api/switch?appId=####
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- pi####.qq.com/mstat/report/?index=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/37994375-998a-4dbd-bed0-9b4533daa8da
- /data/data/####/853e2ce3-bd05-4202-8e0c-1c5adba0a8f1
- /data/data/####/9fa159a5-7b43-42fe-9377-e3af632b6f7d
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/JPushSA_Config.xml
- /data/data/####/ac62cef9-c6c0-4f13-aedc-e5314709847a
- /data/data/####/appPackageNames_v2
- /data/data/####/c8fb7bcd-b127-44f5-b6df-c5694db16307
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.mllhuhsduas.xapp.mid.world.ro.xml
- /data/data/####/com.mllhuhsduas.xapp_preferences.xml
- /data/data/####/com.mllhuhsduas.xapp_preferences.xml (deleted)
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e21eed93d16f
- /data/data/####/ee51390f-deca-4889-9b93-3d9aaefe1136
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/gdaemon_20161017
- /data/data/####/geofencing.db
- /data/data/####/geofencing.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/libjiagu562149094.so
- /data/data/####/mipush.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mipush_region
- /data/data/####/mipush_region.lock
- /data/data/####/pri_tencent_analysis.db_com.mllhuhsduas.xapp-journal
- /data/data/####/pri_tencent_analysis.db_com.mllhuhsduas.xapp;gt...ournal
- /data/data/####/pri_tencent_analysis.db_com.mllhuhsduas.xapp;pu...ournal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sp_client_report_status.xml
- /data/data/####/tdata_FhD658
- /data/data/####/tdata_FhD658.jar
- /data/data/####/tdata_kgM272
- /data/data/####/tdata_kgM272.jar
- /data/data/####/tdata_mpY630
- /data/data/####/tdata_mpY630.jar
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tencent_analysis.db_com.mllhuhsduas.xapp-journal
- /data/data/####/tencent_analysis.db_com.mllhuhsduas.xapp;gtpush...ournal
- /data/data/####/tencent_analysis.db_com.mllhuhsduas.xapp;pushse...ournal
- /data/data/####/ucot_smart.db
- /data/data/####/ucot_smart.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.push_deviceid
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.mllhuhsduas.xapp.bin
- /data/media/####/com.mllhuhsduas.xapp.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/tdata_FhD658
- /data/media/####/tdata_kgM272
- /data/media/####/tdata_mpY630
- /data/media/####/tdata_vHH584
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.ucot.smarthome.push.GTDaemonPushService 25046 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- ps
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.ucot.smarthome.push.GTDaemonPushService 25046 300 0
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- cooee
- cusdk
- getuiext2
- hwsdk
- hwsdkc
- jcore126
- libjiagu562149094
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
