Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) p####.ghs.net:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) m####.pic.sharksh####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) ghs-mal####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) pic.sharksh####.com:80
- TCP(TLS/1.0) 1####.235.46.68:443
- TCP(TLS/1.0) ghs-mal####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) 1####.6.235.227:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP cm-1####.ig####.com:5224
- TCP sdk.o####.t####.####.com:5224
- TCP cm-1####.ig####.com:5226
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.exc.mob.com
- a####.u####.com
- api.s####.mob.com
- api.s####.re####.cn
- c-h####.g####.com
- cdn-sdk####.g####.com
- cm-1####.ig####.com
- cm-1####.ig####.com
- ghs-mal####.oss-cn-####.aliy####.com
- loc.map.b####.com
- m####.pic.sharksh####.com
- m.d####.mob.com
- o####.map.b####.com
- p####.ghs.net
- pi####.qq.com
- pic.sharksh####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_EDB102
- cdn-sdk####.g####.com.####.com/tdata_cpZ817
- cdn-sdk####.g####.com.####.com/tdata_jbc429
- cdn-sdk####.g####.com.####.com/tdata_ngI479
- ghs-mal####.oss-cn-####.aliy####.com/oss/4b6da/8eb00/ae2dd4b6beda044acde...
- m####.pic.sharksh####.com/oss/10090/ac91d/bcb22100189019427f596fce4ebac9...
- m####.pic.sharksh####.com/oss/106ed/69364/65adc10624ed494ccfe80696ee4693...
- m####.pic.sharksh####.com/oss/117e2/4180c/0e73c117d1e2f1492ae92e9d879418...
- m####.pic.sharksh####.com/oss/18555/7c2ff/98ffc185d955014fca99619867d7c2...
- m####.pic.sharksh####.com/oss/1d9e0/aeef6/fff681d943e0e54092a88e4d0e9aee...
- m####.pic.sharksh####.com/oss/26a5f/d5a85/a816226a515fc4457aea30429c3d5a...
- m####.pic.sharksh####.com/oss/3a210/81fb8/3650e3a2d11064403348301625381f...
- m####.pic.sharksh####.com/oss/460f4/44c00/add6c4609cf487410a5a96f56e644c...
- m####.pic.sharksh####.com/oss/5eea3/1a5c0/d4d785eecba3ff482dd9d6a2e851a5...
- m####.pic.sharksh####.com/oss/63388/3ece7/23cb5633e488ec45ba397a26c413ec...
- m####.pic.sharksh####.com/oss/6c450/19b2f/34fe86c4e4507a4607497c6f93d19b...
- m####.pic.sharksh####.com/oss/7c7cb/05bd8/7ab3a7c75ccb764c6d7a7ed9b4d05b...
- m####.pic.sharksh####.com/oss/88bee/39517/c629688bf9eefe48937853391dd395...
- m####.pic.sharksh####.com/oss/96f47/63dff/9e01196f8f475d40946b8e0662063d...
- m####.pic.sharksh####.com/oss/a3c28/3b758/6e28aa3c9728064bbf0a0b23f613b7...
- m####.pic.sharksh####.com/oss/b7261/0e171/9fdaeb7288610d4ebff9d7fc18d0e1...
- m####.pic.sharksh####.com/oss/c675c/69f7a/a6e1dc67c15c3a4926b8d98374f69f...
- m####.pic.sharksh####.com/oss/cff0b/0d39a/e7a83cff350b4441a6f9e5a006d0d3...
- m####.pic.sharksh####.com/oss/d6912/d0b3e/7b5bed699612564b95c8865846dd0b...
- m####.pic.sharksh####.com/oss/e00b3/51d55/125f9e00a7b34b40015b4c5d22651d...
- m####.pic.sharksh####.com/oss/e7c24/46db1/6592ee7c0c24254f949a941ec7346d...
- m####.pic.sharksh####.com/oss/xin_prod/image/100322/1113174821_7752cdc3....
- m####.pic.sharksh####.com/oss/xin_prod/image/100475/1101174905_7da1afce....
- m####.pic.sharksh####.com/oss/xin_prod/image/100510/0417113805_9f05ef1f....
- m####.pic.sharksh####.com/oss/xin_prod/image/100629/1101174937_cf9242ba....
- m####.pic.sharksh####.com/oss/xin_prod/image/100665/0423150235_77c9c05d....
- m####.pic.sharksh####.com/oss/xin_prod/image/100884/1031232550_d822a65d....
- m####.pic.sharksh####.com/oss/xin_prod/image/100983/0417113747_9f5c34a3....
- m####.pic.sharksh####.com/oss/xin_prod/image/100983/1101175001_5d990c7e....
- m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- p####.ghs.net/public/images/13/9d/0f/0b7e9dc8771d643f6ece6525ad09c2dfa5f...
- p####.ghs.net/public/images/30/ea/7f/d2f9cc46e1c64a674d012ca8b58ab1a7c8f...
- p####.ghs.net/public/images/42/c7/5e/e24c26b9f01033822fa091a36566d17d1af...
- p####.ghs.net/public/images/57/70/c5/c4745c20021d5d9cb22222626f12b55aea0...
- p####.ghs.net/public/images/79/4a/90/3b9c7932ab5fb1620e8a0bb6a49cf3f139e...
- p####.ghs.net/public/images/7e/14/cc/c68669dcd4f125f0487052c65fda3b3826a...
- p####.ghs.net/public/images/81/ce/5d/931647668820c11a5ad69b0e8df26c8ed15...
- p####.ghs.net/public/images/91/1d/5d/c3badb618515c1f52a60477cb77ada0ebff...
- p####.ghs.net/public/images/c3/1c/7d/3977481bf38d45fc5ac820651b97e892615...
- p####.ghs.net/public/images/ea/8b/8a/1954962cf37d9243530cc257f1d08b46aff...
- p####.ghs.net/public/images/eb/df/9e/eeee79309442e300d2f33c19e4d303aed7a...
- p####.ghs.net/public/images/ee/29/9b/5ee3f100e6b6e7d2515c76e9a6dc11cfcb9...
- pic.sharksh####.com/public/images/0b/7f/ff/6de8b80f016f023f1f7abff83433f...
- pic.sharksh####.com/public/images/24/e9/4b/26c92daa513db7bdb528468609436...
- pic.sharksh####.com/public/images/25/d9/40/b1fb8141c05955477e60334c1987a...
- pic.sharksh####.com/public/images/38/2a/da/df6ac01a7ec5b9de44d6337d148c5...
- pic.sharksh####.com/public/images/4b/a3/d4/f06e1a7e4721f6e68528de79f8c66...
- pic.sharksh####.com/public/images/8b/59/7b/1a7e5e6fc076023ad581f34719dc3...
- pic.sharksh####.com/public/images/b7/82/56/2f93921a4dbb8939c87676731dba0...
- pic.sharksh####.com/public/images/c2/b2/f8/f82201787d6bc073d9dc760a90b18...
- pic.sharksh####.com/public/images/cd/0b/c5/7e22707576cd5d7758a83137dc54e...
- pic.sharksh####.com/public/images/de/a0/ad/760f935b254a229caf179a7498953...
- pic.sharksh####.com/public/images/e2/49/0e/b2a27f8f2b9ac224b33432a639390...
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_RTc910
- sdk.o####.p####.####.com/api/addr.htm
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.s####.mob.com/conf5
- api.s####.mob.com/conn
- api.s####.mob.com/snsconf
- c-h####.g####.com/api.php?format=####&t=####
- pi####.qq.com/mstat/report/?index=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/.mrecord
- /data/data/####/.mrlock
- /data/data/####/.statistics
- /data/data/####/00bc2fdd152f8f900cddfd6cef54573c.0.tmp
- /data/data/####/00bc2fdd152f8f900cddfd6cef54573c.1.tmp
- /data/data/####/021346c9a925065fab683fa0953bb9a8b7b71e8f7d20d93....0.tmp
- /data/data/####/047e7e77747f247208ac29d8f2ab681a8b5fb9c0679b820....0.tmp
- /data/data/####/1069425f064d61c5854af8075351a940f9cd32f17d7d546....0.tmp
- /data/data/####/164a88e375e41ef799a6674c7ad5c897d1723e1f8f0ed2d....0.tmp
- /data/data/####/1b5f78fd1f51adb9b69f74efe8965d6f0f1b94609e5a266....0.tmp
- /data/data/####/1e26ab0302424f4fe1e2b2ec6226f535.0.tmp
- /data/data/####/1e26ab0302424f4fe1e2b2ec6226f535.1.tmp
- /data/data/####/25d2431f8d4e333ded4fa13a3789119a.0.tmp
- /data/data/####/25d2431f8d4e333ded4fa13a3789119a.1.tmp
- /data/data/####/2a6d5ea81819e683b534adfa9d1d5422.0.tmp
- /data/data/####/2a6d5ea81819e683b534adfa9d1d5422.1.tmp
- /data/data/####/2e572fe767dc769dc7eaf406d779b01f.0.tmp
- /data/data/####/2e572fe767dc769dc7eaf406d779b01f.1.tmp
- /data/data/####/30aa7c71e6a3db1acf051aa94f16d21f9b71ac9c7b8584c....0.tmp
- /data/data/####/3898bd8fd344dc5a06a6a2ccc67035f5.0.tmp
- /data/data/####/3898bd8fd344dc5a06a6a2ccc67035f5.1.tmp
- /data/data/####/3f3fd7f3e24e2f9f0307f5ca21d9543489cc08a6a4ca890....0.tmp
- /data/data/####/435b6df11e43f0890b164140247ee47f.0.tmp
- /data/data/####/435b6df11e43f0890b164140247ee47f.1.tmp
- /data/data/####/4c5f0e97357eca0bb1b3c5572212bb533f809485c31e6a9....0.tmp
- /data/data/####/4ff8fa05701b06b62b0a74b2c8cf58de2ee634cda90120b....0.tmp
- /data/data/####/51bd8d74a5d6505e87d31aa29c01400e.0.tmp
- /data/data/####/51bd8d74a5d6505e87d31aa29c01400e.1.tmp
- /data/data/####/524f443ed76d
- /data/data/####/56356cb7834811e5740a67149997a4a5.0.tmp
- /data/data/####/56356cb7834811e5740a67149997a4a5.1.tmp
- /data/data/####/5e46ad81502fec8c3dea6ce8104e9c92e671fb707df93d0....0.tmp
- /data/data/####/6b742b2d8a2df79cbafca61e71b3358e.0.tmp
- /data/data/####/6b742b2d8a2df79cbafca61e71b3358e.1.tmp
- /data/data/####/7d833b3b26410081ee87c1280d1e7c9b.0.tmp
- /data/data/####/7d833b3b26410081ee87c1280d1e7c9b.1.tmp
- /data/data/####/804c25b1f2c53b26d502a2b46c979d4a6b8410638d4eb7b....0.tmp
- /data/data/####/8611e43f6573b02e85078cafb08a2abf.0.tmp
- /data/data/####/8611e43f6573b02e85078cafb08a2abf.1.tmp
- /data/data/####/8c7bf609c1fe9a1cce8bfc77666fb1b6.0.tmp
- /data/data/####/8c7bf609c1fe9a1cce8bfc77666fb1b6.1.tmp
- /data/data/####/8c7c1fad5988362e15ea713d96dcccad.0.tmp
- /data/data/####/8c7c1fad5988362e15ea713d96dcccad.1.tmp
- /data/data/####/927619e6bbb7611f1b0928b59277ed34.0.tmp
- /data/data/####/927619e6bbb7611f1b0928b59277ed34.1.tmp
- /data/data/####/9a28614d3acadabc4176c60544de0f1698669f55f279fb4....0.tmp
- /data/data/####/9e89a33a7ed477fc08e0c48af3e094e7.0.tmp
- /data/data/####/9e89a33a7ed477fc08e0c48af3e094e7.1.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/MultiDex.lock
- /data/data/####/PREFS_KEY_UNIQUE_IDENTIFIER.xml
- /data/data/####/PREFS_KEY_UNIQUE_IDENTIFIER_ANALYSIS.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/XNSDKStore1.0.xml
- /data/data/####/XNclientid.xml
- /data/data/####/XNmachineid.xml
- /data/data/####/a6826485276b8e6236a92c7b066c3993.0.tmp
- /data/data/####/a6826485276b8e6236a92c7b066c3993.1.tmp
- /data/data/####/ac313b2f77a6d4af35202f18c1f2e235.0.tmp
- /data/data/####/ac313b2f77a6d4af35202f18c1f2e235.1.tmp
- /data/data/####/aeb6abcb22afe8307e78c957fed864fa.0.tmp
- /data/data/####/aeb6abcb22afe8307e78c957fed864fa.1.tmp
- /data/data/####/authStatus_net.ghs.app.xml
- /data/data/####/authStatus_net.ghs.app;pushservice.xml
- /data/data/####/authStatus_net.ghs.app;remote.xml
- /data/data/####/b235e6caa2d33035fd4a08ed118c3f1d.0.tmp
- /data/data/####/b235e6caa2d33035fd4a08ed118c3f1d.1.tmp
- /data/data/####/b355618523f574e48656041adbe98c93.0.tmp
- /data/data/####/b355618523f574e48656041adbe98c93.1.tmp
- /data/data/####/b98b89cd122ae10efafd66530a65b5d0.0.tmp
- /data/data/####/b98b89cd122ae10efafd66530a65b5d0.1.tmp
- /data/data/####/bd224d78f65c4bcec63bfa7aa81aaa283065a7eae3bdd16....0.tmp
- /data/data/####/ca61322b2839d6c59295ec63dc6e2f8c.0.tmp
- /data/data/####/ca61322b2839d6c59295ec63dc6e2f8c.1.tmp
- /data/data/####/ca78f42cf845bc9577178efb70a6ba6a.0.tmp
- /data/data/####/ca78f42cf845bc9577178efb70a6ba6a.1.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cd2ce84594bf49566ce68e927bc28d81.0.tmp
- /data/data/####/cd2ce84594bf49566ce68e927bc28d81.1.tmp
- /data/data/####/cobub.cache
- /data/data/####/d0e5019f3af5fc13bcdba07afa0a6091d349f7bf81d0d18....0.tmp
- /data/data/####/d1f5d23ff64d497b8891ec96ffa0fd8143fcf4b974a3f42....0.tmp
- /data/data/####/d508d4ea79991984a7de5ef06ef5c3c6.0.tmp
- /data/data/####/d508d4ea79991984a7de5ef06ef5c3c6.1.tmp
- /data/data/####/d76c411ae1e0297857de34e52253ca04c3509813f9ff283....0.tmp
- /data/data/####/d8ad0a6cb3e7fe2e0dff773a115897bb.0.tmp
- /data/data/####/d8ad0a6cb3e7fe2e0dff773a115897bb.1.tmp
- /data/data/####/e4f16be93bc3efc872211515c9bb277e.0.tmp
- /data/data/####/e4f16be93bc3efc872211515c9bb277e.1.tmp
- /data/data/####/e80dc902c3494a79818b1f0cd3191e08.0.tmp
- /data/data/####/e80dc902c3494a79818b1f0cd3191e08.1.tmp
- /data/data/####/ea37d94a9869c0d9f1610566b37482c3.0.tmp
- /data/data/####/ea37d94a9869c0d9f1610566b37482c3.1.tmp
- /data/data/####/ef52db5f2a3d76f1afe936b8a1bd237e.0.tmp
- /data/data/####/ef52db5f2a3d76f1afe936b8a1bd237e.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f30794600a70100a47c1744259f21742.0.tmp
- /data/data/####/f30794600a70100a47c1744259f21742.1
- /data/data/####/f30794600a70100a47c1744259f21742.1.tmp
- /data/data/####/f41d488542e863d440cfdd1eef537c70.0.tmp
- /data/data/####/f41d488542e863d440cfdd1eef537c70.1.tmp
- /data/data/####/fa8723f335485c1332f12190915d6ba0.0.tmp
- /data/data/####/fa8723f335485c1332f12190915d6ba0.1.tmp
- /data/data/####/fb2dbd36eaa538f5ab9c1f0de294be4663b5d677273ef45....0.tmp
- /data/data/####/fd7f2e844454021b75ed1b2d3c2fe14e6260a891eab4bdb....0.tmp
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/home_big_image_ad.png
- /data/data/####/home_big_image_json.txt
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/kf_9556_ISME9754_guest4272567629761035448568351...ournal
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1270257324.so
- /data/data/####/main.nv
- /data/data/####/mob_commons_1.xml
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/multidex.version.xml
- /data/data/####/net.ghs.app.mid.world.ro.xml
- /data/data/####/net.ghs.app_preferences.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/pri_tencent_analysis.db_net.ghs.app-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/rcity
- /data/data/####/run.pid
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/tdata_cpZ817
- /data/data/####/tdata_cpZ817.jar
- /data/data/####/tdata_jbc429
- /data/data/####/tdata_jbc429.jar
- /data/data/####/tdata_ngI479
- /data/data/####/tdata_ngI479.jar
- /data/data/####/tencent_analysis.db_net.ghs.app-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/uba.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/userInfo.xml
- /data/data/####/webview.db-journal
- /data/data/####/xnsdkconfig.xml
- /data/data/####/xpush.xml
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app-ghs_413_15_ghs_sign.apk
- /data/media/####/app.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/conlts.dat
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/net.ghs.app.bin
- /data/media/####/net.ghs.app.db
- /data/media/####/tdata_cpZ817
- /data/media/####/tdata_jbc429
- /data/media/####/tdata_ngI479
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/net.ghs.service.PushService 24062 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu1270257324.so
- mount
- sh
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/net.ghs.service.PushService 24062 300 0
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_5_2
- MtaNativeCrash_v2
- getuiext2
- libjiagu1270257324
- locSDK7a
- neh
- pl_droidsonroids_gif
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
