Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) on####.ai####.com:8081
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) sdk.brtbe####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- adser####.go####.com
- amap####.cn-hang####.oss####.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- log.u####.com
- on####.ai####.com
- pub-####.qin####.com
- q####.ai####.com
- res####.a####.com
- s####.u####.com
- sdk.brtbe####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ssl.gst####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- on####.ai####.com:8081/api-tourist/message/queryTouristMessage?appChanne...
- on####.ai####.com:8081/api-tourist/region/getCityHome?appChannel=####&ap...
- on####.ai####.com:8081/api-tourist/tourist/getLatestVersion?appChannel=#...
- on####.ai####.com:8081/api-tourist/tourist/reportLaunchApp?appChannel=##...
- on####.ai####.com:8081/api-tourist/tourist/reportPushToken?appChannel=##...
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/0f6066d2b6a7afa02e9abeed6e587c95.jpg?imageVi#...
- t####.c####.q####.####.com/27ef00b064860d6cf6f3fec0adc8f09c.jpg?imageVi#...
- t####.c####.q####.####.com/2ea151ba7fe8464eccb6657cad29d3b1.jpg?imageVi#...
- t####.c####.q####.####.com/44ec1cbc5eab0d16121bd6165800e30d.jpg?imageVi#...
- t####.c####.q####.####.com/4663887fd7b332fcce8ec440d699d46b.jpg?imageVi#...
- t####.c####.q####.####.com/46b220ce734c8aece6a4ba6e5cf0be81.jpg?imageVi#...
- t####.c####.q####.####.com/646b2197eabc89c50617795b92e97989.jpg?imageVi#...
- t####.c####.q####.####.com/695587a8c4db256066ceadb5592991df.jpg?imageVi#...
- t####.c####.q####.####.com/6e13de552de709cf9807234fddb6b3b5.jpg?imageVi#...
- t####.c####.q####.####.com/8472ecdad97e8754c8c2e4c464aebdcc.jpg?imageVi#...
- t####.c####.q####.####.com/98c9391f8884ff1cd5545a4d945c73e0.jpg?imageVi#...
- t####.c####.q####.####.com/9d8187a0575515487c4247d35d6b0f72.jpg?imageVi#...
- t####.c####.q####.####.com/dd66c2a3885ec90660301df3b16dff4b.jpg?imageVi#...
- t####.c####.q####.####.com/tdata_Rnl693
- t####.c####.q####.####.com/tdata_Soq141
- t####.c####.q####.####.com/tdata_fEV688
- t####.c####.q####.####.com/tdata_siA393
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- res####.a####.com/v3/geocode/geo
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/12100566943590.0
- /data/data/####/1552768053742.log
- /data/data/####/16105716979059.0
- /data/data/####/2449076196279.0
- /data/data/####/265637307516.0
- /data/data/####/33110557262863.0
- /data/data/####/3790565190718.0
- /data/data/####/38105695762811.0
- /data/data/####/4380587478840.0
- /data/data/####/50120585902293.0
- /data/data/####/5180584238550.0
- /data/data/####/5195580153646.0
- /data/data/####/5785566058729.0
- /data/data/####/60120589683207.0
- /data/data/####/66100563634328.0
- /data/data/####/71115604910813.0
- /data/data/####/7470584150780.0
- /data/data/####/7575833747052.0
- /data/data/####/77110561475665.0
- /data/data/####/7775839980035.0
- /data/data/####/7970581207038.0
- /data/data/####/8149081110281.0
- /data/data/####/8159967051610.0
- /data/data/####/8195575937848.0
- /data/data/####/9190571679868.0
- /data/data/####/9465661997526.0
- /data/data/####/9559970059326.0
- /data/data/####/97115601103473.0
- /data/data/####/985562659996.0
- /data/data/####/BRTBEACONMANAGER.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/config.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/pref.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_Rnl693
- /data/data/####/tdata_Rnl693.jar
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_fEV688
- /data/data/####/tdata_fEV688.jar
- /data/data/####/tdata_siA393
- /data/data/####/tdata_siA393.jar
- /data/data/####/tempfile
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/xUtils_http_cookie.db
- /data/data/####/xUtils_http_cookie.db-journal
- /data/media/####/.nomedia
- /data/media/####/132e977b76fbf2e4bec3055f89505b5cb8e7e98a14cd3c....0.tmp
- /data/media/####/2cee3d30cada7b7a2a17b2867ba62702a74b67b01e7f95....0.tmp
- /data/media/####/30f307b87120cae64cb3484fee576d7108d3b9bfa1d0e9....0.tmp
- /data/media/####/3d677fa733de131214f2edd30279fb4a018c87811e3ac2....0.tmp
- /data/media/####/409f62437674e47ac0ea457a1e8cf2e95d0d3084557317....0.tmp
- /data/media/####/4ef7d9f524fc69b85ce9123adf69747932efdd2e186e5b....0.tmp
- /data/media/####/6677b2dddf57d81d9831916196f90f68a925fa6e3ee4f5....0.tmp
- /data/media/####/6ef1077f655183a85862ffb7e79d1402f40278d3b875c6....0.tmp
- /data/media/####/7ec44c9dba909aa12432428cf5c28003e1ea716e37495e....0.tmp
- /data/media/####/8fc05c8a5928bb5adeed411e6c5e4cc833e9d6085f20bf....0.tmp
- /data/media/####/9aed25b9ec2d1718263db49e63b6db031d96a6f7c90a40....0.tmp
- /data/media/####/a123418730f5aa86729a049e8bca8f36c813ffbdb6ac73....0.tmp
- /data/media/####/als.db
- /data/media/####/als.db-journal
- /data/media/####/app.db
- /data/media/####/com.ailvgo3.bin
- /data/media/####/com.ailvgo3.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/e3d0463009ff84be64727a79c3e43e901b78f9b85bb604....0.tmp
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/journal.tmp
- /data/media/####/tdata_Rnl693
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_fEV688
- /data/media/####/tdata_siA393
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24058 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24058 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
