Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 4####.90.34.98:99
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) edu.anran####.cn:90
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) edu.anran####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP x####.wei####.net:5222
Запросы DNS:
- a####.u####.com
- api.map.b####.com
- edu.anran####.cn
- log.u####.com
- oc.u####.com
- s####.u####.com
- sdk.o####.p####.####.com
- www.hongkon####.com
- x####.wei####.net
Запросы HTTP GET:
- edu.anran####.cn/pic/gif/1522632144.jpg
- edu.anran####.cn/pic/gif/1522632153.jpg
- edu.anran####.cn/pic/gif/1522632260.jpg
- edu.anran####.cn/pic/gif/1522632403.jpg
- edu.anran####.cn/pic/gif/1522632454.jpg
- edu.anran####.cn/pic/gif/1522632468.jpg
- edu.anran####.cn/pic/gif/1522632717.jpg
- edu.anran####.cn/pic/gif/1522632767.jpg
- edu.anran####.cn/pic/gif/1522632775.jpg
- edu.anran####.cn/pic/gif/1522632795.jpg
- edu.anran####.cn/pic/gif/1522632804.jpg
- edu.anran####.cn/pic/gif/1522632825.jpg
- edu.anran####.cn/pic/gif/1522632840.jpg
- edu.anran####.cn/pic/gif/1522632853.jpg
- edu.anran####.cn/pic/gif/1522632891.jpg
- edu.anran####.cn/pic/gif/1522632906.jpg
- edu.anran####.cn/pic/gif/1522632916.jpg
- edu.anran####.cn/pic/gif/1522632927.jpg
- edu.anran####.cn/pic/gif/1522632941.jpg
- edu.anran####.cn/pic/gif/1522809858.jpg
- edu.anran####.cn/pic/gif/1522809867.jpg
- edu.anran####.cn/pic/gif/1522809881.jpg
- edu.anran####.cn/pic/gif/1522809896.jpg
- edu.anran####.cn/pic/gif/1522809906.jpg
- edu.anran####.cn/pic/gif/1522809916.jpg
- edu.anran####.cn/pic/gif/1522809926.jpg
- edu.anran####.cn/pic/gif/1522809936.jpg
- edu.anran####.cn/pic/gif/1522809958.jpg
- edu.anran####.cn/pic/gif/1522809973.jpg
- edu.anran####.cn/pic/gif/1522809982.jpg
- edu.anran####.cn/pic/gif/1522809991.jpg
- edu.anran####.cn/pic/gif/1522810007.jpg
- edu.anran####.cn/pic/gif/1522810014.jpg
- edu.anran####.cn/pic/gif/1522810023.jpg
- edu.anran####.cn/pic/gif/1522810030.jpg
- edu.anran####.cn/pic/gif/1522810285.jpg
- edu.anran####.cn/pic/gif/1522810315.jpg
- edu.anran####.cn/pic/gif/1522810330.jpg
- edu.anran####.cn/pic/gif/1522810365.jpg
- edu.anran####.cn/pic/gif/1522810374.jpg
- edu.anran####.cn/pic/gif/1522810770.jpg
- edu.anran####.cn/pic/gif/1522811100.jpg
- edu.anran####.cn/pic/gif/1522811177.jpg
- edu.anran####.cn/pic/gif/1522811281.jpg
- edu.anran####.cn/pic/gif/1522811403.jpg
- edu.anran####.cn/pic/gif/1522811446.jpg
- edu.anran####.cn/pic/gif/1522811571.jpg
- edu.anran####.cn/pic/gif/1522811609.jpg
- edu.anran####.cn/pic/gif/1522811731.jpg
- edu.anran####.cn/pic/gif/1522812396.jpg
- edu.anran####.cn/pic/gif/1522812563.jpg
- edu.anran####.cn/pic/gif/1522812584.jpg
- edu.anran####.cn/pic/gif/1522812600.jpg
- edu.anran####.cn/pic/gif/1522812616.jpg
- edu.anran####.cn/pic/gif/1522812631.jpg
- edu.anran####.cn/pic/gif/1522812643.jpg
- edu.anran####.cn/pic/gif/1522812653.jpg
- edu.anran####.cn/pic/gif/1522812663.jpg
- edu.anran####.cn/pic/gif/1522812678.jpg
- edu.anran####.cn/pic/gif/1522812696.jpg
- edu.anran####.cn/pic/gif/1522812729.jpg
- edu.anran####.cn/pic/gif/1522812740.jpg
- edu.anran####.cn/pic/gif/1522812776.jpg
- edu.anran####.cn/pic/gif/1522812956.jpg
- edu.anran####.cn/pic/gif/1522813004.jpg
- edu.anran####.cn/pic/gif/1522813150.jpg
- edu.anran####.cn/pic/gif/1522813164.jpg
- edu.anran####.cn/pic/gif/1522813178.jpg
- edu.anran####.cn/pic/gif/1522813247.jpg
- edu.anran####.cn/pic/gif/1522813279.jpg
- edu.anran####.cn/pic/gif/1522813578.jpg
- edu.anran####.cn:90/?m=####&a=####&id=####&jhsh=####&uid=####
- edu.anran####.cn:90/Public/app/css/base.css
- edu.anran####.cn:90/Public/app/css/style.css
- edu.anran####.cn:90/Upload/2018/02/07/5a7a40606ba77.jpg
- edu.anran####.cn:90/Upload/2018/02/07/5a7a4070ebae0.jpg
- edu.anran####.cn:90/Upload/2018/03/08/5aa0a562a2204.jpg
- edu.anran####.cn:90/Upload/2018/03/08/5aa0a57566f56.jpg
- edu.anran####.cn:90/Upload/2018/04/08/5ac97520388ed.jpg
- edu.anran####.cn:90/Upload/2018/04/08/5ac975f647d08.jpg
- edu.anran####.cn:90/Upload/2018/06/22/5b2c66aab9f2f.jpg
- edu.anran####.cn:90/Uploads/public/3177/3177/5b1b914fe5beb.jpg
- sh.wagbr####.alibaba####.com/bar/get/5a66e2f38f4a9d3b3e0001cc/?ud_get=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- edu.anran####.cn:90/?m=####&a=####
- edu.anran####.cn:90/?m=####&i####
- oc.u####.com/check_config_update
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1526453962986.log
- /data/data/####/_leyuantiandi.db
- /data/data/####/_leyuantiandi.db-journal
- /data/data/####/android_kefu_sdk.xml
- /data/data/####/appkefu4.db-journal
- /data/data/####/authStatus_com.huizhong.anran.xml
- /data/data/####/authStatus_com.huizhong.anran;pushservice.xml
- /data/data/####/com.huizhong.anran_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/f_000026
- /data/data/####/f_000027
- /data/data/####/f_000028
- /data/data/####/f_000029
- /data/data/####/f_00002a
- /data/data/####/f_00002b
- /data/data/####/f_00002c
- /data/data/####/f_00002d
- /data/data/####/f_00002e
- /data/data/####/f_00002f
- /data/data/####/f_000030
- /data/data/####/f_000031
- /data/data/####/f_000032
- /data/data/####/f_000033
- /data/data/####/f_000034
- /data/data/####/f_000035
- /data/data/####/f_000036
- /data/data/####/f_000037
- /data/data/####/f_000038
- /data/data/####/f_000039
- /data/data/####/f_00003a
- /data/data/####/f_00003b
- /data/data/####/f_00003c
- /data/data/####/f_00003d
- /data/data/####/f_00003e
- /data/data/####/f_00003f
- /data/data/####/f_000040
- /data/data/####/f_000041
- /data/data/####/f_000042
- /data/data/####/f_000043
- /data/data/####/f_000044
- /data/data/####/f_000045
- /data/data/####/f_000046
- /data/data/####/f_000047
- /data/data/####/f_000048
- /data/data/####/getui_sp.xml
- /data/data/####/index
- /data/data/####/init_c1.pid
- /data/data/####/init_er.pid
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-633757581.so
- /data/data/####/mobclick_agent_online_setting_com.huizhong.anran.xml
- /data/data/####/multidex.version.xml
- /data/data/####/pri_tencent_analysis.db-journal
- /data/data/####/tencent_analysis.db
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/2lb58brbw1jqon5qjawk6edef.tmp
- /data/media/####/2o9qz6owkyfgy0qmap5wjtdjo.tmp
- /data/media/####/2xsp44mw4hgt2qikje3tbu8hu.tmp
- /data/media/####/5tvaokbtx7htuimtk2bklne89.tmp
- /data/media/####/5xkrm5xsak1dkuea965yyo8yo.tmp
- /data/media/####/6bbyiw79cdii4cja1siywo34n.tmp
- /data/media/####/6rg1viuj99aebatixz9vbc75y.tmp
- /data/media/####/d8nabw3nqk0oyn6a0sq08399.tmp
- /data/media/####/s02uomzec2iwvgzpvew1j57k.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu-633757581.so
- getprop
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_0_0
- MtaNativeCrash
- getuiext2
- libjiagu-633757581
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
