Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) 2####.192.139.100:8088
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) f####.f####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) img.f####.com.####.net:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP c####.g####.ig####.com:5227
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- f####.f####.com
- img.f####.com
- imgc####.qq.com
- mi.g####.qq.com
- p####.ugd####.com
- s####.e.qq.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- f####.f####.com/Flux4AdData.aspx?id=####
- img.f####.com.####.net/Novel/166x235/0/184/000184169.jpg
- img.f####.com.####.net/Novel/166x235/0/207/000207731.jpg
- img.f####.com.####.net/Novel/166x235/0/207/000207972.jpg
- img.f####.com.####.net/Novel/166x235/0/211/000211031.jpg
- img.f####.com.####.net/Novel/166x235/0/212/000212744.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215032.jpg
- img.f####.com.####.net/Novel/166x235/0/220/000220523.jpg
- img.f####.com.####.net/Novel/166x235/0/220/000220575.jpg
- img.f####.com.####.net/Novel/166x235/0/221/000221401.jpg
- img.f####.com.####.net/Novel/166x235/0/221/000221446.jpg
- img.f####.com.####.net/Novel/166x235/0/222/000222293.jpg
- img.f####.com.####.net/Novel/166x235/0/223/000223133.jpg
- img.f####.com.####.net/Novel/166x235/0/223/000223796.jpg
- img.f####.com.####.net/Novel/166x235/0/224/000224691.jpg
- img.f####.com.####.net/Novel/166x235/0/225/000225966.jpg
- img.f####.com.####.net/Novel/166x235/0/226/000226661.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227148.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227239.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227906.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227938.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227956.jpg
- img.f####.com.####.net/Novel/166x235/0/227/000227983.jpg
- img.f####.com.####.net/Novel/166x235/0/228/000228260.jpg
- img.f####.com.####.net/Novel/166x235/0/228/000228447.jpg
- img.f####.com.####.net/Novel/166x235/0/229/000229302.jpg
- img.f####.com.####.net/Novel/166x235/0/229/000229514.jpg
- img.f####.com.####.net/Novel/166x235/0/231/000231300.jpg
- img.f####.com.####.net/Novel/166x235/0/231/000231355.jpg
- img.f####.com.####.net/Novel/166x235/0/231/000231522.jpg
- img.f####.com.####.net/Novel/166x235/0/231/000231939.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232005.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232014.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232560.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232595.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232784.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232835.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232927.jpg
- img.f####.com.####.net/Novel/166x235/0/232/000232987.jpg
- img.f####.com.####.net/Novel/166x235/0/233/000233875.jpg
- img.f####.com.####.net/Novel/166x235/0/234/000234087.jpg
- img.f####.com.####.net/Novel/166x235/0/234/000234177.jpg
- img.f####.com.####.net/Novel/166x235/0/235/000235181.jpg
- img.f####.com.####.net/Novel/166x235/0/235/000235431.jpg
- img.f####.com.####.net/Novel/166x235/0/235/000235559.jpg
- img.f####.com.####.net/Novel/166x235/0/235/000235570.jpg
- img.f####.com.####.net/Novel/166x235/0/236/000236751.jpg
- img.f####.com.####.net/Novel/166x235/0/259/000259345.jpg
- img.f####.com.####.net/hpic/2018/11/30/37b1885f-6a2e-4708-b07b-0423ff4fa...
- img.f####.com.####.net/hpic/2018/11/30/ce6a9df8-68c3-4158-8a0e-c0c8586ae...
- img.f####.com.####.net/hpic/2018/11/30/de1139d4-2554-477c-8bb6-b21a27fdb...
- img.f####.com.####.net/hpic/2018/11/30/f830b8aa-2299-4c2f-8e08-61aae0c67...
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- s####.tc.qq.com/gdt/0/DAAY-ERAMgASwABjBcnCQeCl2yq_kf.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/transformer_13080206594176147007_1553738421_80.jpg...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- s####.e.qq.com/activate
- s####.e.qq.com/msg
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-203136737
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/1888908724
- /data/data/####/50ac3635a9d02da9462fdd1b919067d3.temp
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/ab2f4ea1d8bef1b58e87b817a0d84c72.temp
- /data/data/####/bugly_db_-journal
- /data/data/####/config.xml
- /data/data/####/crashrecord.xml
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/mfbook.db
- /data/data/####/mfbook.db-journal
- /data/data/####/native_record_lock
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/security_info
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/media/####/-10570496830.tmp
- /data/media/####/-10597241400.tmp
- /data/media/####/-112039960.tmp
- /data/media/####/-12122151460.tmp
- /data/media/####/-12839788040.tmp
- /data/media/####/-13670956940.tmp
- /data/media/####/-14225069540.tmp
- /data/media/####/-15102414490.tmp
- /data/media/####/-1530255250.tmp
- /data/media/####/-17669084570.tmp
- /data/media/####/-18003010460.tmp
- /data/media/####/-18435068690.tmp
- /data/media/####/-18746592900.tmp
- /data/media/####/-18984802150.tmp
- /data/media/####/-19884996660.tmp
- /data/media/####/-19889852730.tmp
- /data/media/####/-246990380.tmp
- /data/media/####/-3378326260.tmp
- /data/media/####/-3382333310.tmp
- /data/media/####/-537661030.tmp
- /data/media/####/-7134149690.tmp
- /data/media/####/-7858922820.tmp
- /data/media/####/-7992042820
- /data/media/####/-7992042820.tmp
- /data/media/####/-8308851780.tmp
- /data/media/####/-8481508950.tmp
- /data/media/####/-9725214920.tmp
- /data/media/####/.nomedia
- /data/media/####/11081984760.tmp
- /data/media/####/11508341560.tmp
- /data/media/####/1379435590.tmp
- /data/media/####/14038049070.tmp
- /data/media/####/14150225080.tmp
- /data/media/####/14529774940.tmp
- /data/media/####/14672502240.tmp
- /data/media/####/15515682670.tmp
- /data/media/####/16247524000.tmp
- /data/media/####/17130097110.tmp
- /data/media/####/17836877090.tmp
- /data/media/####/19962736130.tmp
- /data/media/####/20239792430.tmp
- /data/media/####/20501176360.tmp
- /data/media/####/4343876620.tmp
- /data/media/####/5922559220.tmp
- /data/media/####/734678550.tmp
- /data/media/####/7507437610.tmp
- /data/media/####/9558253920.tmp
- /data/media/####/960273410.tmp
- /data/media/####/9968180890.tmp
- /data/media/####/app.db
- /data/media/####/com.faloo.BookReader4Android.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/http+img+faloo+com+Novel+166x235+0+236+000236751+jpg
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- logcat *:e *:i | grep (2285)
- logcat *:e *:i | grep (2314)
- logcat *:e *:i | grep "(2285)"
- logcat *:e *:i | grep "(2314)"
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
