Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Backdoor.564.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) hd.a####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) sni.c####.q####.####.com:443
- TCP(TLS/1.0) s1.w####.com:443
- TCP(TLS/1.0) thi####.q####.cn:443
- TCP(TLS/1.0) ti####.c####.l####.####.com:443
- TCP(TLS/1.0) schedul####.w####.com:443
- TCP(TLS/1.0) bbs.w####.com:443
- TCP(TLS/1.0) d1-wacd####.b0.a####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- 8.w####.com
- ar.u####.com
- av####.w####.com
- b####.w####.com
- bb####.w####.com
- bbs.w####.com
- black####.w####.com
- c-h####.g####.com
- cm-1####.ig####.com
- d1.w####.com
- dyn.w####.com
- ffm.w####.com
- ga####.lotu####.com
- mo####.w####.com
- on####.lotu####.com
- pub-####.qin####.com
- s1.w####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- thi####.q####.cn
- u####.w####.com
- www.w####.com
- wx.q####.cn
Запросы HTTP GET:
- hd.a####.com/trinity/white-list.json
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_EDT369
- q####.c####.l####.####.com/tdata_Soq141
- q####.c####.l####.####.com/tdata_eTB810
- q####.c####.l####.####.com/tdata_ris804
- q####.c####.l####.####.com/tdata_tQZ349
- sdk.o####.p####.####.com/api/addr.htm
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0Dqoc6LpLm8w30D7IoJZ3QJCT9c.1480232323.tmp
- /data/data/####/0privateSPKey.xml
- /data/data/####/1303276183-881365780
- /data/data/####/2CD91DE9A0F1D93BFFAEF848DEF79462
- /data/data/####/5f74b73913dcc6408bb2db7e1e9648f31dd4728448ec4ac...apatch
- /data/data/####/726799879-1457384333
- /data/data/####/726799879798720382
- /data/data/####/761561561481284856
- /data/data/####/7a6a8aeeea62
- /data/data/####/8XCDF6Ti-LY9Te-6jBkn_Ty8dUo.-75288472.tmp
- /data/data/####/8af0KPSnHf-jaAzykd42z786GPk.410773917.tmp
- /data/data/####/9IrAW2AvXZrqkCswJQscImgV8RA.-577736408.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/B669BC4CA5F1F24D01E442C92F561555-0
- /data/data/####/B7A5EC2A91B2668DBDD4F630EE23EB74-0
- /data/data/####/BAC0E4E66AF1118056597C0521940E2A.td
- /data/data/####/BAC0E4E66AF1118056597C0521940E2A.tmp
- /data/data/####/BBS Start Info SP.xml
- /data/data/####/BC6b-n7wn9OvMsdpfgAC_24-4ck.-1064027188.tmp
- /data/data/####/D9C97A1B8692F0521AD6DF750BA0C404-0
- /data/data/####/DBWaRkKH99O2TYDkvIXC1ukiBFw.-1317944568.tmp
- /data/data/####/E4pErtc4zNthbSMrYgX_TZIJAeI.-2070669673.tmp
- /data/data/####/PzHhhXTVeb_ixMMMG-anjPd1jgM.1930576059.tmp
- /data/data/####/Tp84Mnqxi4JLY_WQ7VetYVG88O4.-2104521675.tmp
- /data/data/####/Y8fuAhLo9aIn5eW9Ojz98BDJrC4.-1136298371.tmp
- /data/data/####/YFZ6MweJZOezWGYuaxcU5uYAYXk.-1943309063.tmp
- /data/data/####/app_preferences.xml
- /data/data/####/changed_classes.dex.dex
- /data/data/####/changed_classes.dex.jar
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
- /data/data/####/com.wacai.android.skyline.xml
- /data/data/####/com.wacai.community-journal
- /data/data/####/com.wacai.community_preferences.xml
- /data/data/####/cpugpuinfo
- /data/data/####/ct9U094aTmf8TrYxc0IIm9jftlk.-1657689527.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/e-dF84r_ZilPrCjZ0TkKM6-gwkQ.-562374608.tmp
- /data/data/####/edB6egPOJdWVMiESQ9fY4Ubf9OU.374509518.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/finance_cache_preference.xml
- /data/data/####/fingerprint.xml
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/iji6HZY9CbKujPfYzdy0aEMwpWM.853882612.tmp
- /data/data/####/index
- /data/data/####/info.lock
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/iqY5yrb31-v7__UbetlsabbQUAg.1155813955.tmp
- /data/data/####/iqY5yrb31-v7__UbetlsabbQUAg.cnt
- /data/data/####/kZqlqWzlZ-ZzAyslZFYcwjhLjOA.-956051681.tmp
- /data/data/####/kwVd1lkyCHDxqrVtL3RGa7JEpZQ.1367368631.tmp
- /data/data/####/lib.point-journal
- /data/data/####/libjiagu-838220463.so
- /data/data/####/lotuseed.apps
- /data/data/####/lotuseed.lock
- /data/data/####/lotuseed.s
- /data/data/####/lotuseed.task
- /data/data/####/lotuseed_global.xml
- /data/data/####/lotuseed_main.xml
- /data/data/####/monitor.db
- /data/data/####/monitor.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/mw9J37bRwHY5JQ13ImFG4GD4rOo.55682314.tmp
- /data/data/####/neutron-cache.info
- /data/data/####/patch-9306026c.apk
- /data/data/####/patch.info
- /data/data/####/patch.retry
- /data/data/####/push.pid
- /data/data/####/pushSdkFile.xml
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/pyN5VAQPi6PKM9WVMb40NCMxL2A.1626078498.tmp
- /data/data/####/resources.apk
- /data/data/####/run.pid
- /data/data/####/sensorsdata.xml
- /data/data/####/sharePreferencePatch.xml
- /data/data/####/tdata_Soq141
- /data/data/####/tdata_Soq141.jar
- /data/data/####/tdata_eTB810
- /data/data/####/tdata_eTB810.jar
- /data/data/####/tdata_ris804
- /data/data/####/tdata_ris804.jar
- /data/data/####/tdata_tQZ349
- /data/data/####/tdata_tQZ349.jar
- /data/data/####/temp.apk
- /data/data/####/test.dex.dex
- /data/data/####/test.dex.jar
- /data/data/####/trinity-config.info
- /data/data/####/voY2JZsynkfxd976LrM0Ag8N5oE.-360748350.tmp
- /data/data/####/wacai.host
- /data/data/####/wdDsGkYLZjVggUE5c-wot0aYzlg.-934096444.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.SDCardSerialNumber
- /data/media/####/.nomedia
- /data/media/####/B2AF5FD676523D7AF0D2DA64EA0BE393
- /data/media/####/F9E870114128FEB486BAD436F226957F
- /data/media/####/app.db
- /data/media/####/b9a01ebee04561a829f8add52e211a22
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.wacai.community.bin
- /data/media/####/com.wacai.community.db
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/lotuseed.devid
- /data/media/####/tdata_Soq141
- /data/media/####/tdata_eTB810
- /data/media/####/tdata_ris804
- /data/media/####/tdata_tQZ349
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.wacai.android.pushsdk.service.GeTuiPushService 24925 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu-838220463.so
- mount
- ps
- sh
Загружает динамические библиотеки:
- getuiext2
- libfb
- libimagepipeline
- libjiagu-838220463
- libreactnativejni
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
