Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) t####.jiaojia####.cc:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) i####.little####.cn:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(TLS/1.0) 1####.177.126.102:443
- TCP c####.g####.ig####.com:5227
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- c####.g####.ig####.com
- c-h####.g####.com
- i####.little####.cn
- pub-####.qin####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- t####.jiaojia####.cc
Запросы HTTP GET:
- i####.little####.cn/uploadfiles/2019/04/201904291639002243_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904291655065399_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301412275024_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301419457786_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301427442330_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301516553983_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301521582856_thumb.png
- i####.little####.cn/uploadfiles/2019/04/201904301525419980_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012209083492_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012212448391_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012215328084_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012220503509_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012223591202_thumb.png
- i####.little####.cn/uploadfiles/2019/05/201905012226341629_thumb.png
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/config/hz-hzv6.conf
- t####.c####.q####.####.com/tdata_Gfv491
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_ZvO248
- t####.c####.q####.####.com/tdata_zzW503
- t####.jiaojia####.cc/uploadfiles/2019/04/201904151542121697_thumb.png
- t####.jiaojia####.cc/uploadfiles/2019/04/201904152205045681_thumb.png
- t####.jiaojia####.cc/uploadfiles/2019/04/201904152205388282_thumb.png
- t####.jiaojia####.cc/uploadfiles/2019/04/201904171229588904_thumb.png
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- c-h####.g####.com/api.php?format=####&t=####
- i####.little####.cn/index.php/Webservice/Index/init
- i####.little####.cn/index.php/Webservice/v100/ad_list
- i####.little####.cn/index.php/Webservice/v100/hotkeywords_get
- i####.little####.cn/index.php/Webservice/v100/recommend_list
- i####.little####.cn/index.php/Webservice/v100/type_list
- sdk-ope####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.duid
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/.vpl_lock
- /data/data/####/1f5126954fffaddb8169ba3ac39e78201bc859a15ae189b....0.tmp
- /data/data/####/345564911ef69cba59f14017210abdf5b4eb8cc08ea1b8d....0.tmp
- /data/data/####/3a4605c123a0db2043dd5d4cf4c10d05dc08d2cb2b65434....0.tmp
- /data/data/####/458628d219f77b72f6dbee1ddac67479e5bd83dd2a852f5....0.tmp
- /data/data/####/49686c4f47c85fd2548d0bb0474e145bdd97d298388ab95....0.tmp
- /data/data/####/52989574c3918a2b685ef6250da60d7d44066721670f28a....0.tmp
- /data/data/####/5c8965f582ea07771c7a749df8e36f9758137517a3fc9a8....0.tmp
- /data/data/####/73e203fb11a044a722aba998cf9a5ec6931d31e455856c7....0.tmp
- /data/data/####/80a571688e8c2be9889d128f0f50d3a7feab6147b1226ea....0.tmp
- /data/data/####/850e2ba4a4879829ed62447ba5044738ad1eb226b41f137....0.tmp
- /data/data/####/95906b89d187172cefd057a1e379197dda9156da91adaa7....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/aeae89537819430311d0e12c3063863b24ed9b50267c34f....0.tmp
- /data/data/####/c19fc563f17ce2780161a834d531c12d99a96211ef96f31....0.tmp
- /data/data/####/c8bee69e48068911bc29689cb2688ffdd48b73e1695ca73....0.tmp
- /data/data/####/com.q.kuma.aichong_preferences.xml
- /data/data/####/d1d49215fe8ad5afe54ce5228ee46f690a291ff3e17eb78....0.tmp
- /data/data/####/d2a804991f77d32835c0d21afabe5022562a27b19b7e06b....0.tmp
- /data/data/####/domain_1
- /data/data/####/e1d6a33103ba606155ded50a983d9ced4e2868c2967cd5b....0.tmp
- /data/data/####/eebf7b9af770d9209b75476745f6781d616ca871d7078ef....0.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/hm_wdenh.db
- /data/data/####/hm_wdenh.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1423196179.so
- /data/data/####/mob_commons_1
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sp.xml
- /data/data/####/tdata_Gfv491
- /data/data/####/tdata_Gfv491.jar
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_ZvO248
- /data/data/####/tdata_ZvO248.jar
- /data/data/####/tdata_zzW503
- /data/data/####/tdata_zzW503.jar
- /data/media/####/.artc_lock
- /data/media/####/.di
- /data/media/####/.dic_lock
- /data/media/####/.du_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.gm_lock
- /data/media/####/.im_lock
- /data/media/####/.lesd_lock
- /data/media/####/.mn_-1464060969
- /data/media/####/.nomedia
- /data/media/####/.pkg_lock
- /data/media/####/.pkgs_lock
- /data/media/####/.rc_lock
- /data/media/####/.slw
- /data/media/####/.ss_lock
- /data/media/####/.wkl
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.q.kuma.aichong.bin
- /data/media/####/com.q.kuma.aichong.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/tdata_Gfv491
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_ZvO248
- /data/media/####/tdata_zzW503
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui.GtPushService 24729 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1423196179
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
