Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- c.appj####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/tdata_Rnl693
- t####.c####.q####.####.com/tdata_Soq141
- t####.c####.q####.####.com/tdata_fEV688
- t####.c####.q####.####.com/tdata_siA393
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- c.appj####.com/ad/splash/stats.html
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0d4c484a2e20
- /data/data/####/AppIcon.png
- /data/data/####/Detail-NodeGray.png
- /data/data/####/Detail-NodeGreen.png
- /data/data/####/Detail-Phone.png
- /data/data/####/Detail-TimeIcon.png
- /data/data/####/Detail-TimeLine-Long.png
- /data/data/####/Detail-TimeLine.png
- /data/data/####/Detail-location.png
- /data/data/####/H5B92C10A.xml
- /data/data/####/JieShao.html
- /data/data/####/TheCodeOfDriver.html
- /data/data/####/WechatIMG2776.jpeg
- /data/data/####/ac.css
- /data/data/####/ac.js
- /data/data/####/ad_show_time.xml
- /data/data/####/answer.html
- /data/data/####/app.css
- /data/data/####/back.png
- /data/data/####/balance.png
- /data/data/####/balance_detail.html
- /data/data/####/bank_card.png
- /data/data/####/bankcard.html
- /data/data/####/bankcard_add.html
- /data/data/####/bond.png
- /data/data/####/cache.js
- /data/data/####/call.png
- /data/data/####/camera.css
- /data/data/####/camera.js
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/charge.html
- /data/data/####/clientid_igexin.xml
- /data/data/####/common.js
- /data/data/####/detail.html
- /data/data/####/detail.js
- /data/data/####/driver-auth.js
- /data/data/####/driver.png
- /data/data/####/driver_auth.html
- /data/data/####/driver_auth.js
- /data/data/####/end.png
- /data/data/####/feedback.html
- /data/data/####/fees.html
- /data/data/####/findpwd.html
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/has_msg.png
- /data/data/####/icon_add.png
- /data/data/####/icon_edit.png
- /data/data/####/id_auth.png
- /data/data/####/imageview.css
- /data/data/####/index.html
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/layers-2x.png
- /data/data/####/layers.png
- /data/data/####/leaflet-editable-polyline.js
- /data/data/####/leaflet-src.js
- /data/data/####/leaflet-src.map
- /data/data/####/leaflet.css
- /data/data/####/leaflet.js
- /data/data/####/leaflet.location.js
- /data/data/####/libjiagu.so
- /data/data/####/list.png
- /data/data/####/location.html
- /data/data/####/location.js
- /data/data/####/location.png
- /data/data/####/location2.png
- /data/data/####/location_blue_32px.png
- /data/data/####/login.html
- /data/data/####/login_pwd_img.png
- /data/data/####/login_tel_img.png
- /data/data/####/logout.png
- /data/data/####/manifest.json
- /data/data/####/map.html
- /data/data/####/map.js
- /data/data/####/map.png
- /data/data/####/marker-icon-2x.png
- /data/data/####/marker-icon.png
- /data/data/####/marker-shadow.png
- /data/data/####/md5.js
- /data/data/####/message.html
- /data/data/####/message.js
- /data/data/####/message.png
- /data/data/####/messageDetail.html
- /data/data/####/mine.html
- /data/data/####/mine_normal.png
- /data/data/####/mine_selected.png
- /data/data/####/more.png
- /data/data/####/msg.png
- /data/data/####/mui.imageviewer.css
- /data/data/####/mui.js
- /data/data/####/mui.min.css
- /data/data/####/mui.min.js
- /data/data/####/mui.picker.min.css
- /data/data/####/mui.picker.min.js
- /data/data/####/mui.poppicker.css
- /data/data/####/mui.poppicker.js
- /data/data/####/mui.previewimage.js
- /data/data/####/mui.pullToRefresh.js
- /data/data/####/mui.pullToRefresh.material.js
- /data/data/####/mui.ttf
- /data/data/####/mui.zoom.js
- /data/data/####/mywallet.html
- /data/data/####/no_header.png
- /data/data/####/order-record.css
- /data/data/####/order.html
- /data/data/####/order.js
- /data/data/####/order.png
- /data/data/####/order_normal.png
- /data/data/####/order_selected.png
- /data/data/####/pdr.xml
- /data/data/####/pic_box.png
- /data/data/####/plus.png
- /data/data/####/point.png
- /data/data/####/position.html
- /data/data/####/position.js
- /data/data/####/position.png
- /data/data/####/problem.html
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/record.html
- /data/data/####/record.js
- /data/data/####/record_normal.png
- /data/data/####/record_selected.png
- /data/data/####/reg.html
- /data/data/####/reg.js
- /data/data/####/reg_join_img.png
- /data/data/####/reg_message_img.png
- /data/data/####/reg_selected.png
- /data/data/####/reg_unselected.png
- /data/data/####/run.pid
- /data/data/####/setting.html
- /data/data/####/setting.png
- /data/data/####/start.png
- /data/data/####/stream_permission.xml
- /data/data/####/style.css
- /data/data/####/switch_normal.png
- /data/data/####/switch_selected.png
- /data/data/####/syx_bm.png
- /data/data/####/syx_gs.png
- /data/data/####/syx_reg.jpeg
- /data/data/####/tdata_Rnl693
- /data/data/####/tdata_Rnl693.jar
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_fEV688
- /data/data/####/tdata_fEV688.jar
- /data/data/####/tdata_siA393
- /data/data/####/tdata_siA393.jar
- /data/data/####/theme.css
- /data/data/####/touxiang.png
- /data/data/####/umeng_general_config.xml
- /data/data/####/update.png
- /data/data/####/user-form.css
- /data/data/####/userName.html
- /data/data/####/wallet.png
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromium.db-journal (deleted)
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/withdraw_cash.html
- /data/data/####/withdraw_his.html
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.sanyiyuntong.suyunxiasiji.bin
- /data/media/####/com.sanyiyuntong.suyunxiasiji.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/tdata_Rnl693
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_fEV688
- /data/media/####/tdata_siA393
- /data/media/####/temp.arm
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 26080 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 26080 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
