Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) api.icaipia####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) p####.icaipia####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(TLS/1.0) api.icaipia####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- api.icaipia####.com
- c####.g####.ig####.com
- c-h####.g####.com
- odqcj####.bkt.clo####.com
- op079####.bkt.clo####.com
- p####.icaipia####.com
- p.wangca####.com
- p.zhangko####.cn
- pub-####.qin####.com
- s0.icaipia####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- api.icaipia####.com/api/v1/c/p?p=####
- api.icaipia####.com/api/v5/server/timestamp
- api.icaipia####.com/api/v6/lotterynums/latest/all
- api.icaipia####.com/api/v7/social/hotlist?count=####&page=####
- api.icaipia####.com/api/v7/social/topandnoticelist
- idv####.qini####.com/C5D1E4606039F0C005F370AB8E2B2A1A.jpg?imageVi####
- idv####.qini####.com/troop_60552279D897ABD3FB0B331CDE8955C8.jpg?imageVi#...
- idv####.qini####.com/yindao1.png
- idv####.qini####.com/yindao2.png
- idv####.qini####.com/yindao3.png
- idv####.qini####.com/yindao4.png
- idv####.qini####.com/yindao5.png
- idv####.qini####.com/yindao6.png
- idv####.qini####.com/yindao7.png
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/avatar/190304/6701814f9cdcf532b4bd168bbaeeaf8...
- t####.c####.q####.####.com/tdata_JNg986
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iRz660
- t####.c####.q####.####.com/tdata_zzW503
- ti####.c####.l####.####.com/124.jpg?imageVi####
- ti####.c####.l####.####.com/20190313/AD8C3BE11FC40E747D273255756FB4BC.jp...
- ti####.c####.l####.####.com/20190320/9719A44667295F397D874083753ACEAF.jp...
- ti####.c####.l####.####.com/20190323/a3458e19e11873fe816d69173da790a0.jp...
- ti####.c####.l####.####.com/20190323/ff633db06d27aa3ed018191b6c99c718.jp...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- ti####.c####.l####.####.com/pai23.jpg?imageVi####
- ti####.c####.l####.####.com/qi87.jpg?imageVi####
- ti####.c####.l####.####.com/recommend/master/171023132946/688.jpg?imageV...
- ti####.c####.l####.####.com/usericon_default.jpg?imageVi####
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.icaipia####.com/api/v5/server/activate
- c-h####.g####.com/api.php?format=####&t=####
- p####.icaipia####.com/push/v1/online
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-112810602523283520
- /data/data/####/-11788933491545824674
- /data/data/####/-117889334996384371
- /data/data/####/-1219906726-260985265
- /data/data/####/-1306142814-53937323 (deleted)
- /data/data/####/-1379327317-1017281406
- /data/data/####/-14932529442085446822
- /data/data/####/-149325294475075523
- /data/data/####/-15550845311794934182
- /data/data/####/-17893987121944668222
- /data/data/####/-19096045061170456815
- /data/data/####/-541443364-749808217
- /data/data/####/-8705683911534855627
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/10558756621092759573
- /data/data/####/1081200361632672189
- /data/data/####/12694850861321133368
- /data/data/####/1524063753-1257451189
- /data/data/####/16379882871505820167
- /data/data/####/1943235458523283520
- /data/data/####/21090119561046727059
- /data/data/####/23721b8af1a79e010fab383925595044ece491744e48772....0.tmp
- /data/data/####/253193064-1619705854
- /data/data/####/253193064-2039568853
- /data/data/####/3042defe3ee6590cdbb09c04069e432aa723e5b752b1445....0.tmp
- /data/data/####/3d0329a895ed
- /data/data/####/4063040ea24212ef38fe479e301fa0a36e42edb941ffa85....0.tmp
- /data/data/####/52af92a7b33d1e05f6a5a2703873696c5350a0dea82dfe6....0.tmp
- /data/data/####/76f3c356d178e5d22f987e908e0608e6842e313cb1bb784....0.tmp
- /data/data/####/8189759841848542199
- /data/data/####/943b2068cf1cbb4205f769a034c1b9cabbf10a8011773f2....0.tmp
- /data/data/####/953799101-1838098062
- /data/data/####/__cfg_lk_1312
- /data/data/####/a33a61549aabaeff3c58a4d6403ab127a8945fac064cfaf....0.tmp
- /data/data/####/b674d6d463665361ba315fa4feaff668ddb7e36e013f60e....0.tmp
- /data/data/####/bcdff2177bece5ab74cd91d2369161f2f066f89a2e19c04....0.tmp
- /data/data/####/cache.xml
- /data/data/####/cache_int.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/d62639b49ac4e795d1b493b89ebc40e2e436f9b980ea78b....0.tmp
- /data/data/####/e10c6345526dcb541c9a3e7ade25252ce7d4ffd68bf946a....0.tmp
- /data/data/####/effad5b4bc28520c9427f4493e96f9e81598bd03d073cb5....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fucai3d.main_preferences.xml
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_JNg986
- /data/data/####/tdata_JNg986.jar
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iRz660
- /data/data/####/tdata_iRz660.jar
- /data/data/####/tdata_zzW503
- /data/data/####/tdata_zzW503.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/2k21vfy2cvwj5p3cgh90dewr1
- /data/media/####/6ps7ytm0q9suaubk4e5vxux7p
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/fucai3d.main.bin
- /data/media/####/fucai3d.main.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/prediction_lead0.jpg
- /data/media/####/prediction_lead1.jpg
- /data/media/####/prediction_lead2.jpg
- /data/media/####/prediction_lead3.jpg
- /data/media/####/prediction_lead4.jpg
- /data/media/####/prediction_lead5.jpg
- /data/media/####/prediction_lead6.jpg
- /data/media/####/tdata_JNg986
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iRz660
- /data/media/####/tdata_zzW503
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.mango.push.processor.CustomerPushService 24138 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
