Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) big.p####.com:80
- TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) img.p####.net:80
- TCP(HTTP/1.1) im####.p####.net:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) t.growi####.com:443
Запросы DNS:
- and####.b####.qq.com
- api.growi####.com
- big.p####.com
- im####.p####.net
- img.p####.net
- log.u####.com
- s####.u####.com
- t.growi####.com
Запросы HTTP GET:
- big.p####.com/api/Gamecommend/newhomelist?page=####&page_size=####&app_v...
- big.p####.com/api/appad/newindex?page_size=####&page=####&app_version=####
- big.p####.com/big/GameBannerNew?app_version=####
- big.p####.com/find/newindex?page=####&page_size=####&app_version=####
- big.p####.com/threefs/sys/changeTheme?app_version=####
- big.p####.com/threefs/sys/newpup?app_version=####
- big.p####.com/threefs/sys/screen?app_version=####
- im####.p####.net/big/ad/4a3dbf47c3d49c1ea943b35f48b9cfd3.png
- img.p####.net/gamecommend/upimg/04226c01fcb814b35f74592a2f1c27d8.jpeg
- img.p####.net/gamecommend/upimg/37d894b52610e4bded45e36dc088138c.jpg
- img.p####.net/gamecommend/upimg/448511f5fd81fa1087919ee427265167.jpeg
- img.p####.net/gamecommend/upimg/5f97c896db8e5ec88968feccbcd018f8.jpg
- img.p####.net/gamecommend/upimg/895450c5a52a6a3a04c1ef557576ae6a.png
- img.p####.net/gamecommend/upimg/b8a76a0d94411e6201d3e93ff4577c6c.png
- img.p####.net/gamecommend/upimg/dd4bd1778e765bdd01a814450bfa4375.jpg
- sh.wagbr####.alibaba####.com/bar/get/55064267fd98c5a4a500076d/?ud_get=####
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- big.p####.com/apinew/tee/GetToken?app_version=####
- big.p####.com/apinew/user/PutGame?app_version=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/12ced32c516fa22620f7edd36c1e730e.0.tmp
- /data/data/####/12ced32c516fa22620f7edd36c1e730e.1.tmp
- /data/data/####/1334f0f100377e20791b76ab64c1dbad8564c969d972d09....0.tmp
- /data/data/####/1532032626250.log
- /data/data/####/153f07120f024471b132594b05cfd978.0.tmp
- /data/data/####/153f07120f024471b132594b05cfd978.1.tmp
- /data/data/####/3b844350bf20039660863f5b217d1563.0.tmp
- /data/data/####/3b844350bf20039660863f5b217d1563.1.tmp
- /data/data/####/3d38760dd66b3737a65d465acf693b10987f9d802db2c11....0.tmp
- /data/data/####/586f4732ab45bac1a27f5d68213eab4a1049730b5caac87....0.tmp
- /data/data/####/72a9baad0fe5f1dd4a85642afb7b3b0f6c0d7b38a57d8e0....0.tmp
- /data/data/####/7e2dc70a1e499a7cc346b3855f5f3d26f8a832095fa2bda....0.tmp
- /data/data/####/85e4dd334110c130e6f62eb5da42dd7f.0.tmp
- /data/data/####/85e4dd334110c130e6f62eb5da42dd7f.1.tmp
- /data/data/####/CookiePrefsFile.xml
- /data/data/####/MultiDex.lock
- /data/data/####/ab5a8a9b934889ebded36b60bb0364d97ae86e29d5fd4b9....0.tmp
- /data/data/####/ba0fbf083b8287e5369517d007241147.0.tmp
- /data/data/####/ba0fbf083b8287e5369517d007241147.1.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c7385fabd1fd85a5fb51edc87fe3da65cb775ff96352dc0....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cf8eb1328622e698177b8d561b9a1dfd7c0638137aa18eb....0.tmp
- /data/data/####/da65c6ecf7bffd68f8d693a2a64dccc1.0.tmp
- /data/data/####/da65c6ecf7bffd68f8d693a2a64dccc1.1.tmp
- /data/data/####/dashou.xml
- /data/data/####/dashou_default.xml
- /data/data/####/e25c6bac14ea53cf9e34aca1adfa17e1.0.tmp
- /data/data/####/e25c6bac14ea53cf9e34aca1adfa17e1.1.tmp
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_ecsid.xml
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growingio_diagnose.xml
- /data/data/####/head.conf
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.8.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/pupdashou.xml
- /data/data/####/security_info
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.8.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- libnfix
- libshella-2.8
- libufix
- nfix
- ufix
- util
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
