Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) 1####.192.110.203:80
- TCP(HTTP/1.1) www.1####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) www.1####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- c-h####.g####.com
- cm-1####.ig####.com
- pub-####.qin####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.1####.com
Запросы HTTP GET:
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_EDT369
- q####.c####.l####.####.com/tdata_Soq141
- q####.c####.l####.####.com/tdata_eTB810
- q####.c####.l####.####.com/tdata_ris804
- q####.c####.l####.####.com/tdata_tQZ349
- sdk.o####.p####.####.com/api/addr.htm
- www.1####.com/404.html
- www.1####.com/null
- www.1####.com/public/images/04/68/c4/ed8e3c9618b4e1b837d86fee6b3029ee670...
- www.1####.com/public/images/05/d1/8e/6ae01c82d643b55ea2cac1d8b027b0a3af1...
- www.1####.com/public/images/0f/91/a6/6f4434c649e0eb32e3529b88014a8d544a7...
- www.1####.com/public/images/12/39/b5/1558ae4a0cd8cc5b4ed97c8823df6ed7709...
- www.1####.com/public/images/21/28/cf/329f1aaf5c95928c58863ecbd3a92aaddbd...
- www.1####.com/public/images/48/3e/8c/049b75f68dfc422e830cf574fdd0cd14050...
- www.1####.com/public/images/50/5c/0c/7dffeb298186cd3daba05a1ad1c1ca702c1...
- www.1####.com/public/images/55/a8/e4/6716a5d5747b7bd662d4fbd26b8d530e7c5...
- www.1####.com/public/images/62/1e/39/a5aa219b1038684be9dd07c15c908c27c0d...
- www.1####.com/public/images/6d/ca/27/da422a4ab0098481f7c2eee08e20b590668...
- www.1####.com/public/images/75/51/df/29499ef0522815ea2bec5c78183de69d4b0...
- www.1####.com/public/images/77/3c/d6/dd80191a4ea20f5028d1626eb08d0c29379...
- www.1####.com/public/images/78/ee/c8/628b9923ef9a1d7e2e73bcada0c15fc263a...
- www.1####.com/public/images/7b/f3/13/50b199fe9914730ccf25f2d372933464056...
- www.1####.com/public/images/7c/58/77/0d209dc393584702d1a96ed78b104608670...
- www.1####.com/public/images/88/3b/5f/48faeb4589cfb97d9b56383bfabd4c38ab1...
- www.1####.com/public/images/8b/eb/d5/8076f1b60627d240dc178a9dd103f8ac775...
- www.1####.com/public/images/94/5d/28/b238e51124ca95c8c285138d9d063375bc6...
- www.1####.com/public/images/a6/f3/d5/6bceb6a62325363816863ae323b6834c0a5...
- www.1####.com/public/images/a8/4c/f6/e96d4692187b5c4a9256fb8c7bd1eab8c50...
- www.1####.com/public/images/ba/46/3a/ee637420bf7c200a35b69b5ad7bcb6366fb...
- www.1####.com/public/images/be/f4/97/3a255f52f3ef71e934eeebf1ac0bc5e3882...
- www.1####.com/public/images/c1/97/b0/d76edc081778339dfc0a8306630451af9ac...
- www.1####.com/public/images/c4/52/ba/d827bd83ce7da231564e8137a67a16e3003...
- www.1####.com/public/images/d3/4c/5d/ca2e8cd03faeacdafe5da5cb055ac05e820...
- www.1####.com/public/images/de/be/15/e4d53b29314d736beb9398ead99973b249a...
- www.1####.com/public/images/e0/ca/db/236a192715ff1f7fe011db4014ab36a2790...
- www.1####.com/public/images/e2/97/03/28034492246a8817f6f1adcabf2e2039c56...
- www.1####.com/public/images/ff/2a/09/2335a39c01e3c044241c13a4b1752546fbe...
- www.1####.com/wap/h5index.html?err=####
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
- www.1####.com/index.php/capi/capi
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/8fc30bc4035a
- /data/data/####/H5187D02F.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/clientid_igexin.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/file__0.localstorage-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.yjyz.youxian1
- /data/data/####/pdr.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/stream_permission.xml
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_eTB810
- /data/data/####/tdata_eTB810.jar
- /data/data/####/tdata_ris804
- /data/data/####/tdata_ris804.jar
- /data/data/####/tdata_tQZ349
- /data/data/####/tdata_tQZ349.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.yjyz.youxian.bin
- /data/media/####/com.yjyz.youxian.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_eTB810
- /data/media/####/tdata_ris804
- /data/media/####/tdata_tQZ349
- /data/media/####/temp.arm
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24662 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
