Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p9####.byt####.cn.####.com:80
- TCP(HTTP/1.1) jjlmo####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) p####.byt####.cn:80
- TCP(HTTP/1.1) pic.rmb.bdst####.####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) api.juejinc####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) ser####.dc####.net.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) p####.byt####.cn.####.com:80
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) ser####.dc####.net.cn:443
- TCP(TLS/1.0) jjlmo####.oss-cn-####.aliy####.com:443
- TCP c####.g####.ig####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- api.juejinc####.com
- c####.g####.ig####.com
- c####.mm####.com
- c-h####.g####.com
- c.c####.com
- hm.b####.com
- jjlmo####.oss-cn-####.aliy####.com
- on####.c####.com
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- p1.ps####.com
- p9####.byt####.cn
- pic.rmb.bdst####.com
- pub-####.qin####.com
- s5.c####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ser####.dc####.net.cn
- st####.dc####.net.cn
- www.google-####.com
- www.googlet####.com
- z9.c####.com
Запросы HTTP GET:
- api.juejinc####.com/v1/article/pull_up?ch_rand=####&columnid=####&page=#...
- api.juejinc####.com/v1/channel/recommend?source_style=####&uid=####&user...
- api.juejinc####.com/v1/channel/user?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/gift_image?source_style=####&uid=####&user_token=...
- api.juejinc####.com/v1/message/hint?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/share/copywriting?tag=####&url=####&is_small_rout...
- api.juejinc####.com/v1/share/top_car?source_style=####&uid=####&user_tok...
- api.juejinc####.com/v1/system/get_domain?source_style=####&uid=####&user...
- api.juejinc####.com/v1/system/menu?vsn=####&source_style=####
- api.juejinc####.com/v1/task/minute30?source_style=####&uid=####&user_tok...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_31058/brand_logo/ae7e82...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_31058/pic_list_h/37d132...
- p####.byt####.cn.####.com/thumb/dfic-imagehandler/7b863783-9051-4d6a-b9e...
- p####.byt####.cn.####.com/thumb/dfic-imagehandler/ec96b2d5-7a29-4e72-930...
- p####.byt####.cn.####.com/thumb/pgc-image/0f04d9b534d44a5a9e48bf1b0e1350...
- p####.byt####.cn.####.com/thumb/pgc-image/2263e4e14790487686a19f5dae4ac5...
- p####.byt####.cn.####.com/thumb/pgc-image/2a94647f1c834c209d9f2dc034d565...
- p####.byt####.cn.####.com/thumb/pgc-image/2cf8152efd3a4e5fa2cedc38ca102b...
- p####.byt####.cn.####.com/thumb/pgc-image/4272806774b14eda87f85e4832cc89...
- p####.byt####.cn.####.com/thumb/pgc-image/52cacf1ea5134f9588d831204e9066...
- p####.byt####.cn.####.com/thumb/pgc-image/6088366712274dd1bcfe69fade9df5...
- p####.byt####.cn.####.com/thumb/pgc-image/6150381685c0483ba4f4ca0757d399...
- p####.byt####.cn.####.com/thumb/pgc-image/656e8cf39a564dc3a85ac0d352bf5d...
- p####.byt####.cn.####.com/thumb/pgc-image/7149594ed25a4183bd04b1fef2181e...
- p####.byt####.cn.####.com/thumb/pgc-image/7935245199dd4fc48341114cc19eed...
- p####.byt####.cn.####.com/thumb/pgc-image/7a0248b7adbf4c1194ba48da3ebb95...
- p####.byt####.cn.####.com/thumb/pgc-image/897bb052677145028839e85476f0f2...
- p####.byt####.cn.####.com/thumb/pgc-image/8b691ce1004247948871f52dae12a8...
- p####.byt####.cn.####.com/thumb/pgc-image/9af5b3332b3c450daa10727438d794...
- p####.byt####.cn.####.com/thumb/pgc-image/adc8aad0c2d0405f9110fe4fd82184...
- p####.byt####.cn.####.com/thumb/pgc-image/bb752183006c448182fb98528b8ec0...
- p####.byt####.cn.####.com/thumb/pgc-image/e0912cf6085841449237bc311f0287...
- p####.byt####.cn.####.com/thumb/pgc-image/e6e54fcfd2e9458c84ae43bbeba997...
- p####.byt####.cn.####.com/thumb/pgc-image/ecbc98a136e44c668167eae04189e9...
- p####.byt####.cn/large/pgc-image/8ef39d66b40b4d6d9f5615867f85c7d4?x-oss-...
- p####.byt####.cn/thumb/dfic-imagehandler/26bdfced-a064-4354-9b13-5735163...
- p####.byt####.cn/thumb/dfic-imagehandler/6ec50898-db3e-4f48-a215-742f9b8...
- p####.byt####.cn/thumb/dfic-imagehandler/9ea097fb-cc91-4144-9c4c-c56f0c9...
- p####.byt####.cn/thumb/dfic-imagehandler/c4291c88-da14-4554-babf-d5a8513...
- p####.byt####.cn/thumb/dfic-imagehandler/fe4d6444-5424-4804-b8d7-a5dcadb...
- p####.byt####.cn/thumb/pgc-image/452a7ce5c0944a8c921a82b09f0d48aa?x-oss-...
- p####.byt####.cn/thumb/pgc-image/5ebef0e0a5ef4f67b0c80510aa2e6a19?x-oss-...
- p####.byt####.cn/thumb/pgc-image/72f4dc82414547a7809a5f56a37ea651?x-oss-...
- p####.byt####.cn/thumb/pgc-image/74ae5f512c63468b92ffdfbf18d3c0aa?x-oss-...
- p####.byt####.cn/thumb/pgc-image/8db49835758545a7b51033817408151e?x-oss-...
- p####.byt####.cn/thumb/pgc-image/948d1e74f2c54db6bc3ada3fdfad7843?x-oss-...
- p####.byt####.cn/thumb/pgc-image/RLFhCaa6dOD9Qi?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/RLFhCav8pj5U5S?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/RLFhCb9FXBKeJZ?x-oss-process=####
- p####.byt####.cn/thumb/pgc-image/b383b3bdb8ab4a0cbd9fa1de38098336?x-oss-...
- p####.byt####.cn/thumb/pgc-image/c61a88a2ebb242fa8c2f87b0a50c29db?x-oss-...
- p####.byt####.cn/thumb/pgc-image/d09577cb4b20412daf1a0b657829baa2?x-oss-...
- p####.byt####.cn/thumb/pgc-image/e8d303585e6846eeac68f2319d10253e?x-oss-...
- p####.byt####.cn/thumb/pgc-image/e8d486c8d3ce4a4eaf2838c1f4664243?x-oss-...
- p####.byt####.cn/thumb/pgc-image/fea09a3a88fe4a5a86bf0da4e7a27c72?x-oss-...
- p9####.byt####.cn.####.com/thumb/pgc-image/646393e7af204dd8a4b54138b16bd...
- pic.rmb.bdst####.####.com/5b658f73e8663925e26a11007874dab8.jpeg@wm_2,t_5...
- pic.rmb.bdst####.####.com/7d6e9e56a705d77fe7d545950ce55abd.jpeg?x-oss-pr...
- pic.rmb.bdst####.####.com/b0050cb04ee48224b208b85002a84fe5.jpeg?x-oss-pr...
- pic.rmb.bdst####.####.com/be87b108695abd14fae2f1d04338fc2f.gif?x-oss-pro...
- pic.rmb.bdst####.####.com/c7a484cb69018a7ce4c0e69cd9064af0.gif?x-oss-pro...
- pic.rmb.bdst####.####.com/e965a2fa773a39c68223b6add1872a2e.jpeg?x-oss-pr...
- qin####.com.www.####.com/tdata_EDT356
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- ser####.dc####.net.cn/device/location
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imei.txt
- /data/data/####/.jg.ic
- /data/data/####/H53C01A44.xml
- /data/data/####/MultiDex.lock
- /data/data/####/_adio.dcloud.feature.ad.a.a.xml
- /data/data/####/a78f20dff98b
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc_ad_type_key.xml
- /data/data/####/eje3cnc
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/file__0.localstorage-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/html5Geo.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu493851424.so
- /data/data/####/multidex.version.xml
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/start_statistics_data.xml
- /data/data/####/stream_permission.xml
- /data/data/####/test_app
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.imei.txt
- /data/media/####/AdEnable.dat
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.juejinchain.android.bin
- /data/media/####/com.juejinchain.android.db
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
Загружает динамические библиотеки:
- getuiext3
- libjiagu493851424
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
