Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) xjdc####.newairc####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) s####.ml####.cc:443
- TCP(TLS/1.0) xjdc####.newairc####.com:443
- TCP(TLS/1.0) h5.newairc####.com:443
- TCP c####.g####.ig####.com:5227
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- h5.newairc####.com
- img.newairc####.com
- oss.newairc####.com
- pub-####.qin####.com
- s####.ml####.cc
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- xjdc####.newairc####.com
Запросы HTTP GET:
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/tdata_Rnl693
- t####.c####.q####.####.com/tdata_Soq141
- t####.c####.q####.####.com/tdata_fEV688
- t####.c####.q####.####.com/tdata_siA393
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- xjdc####.newairc####.com/xjdcb/pic/201607/14/3a1f3fb8-2a51-43dd-9953-5cc...
- xjdc####.newairc####.com/xjdcb/pic/201608/24/4f70741d-5a70-4a42-8802-f0e...
- xjdc####.newairc####.com/xjdcb/pic/201704/27/35a43a14-181a-4348-b01b-a34...
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1312716470
- /data/data/####/-1382060451
- /data/data/####/-1384094023
- /data/data/####/-16307274
- /data/data/####/.imprint
- /data/data/####/0a9a2ced58387186a1d3f341256f46fecdafd8bb39fd946....0.tmp
- /data/data/####/0f59a2a282064669bebabab6c4d2dd4515c93bfc82143ed....0.tmp
- /data/data/####/103a626bd3f29121497c6f6a69fb10c3500e45c632b2cb5....0.tmp
- /data/data/####/103a626bd3f29121497c6f6a69fb10c3500e45c632b2cb5...3635.0
- /data/data/####/1389023919
- /data/data/####/1695857311
- /data/data/####/1852355879
- /data/data/####/1efba98aa41540b054d0b3d9fe80464181eddda0bfd855a....0.tmp
- /data/data/####/2014083115
- /data/data/####/2c357c45ae9fd9b1f6ac65c7e4024040fac15e59bb97e21....0.tmp
- /data/data/####/335f6d76402bb37b9a5f2e4393e4ac670d81e49199f14e5....0.tmp
- /data/data/####/33c5ab29473b54306e501eefb0cd29af43e59f87ca9ed0d....0.tmp
- /data/data/####/35fba0a4e68d00bd59add2bed7790014913cfa92b112cdb....0.tmp
- /data/data/####/36c12f95b0ecdb84e4852266e5b4e99121dc227f8624f19....0.tmp
- /data/data/####/386967948
- /data/data/####/39f9033be8f559ca063fc28d6b9399ca4da30e1a3365b4b....0.tmp
- /data/data/####/3af1c8121df10f9cebd822860191797a99411ab8e3c84c6....0.tmp
- /data/data/####/40483b3d423e09f91c4bf97015861d6d018a304bb97bba5....0.tmp
- /data/data/####/44085706ea87e007775deec3c34dec19899f878fcda9f1b....0.tmp
- /data/data/####/451bedceb2baf62e97c477361b4c2a541733ee344c33698....0.tmp
- /data/data/####/492021377
- /data/data/####/4cd66dca12e25199e1098f6317ce9c38577414716e1aecb....0.tmp
- /data/data/####/5a155448f66add4799ab7f2479141f36787b51e60a3f65f....0.tmp
- /data/data/####/61d275d66352b9c41dadd2ccf2715f6ae4b32a1a3158350....0.tmp
- /data/data/####/6befd35be3631f31f78ee0f081ad9f4ea1c3be7287054e6....0.tmp
- /data/data/####/722428904
- /data/data/####/798e0080bbc9b8f02e3caece512d295dec7993b1e3aa985....0.tmp
- /data/data/####/809976978
- /data/data/####/85a5d3bd90c5
- /data/data/####/8d6ad5c40f365fbe546ec7cf76fa0dd47792ca849dbe2bb....0.tmp
- /data/data/####/9ced96b2f8c14baa81055adad7196e270a8f6cc9a6483d2....0.tmp
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/b1b3cbc6c3ee505ad8e6b7d98ebf211e24538af80e62e1c...e266.0
- /data/data/####/base.css
- /data/data/####/bf82cee0c9a866db9824098993fe2d2a5f6f819f46d6161....0.tmp
- /data/data/####/btn_pause.png
- /data/data/####/btn_play.png
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/columnId.xml
- /data/data/####/com.founder.chenbaoxinjiang-1.apk.classes1507056110.zip
- /data/data/####/core_info
- /data/data/####/d0236483790b3f1b0d26c8e4fad39ba262a857de8cc5f2c....0.tmp
- /data/data/####/da7c8fb40c465fd45d5078f7d5fdce11a746aba2aab4537....0.tmp
- /data/data/####/db_founder0-journal
- /data/data/####/dc11d0a42e6411a1932ac3ee6fb1e90759453b4b875bc34....0.tmp
- /data/data/####/dd146cb3a7d561a03432227b6bfad93d20c8a137b09a5e1....0.tmp
- /data/data/####/e77edd0fbaeca9d25a84e86a7625088cba629fa3b4955a4....0.tmp
- /data/data/####/e953b5422adc579a0440ef5dbaecbfde265faabfcd4a519....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f2193d02b5bf9b735b52ca969dad6a6e9af35fce1627c3c....0.tmp
- /data/data/####/f4ee2247759f902ee9fb50705a8753ba884ccd0f1cffb2a....0.tmp
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/gx_sp.xml
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.10.3.1.so
- /data/data/####/libufix.so
- /data/data/####/loading.png
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/multidex.version.xml
- /data/data/####/mwsdk_analytics.db-journal
- /data/data/####/native_record_lock
- /data/data/####/news_detail.html
- /data/data/####/persistent_data.xml
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/sanjiaoxing.png
- /data/data/####/security_info
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_Rnl693
- /data/data/####/tdata_Rnl693.jar
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_fEV688
- /data/data/####/tdata_fEV688.jar
- /data/data/####/tdata_siA393
- /data/data/####/tdata_siA393.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/video.png
- /data/media/####/.nomedia
- /data/media/####/app.db
- /data/media/####/com.founder.chenbaoxinjiang.bin
- /data/media/####/com.founder.chenbaoxinjiang.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
- /data/media/####/tdata_Rnl693
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_fEV688
- /data/media/####/tdata_siA393
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 25742 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.10.3.1.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- mount
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libnfix
- libshella-2.10.3.1
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
