Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) imgc####.qq.com.####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(HTTP/1.1) api.icaipia####.com:80
- TCP(TLS/1.0) 2####.58.208.110:443
- TCP(TLS/1.0) api.icaipia####.com:443
- TCP c####.g####.ig####.com:5227
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- api.icaipia####.com
- c####.g####.ig####.com
- c-h####.g####.com
- imgc####.qq.com
- mi.g####.qq.com
- odqcj####.bkt.clo####.com
- op079####.bkt.clo####.com
- p.zhangko####.cn
- pub-####.qin####.com
- s####.e.qq.com
- s0.icaipia####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- api.icaipia####.com/api/v1/c/p?p=####
- api.icaipia####.com/api/v5/server/timestamp
- api.icaipia####.com/api/v6/lotterynums/latest/all
- api.icaipia####.com/api/v7/social/hotlist?count=####&page=####
- api.icaipia####.com/api/v7/social/topandnoticelist
- idv####.qini####.com/C4C3D1CA3C4BB30CF85A93E8D7E7BF66.jpg?imageVi####
- idv####.qini####.com/tdata_EDT369
- idv####.qini####.com/yindao1.png
- idv####.qini####.com/yindao2.png
- idv####.qini####.com/yindao3.png
- idv####.qini####.com/yindao4.png
- idv####.qini####.com/yindao5.png
- idv####.qini####.com/yindao6.png
- idv####.qini####.com/yindao7.png
- imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
- mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
- t####.c####.q####.####.com/20190408/7A7E0D7BD5D957159DF3F339E99B58FA.jpg...
- t####.c####.q####.####.com/20190413/1DB1FEFD034B689B43A58CC4E7E50FE0.jpg...
- t####.c####.q####.####.com/20190521/3f246c2dd5aebdbf6ffa914c01284ed4.png...
- t####.c####.q####.####.com/20190521/ac98fdc59e1df5af2a4aa64b3356b911.jpg...
- t####.c####.q####.####.com/config/hz-hzv6.conf
- t####.c####.q####.####.com/jiaoshou9.jpg?imageVi####
- t####.c####.q####.####.com/pai31.jpg?imageVi####
- t####.c####.q####.####.com/pai58.jpg?imageVi####
- t####.c####.q####.####.com/recommend/master/171023132946/735.jpg?imageVi...
- t####.c####.q####.####.com/tdata_Gfv491
- t####.c####.q####.####.com/tdata_MkX219
- t####.c####.q####.####.com/tdata_ZvO248
- t####.c####.q####.####.com/tdata_zzW503
- t####.c####.q####.####.com/usericon_default.jpg?imageVi####
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.icaipia####.com/api/v5/server/activate
- c-h####.g####.com/api.php?format=####&t=####
- s####.e.qq.com/activate
- sdk-ope####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-117889334996384371
- /data/data/####/-1219906726861682124
- /data/data/####/-14932529442085446822
- /data/data/####/-149325294475075523
- /data/data/####/-1527641475983590446
- /data/data/####/-17893987121944668222
- /data/data/####/-19096045061170456815
- /data/data/####/-212559705280875142
- /data/data/####/-7299798621925607363
- /data/data/####/-738592495-1728467614
- /data/data/####/-874564159385226238
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0980a7f6d1f2
- /data/data/####/10842328061341735105
- /data/data/####/1157023680-1643668395
- /data/data/####/1553778045-1424522248
- /data/data/####/1640d8fb30c71c814661110636f8ec18d332ddaddc263a4....0.tmp
- /data/data/####/1944099397523283520
- /data/data/####/1946154976523283520
- /data/data/####/19999637721074982301
- /data/data/####/21090119561046727059
- /data/data/####/253193064-1619705854
- /data/data/####/253193064-2039568853
- /data/data/####/27711497adc3409e337349ef1379715a0931bacdbbe59ab....0.tmp
- /data/data/####/72457712edf47b72ae31433942fe11efb8b11b624e13431....0.tmp
- /data/data/####/8189759841365445847
- /data/data/####/87fa444f40950ed0913b7522a998b25bf3f9ebc56bf52b2....0.tmp
- /data/data/####/931b7ec0717181a3473fc27af95ecef49aaaeff79da23cc....0.tmp
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/__cfg_lk_1312
- /data/data/####/cache.xml
- /data/data/####/cache_int.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.xptool.predict_preferences.xml
- /data/data/####/da11decf15cb921279d69f191887c3f72bfeb7ee5c6ccb1....0.tmp
- /data/data/####/dc520c32a73e04a0a2e7354ee4da74f30d6b1ace3372d0d....0.tmp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/ef05f7feb84c3ec9b7e52ebcbb58eb0547359ae5a25b330....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fa8a8c39f8a35e5986c00fbd2e59f4dd4be8f689d163f8c....0.tmp
- /data/data/####/fd215f7626830fd61d90a47b5b072dc152de87870e4cd7d...d9e8.0
- /data/data/####/gdaemon_20161017
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/tdata_Gfv491
- /data/data/####/tdata_Gfv491.jar
- /data/data/####/tdata_MkX219
- /data/data/####/tdata_MkX219.jar
- /data/data/####/tdata_ZvO248
- /data/data/####/tdata_ZvO248.jar
- /data/data/####/tdata_zzW503
- /data/data/####/tdata_zzW503.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/2k21vfy2cvwj5p3cgh90dewr1
- /data/media/####/6ps7ytm0q9suaubk4e5vxux7p
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.xptool.predict.bin
- /data/media/####/com.xptool.predict.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/prediction_lead0.jpg
- /data/media/####/prediction_lead1.jpg
- /data/media/####/prediction_lead2.jpg
- /data/media/####/prediction_lead3.jpg
- /data/media/####/prediction_lead4.jpg
- /data/media/####/prediction_lead5.jpg
- /data/media/####/prediction_lead6.jpg
- /data/media/####/tdata_Gfv491
- /data/media/####/tdata_MkX219
- /data/media/####/tdata_ZvO248
- /data/media/####/tdata_zzW503
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.mango.push.processor.CustomerPushService 24836 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
