Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) 61.55.1####.26:8088
- TCP(HTTP/1.1) f####.f####.com:80
- TCP(HTTP/1.1) img.f####.com.####.net:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- c####.g####.ig####.com
- c-h####.g####.com
- f####.f####.com
- img.f####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- f####.f####.com/Flux4AdData.aspx?id=####
- img.f####.com.####.net/Novel/166x235/0/167/000167948.jpg
- img.f####.com.####.net/Novel/166x235/0/173/000173042.jpg
- img.f####.com.####.net/Novel/166x235/0/192/000192553.jpg
- img.f####.com.####.net/Novel/166x235/0/195/000195343.jpg
- img.f####.com.####.net/Novel/166x235/0/198/000198306.jpg
- img.f####.com.####.net/Novel/166x235/0/201/000201770.jpg
- img.f####.com.####.net/Novel/166x235/0/203/000203383.jpg
- img.f####.com.####.net/Novel/166x235/0/203/000203735.jpg
- img.f####.com.####.net/Novel/166x235/0/204/000204234.jpg
- img.f####.com.####.net/Novel/166x235/0/205/000205731.jpg
- img.f####.com.####.net/Novel/166x235/0/208/000208179.jpg
- img.f####.com.####.net/Novel/166x235/0/208/000208537.jpg
- img.f####.com.####.net/Novel/166x235/0/209/000209559.jpg
- img.f####.com.####.net/Novel/166x235/0/209/000209626.jpg
- img.f####.com.####.net/Novel/166x235/0/209/000209797.jpg
- img.f####.com.####.net/Novel/166x235/0/209/000209929.jpg
- img.f####.com.####.net/Novel/166x235/0/210/000210086.jpg
- img.f####.com.####.net/Novel/166x235/0/210/000210832.jpg
- img.f####.com.####.net/Novel/166x235/0/212/000212318.jpg
- img.f####.com.####.net/Novel/166x235/0/212/000212498.jpg
- img.f####.com.####.net/Novel/166x235/0/212/000212654.jpg
- img.f####.com.####.net/Novel/166x235/0/212/000212985.jpg
- img.f####.com.####.net/Novel/166x235/0/213/000213913.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214107.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214522.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214675.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214730.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214845.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214915.jpg
- img.f####.com.####.net/Novel/166x235/0/214/000214943.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215078.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215221.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215239.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215273.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215491.jpg
- img.f####.com.####.net/Novel/166x235/0/215/000215849.jpg
- img.f####.com.####.net/Novel/166x235/0/216/000216044.jpg
- img.f####.com.####.net/Novel/166x235/0/216/000216092.jpg
- img.f####.com.####.net/Novel/166x235/0/216/000216634.jpg
- img.f####.com.####.net/Novel/166x235/0/217/000217410.jpg
- img.f####.com.####.net/Novel/166x235/0/218/000218346.jpg
- img.f####.com.####.net/Novel/166x235/0/218/000218610.jpg
- img.f####.com.####.net/Novel/166x235/0/219/000219077.jpg
- img.f####.com.####.net/Novel/166x235/0/219/000219264.jpg
- img.f####.com.####.net/Novel/166x235/0/219/000219548.jpg
- img.f####.com.####.net/Novel/166x235/0/269/000269234.jpg
- img.f####.com.####.net/hpic/2018/8/11/d3b7e7e8-fd1f-4002-b134-f26333b0a3...
- img.f####.com.####.net/hpic/2018/8/21/05c153cd-a87d-490d-9eb6-1da6d6809e...
- img.f####.com.####.net/hpic/2018/8/21/3224c9f4-9ae9-4040-b6f4-e94b29ab72...
- img.f####.com.####.net/hpic/2018/8/21/918b48e9-070e-45f4-88bb-a13421af30...
- t####.c####.q####.####.com/config/hz-hzv6.conf
- t####.c####.q####.####.com/tdata_ZCi456
- t####.c####.q####.####.com/tdata_xms651
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/config.xml
- /data/data/####/gdaemon_20161017
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libjiagu.so
- /data/data/####/mfbook.db
- /data/data/####/mfbook.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_ZCi456
- /data/data/####/tdata_ZCi456.jar
- /data/data/####/tdata_xms651
- /data/data/####/tdata_xms651.jar
- /data/data/####/webview.db-journal
- /data/media/####/-203136737
- /data/media/####/.nomedia
- /data/media/####/017f588938c78af096cc0a8d400f068d6ea397f6cb3785....0.tmp
- /data/media/####/0b5cf2148e47d22c698d896ee602e887ce904395951ec5....0.tmp
- /data/media/####/102af513e0089941829fd70a603a392eb0b3ad026f738e....0.tmp
- /data/media/####/11090697e8304819c21c76705c2cfc2b8a1774137d7258....0.tmp
- /data/media/####/1299d82aa6128ec651f1c81fff8808ba.0
- /data/media/####/131847039
- /data/media/####/139a5703dc81ab3c983d14b4b937a88fd5e2e67400a91b....0.tmp
- /data/media/####/1460654730
- /data/media/####/1460654732
- /data/media/####/1a93b76093844d1d8b6366aa3e842906d8e35957a6c1df....0.tmp
- /data/media/####/1dc3e0cde2502022c66a651df37e5a28.0
- /data/media/####/28e6108711b6a0b84d7e319a5acc034cf6fc91154eaceb....0.tmp
- /data/media/####/2b9e88cb1defdef887a990540eb4457b.0
- /data/media/####/2fd71be9a84fe8941e24e54dd5c53e5d.0
- /data/media/####/2fd71be9a84fe8941e24e54dd5c53e5d.0.tmp (deleted)
- /data/media/####/3be170f4a0d68ae5cf174aaf64554d05dc1e8fa52f10fd....0.tmp
- /data/media/####/4626b23fd468464d8115c0486541ece3.0
- /data/media/####/4626b23fd468464d8115c0486541ece3.0.tmp (deleted)
- /data/media/####/4b4b597c5b1877c13e728fb528215a2adb981e44f745e2....0.tmp
- /data/media/####/4cd7af80dc24319b2311a2bdeb8a49f1da7aef2c38da1a....0.tmp
- /data/media/####/5196c9b251433aefaa8479d19d869071644aaa6a3c25ba....0.tmp
- /data/media/####/51a115e8fc5eed1ff2d17edf30a364b5.0
- /data/media/####/54fddecec2c9f9de54a9048cbc015b63.0.tmp (deleted)
- /data/media/####/5689a259d786afe9e1c5ec65cd396d5ef316ecd8ce0407....0.tmp
- /data/media/####/5b0c49f1e24f855f70144c0c666b70dcf53ac3d8944556....0.tmp
- /data/media/####/5bca7647da09f305eb51f57d4c87e32b450e6475321f09....0.tmp
- /data/media/####/67d54e481f105755fc5e93d70eb5808a16ad781bc0f69f....0.tmp
- /data/media/####/7189c39c84ada5896236ddc1f998955bfccbc12704f3ea....0.tmp
- /data/media/####/73134622ea4300f84616d3584692da36.0.tmp (deleted)
- /data/media/####/7ef10afa4f4915d629cc195165e32a06414c78a69ce85a....0.tmp
- /data/media/####/81af060f5e3d04d5a43bbeed68833c02.0
- /data/media/####/81d731eb7221fde856bdd0bd5b945013da2b3753e1bdf3....0.tmp
- /data/media/####/835e92f0d0cac0739269d4e6b7771db7.0
- /data/media/####/87279359723518d551cfb99d762d0d51.0
- /data/media/####/8854ad9436c4eff2538b7a4b9189b2ea25291e4a4ae400....0.tmp
- /data/media/####/9760f147e425bd90c1bdfd3fdccdbc7755d98d42c5fc71....0.tmp
- /data/media/####/9d934953549306f5bdba754f4f5e5402ee0ba63ff231ba....0.tmp
- /data/media/####/9da1e4f737030f6aa19f326859c3140a452f21c23b94cd....0.tmp
- /data/media/####/a1f37af91d4d63f4764e96694d5317981883707602a9df....0.tmp
- /data/media/####/a5c81165a8f74960c8f5fd5c2c982dd29442195a2a539c....0.tmp
- /data/media/####/a77d2dd477e7c8750cbed3e48157daaf281ccd569e88f0....0.tmp
- /data/media/####/a7e2ef0b88eda0b79d47bf3f0947484091f5bae8d43c16....0.tmp
- /data/media/####/a8b28f03390fcebcfc7d57f6c99d41d473f33879998a5c....0.tmp
- /data/media/####/af5dee604307110e8510b59d0c282f6f9417e43839350a....0.tmp
- /data/media/####/app.db
- /data/media/####/b5f4db15acbe417a922d6456e84256d446cda479bcc048....0.tmp
- /data/media/####/c356dcf535eaa5b29129c0ac523a5a683366c4ca2959e2....0.tmp
- /data/media/####/c4667cb9e5b4c8f487ba2688bbd86eda.0
- /data/media/####/c598da1ebae0e6d9491dfbee8ab2f246.0
- /data/media/####/c598da1ebae0e6d9491dfbee8ab2f246.0.tmp (deleted)
- /data/media/####/c652946a3d66a386102588f0f5001e1bd16d100e0fd23f....0.tmp
- /data/media/####/cb2e53575212145e749dab5fc18ef39ffefd0b843b2f0f....0.tmp
- /data/media/####/com.faloo.BookReader4Android.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/e1aaacb2d03939293d3ea9f1d1d6a71828e91e9beedc5d....0.tmp
- /data/media/####/e47276aae42d99310f8b551996c3349b4080d4f9234a48....0.tmp
- /data/media/####/e7afa1aa176d48997446be1078041c66866bed9b61e79c....0.tmp
- /data/media/####/e7c2c4b0ec1f4b1946b2a82057f4c20a3f178da1511ae8....0.tmp
- /data/media/####/ecdf5bb0c40869dc7151506ed1e0ca8574122101ffcf64....0.tmp
- /data/media/####/f18732aef453bb7b347d39ad456a7e73744f24926ed001....0.tmp
- /data/media/####/f42773ffd0a59166bc7664d853e34ef6fbb924f4754a7e....0.tmp
- /data/media/####/f7644ec631ec47615b5121823e00119e4f02caae50d965....0.tmp
- /data/media/####/feb8cf45d2ce1deeaec43dfdf5d42bb738e37d14eb2be7....0.tmp
- /data/media/####/journal.tmp
- /data/media/####/tdata_ZCi456
- /data/media/####/tdata_xms651
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- logcat *:e *:i | grep (2314)
- logcat *:e *:i | grep (2334)
- logcat *:e *:i | grep "(2314)"
- logcat *:e *:i | grep "(2334)"
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
