Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) api.juejinc####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) p9####.byt####.cn.####.com:80
- TCP(HTTP/1.1) jjlmo####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) p####.byt####.cn:80
- TCP(HTTP/1.1) ser####.dc####.net.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) p####.byt####.cn.####.com:80
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
- TCP(TLS/1.0) ser####.dc####.net.cn:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) jjlmo####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5224
Запросы DNS:
- api.juejinc####.com
- c####.g####.ig####.com
- c####.mm####.com
- c-h####.g####.com
- c.c####.com
- hm.b####.com
- jjlmo####.oss-cn-####.aliy####.com
- on####.c####.com
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- p####.byt####.cn
- p1.ps####.com
- p9####.byt####.cn
- pic.rmb.bdst####.com
- pub-####.qin####.com
- s5.c####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- ser####.dc####.net.cn
- st####.dc####.net.cn
- www.google-####.com
- www.googlet####.com
- z9.c####.com
Запросы HTTP GET:
- api.juejinc####.com/v1/article/pull_up?ch_rand=####&columnid=####&page=#...
- api.juejinc####.com/v1/channel/recommend?source_style=####&uid=####&user...
- api.juejinc####.com/v1/channel/user?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/gift_image?source_style=####&uid=####&user_token=...
- api.juejinc####.com/v1/message/hint?source_style=####&uid=####&user_toke...
- api.juejinc####.com/v1/share/copywriting?tag=####&url=####&is_small_rout...
- api.juejinc####.com/v1/share/top_car?source_style=####&uid=####&user_tok...
- api.juejinc####.com/v1/system/get_domain?source_style=####&uid=####&user...
- api.juejinc####.com/v1/system/menu?vsn=####&source_style=####
- api.juejinc####.com/v1/task/minute30?source_style=####&uid=####&user_tok...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_33211/brand_logo/8639c2...
- jjlmo####.oss-cn-####.aliy####.com/goods_car/gid_33211/pic_list_h/50393b...
- p####.byt####.cn.####.com/thumb/pgc-image/1a8c5622386d43848ba797c9e28434...
- p####.byt####.cn.####.com/thumb/pgc-image/3077b5c32d6a4bf1a6863c8e7a6cc4...
- p####.byt####.cn.####.com/thumb/pgc-image/634311ba3bc540328e0b9eb63b4029...
- p####.byt####.cn.####.com/thumb/pgc-image/656e8cf39a564dc3a85ac0d352bf5d...
- p####.byt####.cn.####.com/thumb/pgc-image/6a4b5eac79e5443c846ae2f6f0d69b...
- p####.byt####.cn.####.com/thumb/pgc-image/6cf8ad289ebe406c863a7d86068db0...
- p####.byt####.cn.####.com/thumb/pgc-image/8b68d9fcc32f4f37ab1da941986fa1...
- p####.byt####.cn.####.com/thumb/pgc-image/RM6VmIf8dLGyEB?x-oss-process=#...
- p####.byt####.cn.####.com/thumb/pgc-image/RM6icPHCk1PBZ2?x-oss-process=#...
- p####.byt####.cn.####.com/thumb/pgc-image/bbb762a758104c4d896490a0b38562...
- p####.byt####.cn.####.com/thumb/pgc-image/d8f87cf939a64c22869cb41c8ce706...
- p####.byt####.cn/large/pgc-image/8ef39d66b40b4d6d9f5615867f85c7d4?x-oss-...
- p####.byt####.cn/thumb/pgc-image/0fe3d97f764942fcaba564a2f08a7259?x-oss-...
- p####.byt####.cn/thumb/pgc-image/34b14823da064b6ca3c4a6c4380efccb?x-oss-...
- p####.byt####.cn/thumb/pgc-image/66eb2abf21544486b546a65a06e1485c?x-oss-...
- p####.byt####.cn/thumb/pgc-image/a9037d611cff499aa7b7cb8dbd38aad4?x-oss-...
- p####.byt####.cn/thumb/pgc-image/af67414944ae4a1d99c065d90d06d6d7?x-oss-...
- p####.byt####.cn/thumb/pgc-image/d7cbd97069464bdf9d564a4fb6bf668b?x-oss-...
- p####.byt####.cn/thumb/pgc-image/e3e56cef9e794d0aa288cb9d2ef7f217?x-oss-...
- p9####.byt####.cn.####.com/thumb/dfic-imagehandler/23529407-0145-4a13-a3...
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- ti####.c####.l####.####.com/tdata_EDT356
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- ser####.dc####.net.cn/device/location
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imei.txt
- /data/data/####/.jg.ic
- /data/data/####/H53C01A44.xml
- /data/data/####/MultiDex.lock
- /data/data/####/_adio.dcloud.feature.ad.a.a.xml
- /data/data/####/a78f20dff98b
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc_ad_type_key.xml
- /data/data/####/eje3cnc
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/file__0.localstorage-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/html5Geo.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu493851424.so
- /data/data/####/multidex.version.xml
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/start_statistics_data.xml
- /data/data/####/stream_permission.xml
- /data/data/####/test_app
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromium.db-journal (deleted)
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.imei.txt
- /data/media/####/AdEnable.dat
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.juejinchain.android.bin
- /data/media/####/com.juejinchain.android.db
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25308 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu493851424
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
