Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) reso####.msg.xi####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 1####.205.203.109:8027
- TCP(HTTP/1.1) msg.umengc####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) tin####.img-cn-####.aliy####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) api.listenf####.com:80
- TCP(HTTP/1.1) api.m.ta####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP 47.74.1####.155:5222
- TCP 4####.62.94.2:443
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.91.com
- a####.m.ta####.com
- a####.u####.com
- ag####.m.ta####.com
- api.listenf####.com
- api.m.ta####.com
- api.map.b####.com
- c####.g####.ig####.com
- c-h####.g####.com
- d####.opensp####.cn
- h####.opensp####.cn
- loc.map.b####.com
- msg.umengc####.com
- pub-####.qin####.com
- regi####.xm####.xi####.com
- reso####.msg.xi####.net
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- tin####.img-cn-####.aliy####.com
Запросы HTTP GET:
- api.m.ta####.com/activeip/?appkey=####&ttid=####&deviceId=####&imei=####...
- api.m.ta####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=####...
- api.m.ta####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=####&a...
- api.m.ta####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####&v=#...
- api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
- h####.opensp####.cn/launchconfig?t=####&p=b3dlc####
- reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
- t####.c####.q####.####.com/tdata_JNg986
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_iRz660
- t####.c####.q####.####.com/tdata_zzW503
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- ti####.c####.l####.####.com/tdata_EDT369
- tin####.img-cn-####.aliy####.com/ADS/3c14e167cbb2441b9a9de1e3d2054158.jpg
- tin####.img-cn-####.aliy####.com/Goods/008374c61f314b6fad803fe6ccbc9ee8....
- tin####.img-cn-####.aliy####.com/Goods/01934374b65f4ffb9e4ed15cfbcc7b2a....
- tin####.img-cn-####.aliy####.com/Goods/0b094874dc1d4f5ca7338136dfe0eb59....
- tin####.img-cn-####.aliy####.com/Goods/14cb462eb7064301ada2e48abd1f6019....
- tin####.img-cn-####.aliy####.com/Goods/19d361c4288e4e1381aadd0e3cb03c73....
- tin####.img-cn-####.aliy####.com/Goods/27671e1732d54d98896390352b2dbded....
- tin####.img-cn-####.aliy####.com/Goods/2cae6fdf9aef48dc98ef1f200ed0642b....
- tin####.img-cn-####.aliy####.com/Goods/33bde37426814af2bcc8b5c080730093....
- tin####.img-cn-####.aliy####.com/Goods/3681d506e06744329c2f38b7db915800....
- tin####.img-cn-####.aliy####.com/Goods/46bf29fa2774468b9c656508375a4ff1....
- tin####.img-cn-####.aliy####.com/Goods/54097625e8d24948a70bbcfe681986cf....
- tin####.img-cn-####.aliy####.com/Goods/5a017f236bce41e8ae6f322bd70d7599....
- tin####.img-cn-####.aliy####.com/Goods/6292977d2fb343feb034c03f52351e17....
- tin####.img-cn-####.aliy####.com/Goods/63707c8a81274cfe9c894d9ef95a41a0....
- tin####.img-cn-####.aliy####.com/Goods/6e3995526386405c89392bd33e236aca....
- tin####.img-cn-####.aliy####.com/Goods/7bdd59d0f7a745fcba02c25a64bf9bba....
- tin####.img-cn-####.aliy####.com/Goods/8e949a97da544bd684c165e03f4077d3....
- tin####.img-cn-####.aliy####.com/Goods/8fa94702fe5343b8b50e34afe3e2bb6e....
- tin####.img-cn-####.aliy####.com/Goods/9206aa81a369402ab0e650f914ea7f26....
- tin####.img-cn-####.aliy####.com/Goods/93714aefa1594d9dbc8e4f6211159b0f....
- tin####.img-cn-####.aliy####.com/Goods/a0aaba428fb840cd8cf4cd70b91f205d....
- tin####.img-cn-####.aliy####.com/Goods/b7a0f7e12e0a4d4abd25235018e507b9....
- tin####.img-cn-####.aliy####.com/Goods/c05c15cd357e41aba9dbcf213414f62f....
- tin####.img-cn-####.aliy####.com/Goods/d58db29954f34076a1108f295e621b09....
- tin####.img-cn-####.aliy####.com/Goods/f1e72bdc0b2b444cab311c16f8c6a169....
- tin####.img-cn-####.aliy####.com/Plants/48c711a1a32147eeae3380c5db165fcd...
- tin####.img-cn-####.aliy####.com/Plants/5dd7d187ff0c4e7c96b8a9cfbd3bab2c...
- tin####.img-cn-####.aliy####.com/Plants/8fb5bbf90e9d4047b29e98a0b619215b...
- tin####.img-cn-####.aliy####.com/Plants/feaacf37a074455484d064f03fdd8b59...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.listenf####.com/API/3_1/AD.aspx
- api.listenf####.com/API/3_1/OnAPPInit.aspx
- api.listenf####.com/API/3_1/VersionUpdate/NewGreenPlantsGoodsList.aspx
- api.listenf####.com/API/3_1/loginInit.aspx
- c-h####.g####.com/api.php?format=####&t=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- msg.umengc####.com/v2/register
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0f76559f82a4ad1802852a490d2944694257916ea8badd9....0.tmp
- /data/data/####/10bfe6776159673bbb6e1896d6cc7806b9f6afce7e6f624....0.tmp
- /data/data/####/1151daff31fffe5e3c3d064b89bc74c76252f8f3070f268....0.tmp
- /data/data/####/13fcb8b0dd0f56c6f0ad77641a022df03ab3a7c59f1679d....0.tmp
- /data/data/####/1aa4f02eaa8850c3475ab3872eef4c50b01efb038df630a....0.tmp
- /data/data/####/23586e3a304bf0fea3f81b109bb4d563cf00a7f76a8d750....0.tmp
- /data/data/####/247abdd866fb4a83618744350634682b656a01bd859f7de....0.tmp
- /data/data/####/25c47d50faa0999f05cda754bf93d956078b5bce746fe3e....0.tmp
- /data/data/####/3bcc520690fb4c12b8a218f6ae1495f13a3c3843ef4694b....0.tmp
- /data/data/####/41e9d1b3f32f112ed4d196d3c00f56d19ff28b921d65fc9....0.tmp
- /data/data/####/43902309289daccb9c14335776b34e51116ec5dee000078....0.tmp
- /data/data/####/4c99d4cdc849c9ed7d7f3e333bb6f94ed80e6e19a30cc3c....0.tmp
- /data/data/####/542fefb7363bd40f05adff3c3c02b2fddf4d650b8c54779....0.tmp
- /data/data/####/635224a8ff58d23452167d21479d861468fbfd7701d3706....0.tmp
- /data/data/####/652c65c375cb059b021e5a707c71c672c13e33e5a22a336....0.tmp
- /data/data/####/6c2b3c7f89d8223ee43ddd93b33b6bae12f7571fd7b980a....0.tmp
- /data/data/####/6ee2bd0c5a4877858a6d067db23ad2d6acfcabb26bd2a3b....0.tmp
- /data/data/####/71cceb26882c
- /data/data/####/7a9a9215cbb637086966f2163ac1905e5e3fc562e46dcf4....0.tmp
- /data/data/####/7dde2d02ddd86dc9c18ca1d7b2bd694381a0a8c987c35ac....0.tmp
- /data/data/####/7fcbf8861fa2ba5202d2e2e8a2051b0eb5e639fe9847d4b....0.tmp
- /data/data/####/894a5dad2806ccee7293800e0366796d7a89a0bb6011023....0.tmp
- /data/data/####/8aa7931456c51e64a00433430ac8f66211b77f06303b775....0.tmp
- /data/data/####/8b9bd5736a52eaba34c0e05ea7b4ba65809676816d03201....0.tmp
- /data/data/####/AGOO_CONNECT.xml
- /data/data/####/AGOO_HOST.xml
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/PhoneUtil.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/XMPushServiceConfig.xml
- /data/data/####/a228f3e336bbd0759c1139b57eb7cfe40d49dfde0781b20....0.tmp
- /data/data/####/agoo.pid
- /data/data/####/authStatus_com.tinghua.listenflowers.xml
- /data/data/####/authStatus_com.tinghua.listenflowers;push.xml
- /data/data/####/authStatus_com.tinghua.listenflowers;pushservice.xml
- /data/data/####/authStatus_com.tinghua.listenflowers;remote.xml
- /data/data/####/bdp_pref.xml
- /data/data/####/be6ef0d28fd4c86afc6a6f7fec5fe7890f361e09375088b....0.tmp
- /data/data/####/c3d7a473b74096d07d089a823ee00a74ab0506b7ded47f9....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/com.tinghua.listenflowers;pushservice
- /data/data/####/de35f8797f5aea919fe28df30becce3bca9e1aa22693bda....0.tmp
- /data/data/####/e596cc23275dc2bdf859a806a1fac871953a9071ac31b38....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f11086e5b0b3201d2db604942c7968a7bccac793012e82c....0.tmp
- /data/data/####/fa0e53a4358d11c9f242807bf2826db0d4ca2d880953586....0.tmp
- /data/data/####/firll.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/geofencing.db
- /data/data/####/geofencing.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.tinghua.listenflowers.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/mipush.xml
- /data/data/####/mipush_account.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/multidex.version.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_JNg986
- /data/data/####/tdata_JNg986.jar
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_iRz660
- /data/data/####/tdata_iRz660.jar
- /data/data/####/tdata_zzW503
- /data/data/####/tdata_zzW503.jar
- /data/data/####/tinghua.db-journal
- /data/data/####/tinghua_share_data.xml
- /data/data/####/tinghua_share_welcome_data.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/media/####/.2F6E2C5B63F0F83B
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/000.html
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.tinghua.listenflowers.bin
- /data/media/####/com.tinghua.listenflowers.db
- /data/media/####/conlts.dat
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/iflyworkdir_test
- /data/media/####/ller.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tdata_JNg986
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_iRz660
- /data/media/####/tdata_zzW503
- /data/media/####/test.0
- /data/media/####/test.log
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.umeng.message.UmengService --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_android_daemon_1.1.0 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:573fbc1667e58ef7d700346a","utdid":"XKOEgfimNigDAGdzx1GxgCPl","sdkVersion":"20160215"} -I agoodm.m.taobao.com -O 80 -T -Z
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GetuiPushService 25588 300 0
- cat /sys/class/net/wlan0/address
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh
Загружает динамические библиотеки:
- BaiduMapSDK_base_v3_7_3
- getuiext2
- libjiagu
- locSDK6a
- msc
- tnet-2.1.20
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- DESede-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- 1
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
