Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 36.1####.213.226:80
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) h5.newairc####.com:443
- TCP(TLS/1.0) jdzr####.newairc####.com:443
- TCP(TLS/1.0) oss.newairc####.com:443
- TCP(TLS/1.0) img.newairc####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- c-h####.g####.com
- c.sz.gt.####.com
- cm-1####.ig####.com
- h5.newairc####.com
- img.newairc####.com
- jdzr####.newairc####.com
- oss.newairc####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_SzD730
- q####.c####.l####.####.com/tdata_ZCi456
- q####.c####.l####.####.com/tdata_zdX887
- sdk.o####.p####.####.com/api/addr.htm
Запросы HTTP POST:
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1312716470
- /data/data/####/-1384034319
- /data/data/####/-1384034321
- /data/data/####/-1384034343
- /data/data/####/-1384034344
- /data/data/####/-1877105454
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1031697407
- /data/data/####/1084282501
- /data/data/####/1389023919
- /data/data/####/1695857311
- /data/data/####/1766670830
- /data/data/####/2014142789
- /data/data/####/256202232
- /data/data/####/287222039
- /data/data/####/337525857
- /data/data/####/386967948
- /data/data/####/49
- /data/data/####/492081051
- /data/data/####/624248145
- /data/data/####/722488578
- /data/data/####/9046642_article.js
- /data/data/####/969657793
- /data/data/####/FZLTXHK-GBK_YS.ttf
- /data/data/####/QQ_3x.png
- /data/data/####/amazeui.min.css
- /data/data/####/amazeui.min.js
- /data/data/####/angular1.4.6.min.js
- /data/data/####/article.js
- /data/data/####/base.css
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/columnId.xml
- /data/data/####/core_info
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/db_founder0-journal
- /data/data/####/file__0.localstorage-journal
- /data/data/####/fontawesome-webfont.ttf
- /data/data/####/gdaemon_20161017
- /data/data/####/great_button.png
- /data/data/####/great_cancel_button.png
- /data/data/####/helpMsg.xml
- /data/data/####/icon-images.png
- /data/data/####/icon_audio_play.png
- /data/data/####/icon_file.png
- /data/data/####/icon_file_down.png
- /data/data/####/icon_meta_voice.png
- /data/data/####/icon_praise.png
- /data/data/####/icon_praiseStar.png
- /data/data/####/icon_selector_normal.png
- /data/data/####/icon_selector_press.png
- /data/data/####/increment.db-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.min2.2.0.js
- /data/data/####/js.combine.min.js
- /data/data/####/libjiagu.so
- /data/data/####/loading.png
- /data/data/####/news_detail.html
- /data/data/####/play.png
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/reader.db-journal
- /data/data/####/run.pid
- /data/data/####/sanjiaoxing.png
- /data/data/####/shareTimeline_3x.png
- /data/data/####/sina_3x.png
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdata_SzD730
- /data/data/####/tdata_SzD730.jar
- /data/data/####/tdata_ZCi456
- /data/data/####/tdata_ZCi456.jar
- /data/data/####/tdata_zdX887
- /data/data/####/tdata_zdX887.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/video.png
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wx_3x.png
- /data/media/####/07e610a799f44f30a4cb74a3e24e31524f76d7d3f86035....0.tmp
- /data/media/####/14ed2346032f7864d9541e7f5754573989f4f1f0406195....0.tmp
- /data/media/####/1927726bdd12a4763705683d779b0a6f561bddef6f01ed....0.tmp
- /data/media/####/1fe0b455aa3b5db03d3a54e557ab80e5c74cb627d369e2....0.tmp
- /data/media/####/21d1c2fbe016881e9a07730157f5e2d137a349af0a46a9....0.tmp
- /data/media/####/277df41ffa2becee01321994bf87d98d6060e4f3cb7f1f....0.tmp
- /data/media/####/28ba3852484375075eb0ee79971219f957c98680b59b15....0.tmp
- /data/media/####/299e26851f879d9cb296235888593838fba8deed09c5cf....0.tmp
- /data/media/####/30f22d62bf800c98922795ba6aefef109dfe98d0253d1b....0.tmp
- /data/media/####/384ba5e2a289b57cf6fae202eaef7fb01e280c0d0d26a1....0.tmp
- /data/media/####/3d0c74566647ff2697e8662f6c26a412e206eb30396513....0.tmp
- /data/media/####/4648967c570fc5293fcfb4cc7170b78328684c2a7968b7....0.tmp
- /data/media/####/47af1cc80a77f050fe43745a42121d7b06d5f6b974da69....0.tmp
- /data/media/####/4d6fd2b6864f06b5076aac38df40e19ac444f18e40dc86....0.tmp
- /data/media/####/563bdea675688655436c088394d0f63706b4168317b3b4....0.tmp
- /data/media/####/5a0fed21b3b099aa89f3f284bdef2eaf1435c18c5f83a5....0.tmp
- /data/media/####/5ba5db2f688f6c1b7bd82b5b8e4424fd3b2f9c8dbb16b5....0.tmp
- /data/media/####/63e4024c8cab09e51b96681ef40e356d312a5cfce27252....0.tmp
- /data/media/####/667e5cdfd60562be01dde99e01e9a5ab78527ce1055c6d....0.tmp
- /data/media/####/7bc0e2897407ca2776da9bcee5c4029bc19fa94455b520....0.tmp
- /data/media/####/7c27092c0fb957b6490f4edd7638fc74e22b80d65048be....0.tmp
- /data/media/####/80e984b2c85cad7fb423350637aa872942769252984b41....0.tmp
- /data/media/####/840168f9ef287257585c16323525c582f8252a106da77b....0.tmp
- /data/media/####/8621bdaf026419c3bf4f0d859a910cf2fdf95cf75938c3....0.tmp
- /data/media/####/8ad1b53792c6b10cd84a52db03096370364b6bab78f667....0.tmp
- /data/media/####/8ec1a64e45a72e4f1fd980beb0dab6521d3ad5715227ab....0.tmp
- /data/media/####/94d630a105109cda41e1ce2b4038b49257d5c7d64ebcbc....0.tmp
- /data/media/####/9c2705ec33684b075e1114d1761efdd721f79d7775eae1....0.tmp
- /data/media/####/a2ee8b9575a381883076dc7e73027e6c131b0f5e1de197....0.tmp
- /data/media/####/aaef43e0b7e4bf9c7b7956ce9d30560362bba189171a72....0.tmp
- /data/media/####/ac9feacd4774b5c542cf1256c829ab0360f4c32c1c1d6f....0.tmp
- /data/media/####/app.db
- /data/media/####/b453bb0617dacb2c0ff51180140756fe777c21fb06041d....0.tmp
- /data/media/####/b808f5d44babac6a522b9cc85895c58f99914f7c322096....0.tmp
- /data/media/####/ba08cfa1315a734438ebd316ffd0fd529e8b351fdb3392....0.tmp
- /data/media/####/ba749a3e23d8855899a912d5b74826b37e7d2ec00a3c78....0.tmp
- /data/media/####/be3279fc22b93756deee72731b52a2a1334bba111aedee....0.tmp
- /data/media/####/c83fad587299cf60b35fcbf4c1b41080906d80cf63d57a....0.tmp
- /data/media/####/cd1758405e5addd2f721ef7cfac14dca716d253eee3371....0.tmp
- /data/media/####/com.founder.jingdezhen.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/d4fde14552198ae5ef1120e343cbdede5e6e33fc0e5b8a....0.tmp
- /data/media/####/d63422e428e81bbcc63705e3fd1fc8cff4005116a489a6....0.tmp
- /data/media/####/d87caf5526f93664e3df10078368a7963beddd8f715404....0.tmp
- /data/media/####/da6b913f2628bb8b88bf4d91dc1fa18c9fd4519f8c5c5d....0.tmp
- /data/media/####/e0186af7347a074b1575a37b3db787f29f08bb77916e77....0.tmp
- /data/media/####/ed7d1953015873a0f378f071680639a32da0bc4de2d7a8....0.tmp
- /data/media/####/journal.tmp
- /data/media/####/localTemplate.zip
- /data/media/####/tbslog.txt
- /data/media/####/tdata_SzD730
- /data/media/####/tdata_ZCi456
- /data/media/####/tdata_zdX887
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25228 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25228 300 0
Загружает динамические библиотеки:
- getuiext2
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
