Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) box.18t####.com:80
- TCP(HTTP/1.1) s.3####.cn:80
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) mzst####.com.edg####.net:80
- TCP 1####.202.151.17:7003
- TCP 1####.121.49.69:7007
- TCP 1####.121.49.74:7004
- UDP s.j####.cn:19000
Запросы DNS:
- a####.u####.com
- a4.mzst####.com
- api.ka.18t####.com
- box.18t####.com
- c.c####.com
- h####.c####.com
- hm.b####.com
- qn.18t####.com
- s.3####.cn
- s.j####.cn
- s11.c####.com
Запросы HTTP GET:
- box.18t####.com/Activity/6049?dk=####&ak=####
- box.18t####.com/ActivityList?platform=####&type=####&page=####&pl=####&d...
- box.18t####.com/Slider?dk=####&ak=####
- box.18t####.com/api2/clienthomepage?dk=####&ak=####
- box.18t####.com/api2/gamelist?dk=####&ak=####
- box.18t####.com/api2/info?tag=####&dk=####&ak=####
- c.c####.com/core.php?web_id=####&t=####
- c.c####.com/stat.php?id=####&web_id=####
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
- hm.b####.com/hm.gif?kb=####&cc=####&ck=####&cl=####&ds=####&vl=####&ep=#...
- hm.b####.com/hm.js?ca01a95####
- mzst####.com.edg####.net/us/r30/Purple30/v4/9c/36/e9/9c36e9a0-9192-0a67-...
- s.3####.cn/jiagu/s.html?model=####&osVersion=####&b=####&c=####&rid=####...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2017-08-14/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2017-09-22/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2017-11-20/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-01-17/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-01-18/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-04-24/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-07/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-14/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-15/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-24/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-25/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-29/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-05-30/5...
- t####.c####.q####.####.com/magicbox_images/upload/game_icon/2018-06-14/5...
- t####.c####.q####.####.com/uploads/20171207/1512624312870425.jpg
- t####.c####.q####.####.com/uploads/20180122/1516603240845971.jpg
- t####.c####.q####.####.com/uploads/20180418/1524043280263490.jpg
- t####.c####.q####.####.com/uploads/20180524/1527129965649846.jpg
- z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
Запросы HTTP POST:
- a####.u####.com/app_logs
- box.18t####.com/api2/magic?dk=####&ak=####
Запросы HTTP PUT:
- box.18t####.com/Activity/6049?a=####&dk=####&ak=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Hot_game_list.txt
- /data/data/####/LibaoCacheData.txt
- /data/data/####/PrefsFile
- /data/data/####/banner_libao.xml.txt
- /data/data/####/box_info.txt
- /data/data/####/cn.jpush.serverconfig.xml
- /data/data/####/com.touch18.player_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/game_match.txt
- /data/data/####/index
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/libprotectClass.so
- /data/data/####/libqupc.so
- /data/data/####/mobclick_agent_header_com.touch18.player.xml
- /data/data/####/mobclick_agent_state_com.touch18.player.xml
- /data/data/####/openudid_prefs.xml
- /data/data/####/player2.0_BannerCacheData.txt
- /data/data/####/qihooLock.xml
- /data/data/####/rep.db-journal
- /data/data/####/statistics_config.xml
- /data/data/####/touch18_player.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/129kc2svprh16v83o3p8wf70i
- /data/media/####/1kc2z1f1ja2zfgt82wjrtyxgt
- /data/media/####/20n3m0hogvugklxmu5vqy2wv2
- /data/media/####/2l9q5dfreywie9693pxhr8bn7
- /data/media/####/2nkjp232y6pm13epa3xk6r8v9
- /data/media/####/30wme6jgm0b8yr6f365sb01fm
- /data/media/####/33x8ff51gxvrgy8191lz512rq
- /data/media/####/3774q8lxab1yi0qn20aygcsg9
- /data/media/####/38633au2owo41zqwc6v9czrrj
- /data/media/####/469vjfir07bodjhgewi1e7qf0
- /data/media/####/46vi6jezqgt0726igvz5u4652
- /data/media/####/4u9xdj5i155doz22xb0y1fcba
- /data/media/####/5au10wp3qtqx0yvxf002mmt8l
- /data/media/####/5o8dul8agllu5l1vdjjabh2w9
- /data/media/####/5qqsh1q2mn3vyorkd3ns6q00l
- /data/media/####/6cwzrw6zmor5ghex4apy2unnr
- /data/media/####/7a7ri48c7h96qgusbrhsnbb1h
- /data/media/####/7ax0qy1v857eg7xq495oms6w9
- /data/media/####/l82id5157v5kppjz6mos2fi6
- /data/media/####/ygnxw6mbps39y7qpuwvx3tpy
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/files/libqupc.so
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- jpush170
- libprotectClass
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
