Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) o####.map.b####.com:80
- TCP(HTTP/1.1) nav.cn.ron####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) i####.we####.com:80
- TCP(HTTP/1.1) se####.we####.com:80
- TCP(TLS/1.0) s####.ml####.cc:443
- TCP(TLS/1.0) qy-swa####.qi####.com:443
- TCP(TLS/1.0) s####.cn.ron####.com:443
- TCP(TLS/1.0) a####.te####.cn:443
- TCP(TLS/1.0) i####.we####.com:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP c####.g####.ig####.com:5227
- TCP 1####.92.13.27:8623
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.te####.cn
- and####.b####.qq.com
- api.map.b####.com
- c####.g####.ig####.com
- c-h####.g####.com
- h####.b####.com
- i####.we####.com
- loc.map.b####.com
- nav.cn.ron####.com
- o####.map.b####.com
- qy-swa####.qi####.com
- s####.cn.ron####.com
- s####.ml####.cc
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- se####.we####.com
Запросы HTTP GET:
- i####.we####.com/bcbf1535687508158_1107_1107_97.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/bmjj1537408414855_188_193_4.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/feim1510206432041_1239_1242_407.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/glil1443889178023_320_320_72.welian/databases/wechatimg...
- i####.we####.com/grxg1503392940305_1236_1242_230.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/iful1534300846974_748_736_167.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/ijrn1452136975866_300_300_23.png@49w_49h_1l_90Q_2o.png
- i####.we####.com/iree1535361158662_1298_1298_121.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/iujk1537405563726_175_175_8.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/izay1536421590440_411_412_26.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/nfny1448258162_190_190_26.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/odpl1516590551422_1200_1200_106.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/ogwc1534315109063_1107_1125_135.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/ptfx1537149337122_1239_1209_197.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/ptoz1535346509465_2000_2000_265.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/rqww1528707295813_640_640_43.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/tasi1478662095985_1600_1600_123.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/tnlb1477995994125_1000_1000_56.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/uzwd1537335913317_640_640_19.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/wgkn1515134271838_1239_1239_384.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/yfoc1535695495872_1239_1149_345.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/yzrp1537323230762_742_724_89.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/zsev1537251673211_750_750_90.jpg@49w_49h_1l_90Q_2o.jpg
- i####.we####.com/zsev1537251673211_750_750_90.jpg@600w_752h_1e_1l_90Q_2o...
- t####.c####.q####.####.com/tdata_vHH584
- t####.c####.q####.####.com/tdata_wmL809
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- c-h####.g####.com/api.php?format=####&t=####
- loc.map.b####.com/sdk.php
- nav.cn.ron####.com/navipush.json
- o####.map.b####.com/offline_loc
- sdk.o####.p####.####.com/api.php?format=####&t=####
- se####.we####.com/ad/show?version=####
- se####.we####.com/common/projectparams?version=####
- se####.we####.com/common/selectcity?version=####
- se####.we####.com/common/update?version=####
- se####.we####.com/investor/get?version=####&sessionid=####
- se####.we####.com/investor/search?version=####&sessionid=####
- se####.we####.com/trace/log?version=####
- se####.we####.com/v5/home/financing
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1004
- /data/data/####/48F1C474A12C10C2CFFC4966D785B39E
- /data/data/####/7b916834dee1dea2adfec2844a661ca431d5af3ef30e168....0.tmp
- /data/data/####/81b5b294d24876b1d0701369e11cda71cc1c25fe9e4c8e7....0.tmp
- /data/data/####/8E42A913A908D5050D2D9DD1F48FBFE9
- /data/data/####/92daa52853268e6954300033d62c1c6a8378d4f5d5e223a....0.tmp
- /data/data/####/COUNTLY_STORE.xml
- /data/data/####/CobubRazor_SharedPref.xml
- /data/data/####/FwLog.xml
- /data/data/####/MultiDex.lock
- /data/data/####/RongPush.xml
- /data/data/####/RongPushAppConfig.xml
- /data/data/####/Statistics.xml
- /data/data/####/TESTIN_AB.xml
- /data/data/####/TESTIN_AB_EXP.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1537867465177
- /data/data/####/a5c138f0f05d2bc75b957e61e26e4a9a113af96c41ea63c....0.tmp
- /data/data/####/authStatus_com.csm.welian.xml
- /data/data/####/authStatus_com.csm.welian;remote.xml
- /data/data/####/bc7db63205cc2a8740ac008b84a30599836421ba5d81482....0.tmp
- /data/data/####/be709388a4d6d10ac8ac99da0bf1e8e073ec19974978902....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cdb-journal
- /data/data/####/citybdcity
- /data/data/####/citybdcity-journal
- /data/data/####/citycountry.db
- /data/data/####/citycountry.db-journal
- /data/data/####/com.csm.welian.abTestin.db
- /data/data/####/com.csm.welian.abTestin.db-journal
- /data/data/####/com.csm.welian_preferences.xml
- /data/data/####/com.qiyukf.analytics.xml
- /data/data/####/crashrecord.xml
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/locale.config.xml
- /data/data/####/mix.dex
- /data/data/####/mobclick_agent_cached_com.csm.welian109
- /data/data/####/multidex.version.xml
- /data/data/####/mwsdk_analytics.db-journal
- /data/data/####/native_record_lock
- /data/data/####/newwelian.db-journal
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/persistent_data.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/tdata_vHH584
- /data/data/####/tdata_vHH584.jar
- /data/data/####/tdata_wmL809
- /data/data/####/tdata_wmL809.jar
- /data/data/####/testin.ab.allocation.TESTIN_abc74b26d-fc64-4be2...1a.xml
- /data/data/####/testin.ab.experiment.TESTIN_abc74b26d-fc64-4be2...1a.xml
- /data/data/####/testin.ab.visualTESTIN_abc74b26d-fc64-4be2-93a8...1a.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/unicorn#cheese#
- /data/data/####/visualeditor.changes.xml
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/038F5C98F01AF7DC66254179089DC6FE
- /data/media/####/0495E37968F16269DBA97BEBAF899536
- /data/media/####/1B638E78C88994679ACE26813F863F9D
- /data/media/####/1DEC7773A2D009E3BA5308B2FDD8B8E8
- /data/media/####/1F56B9F9051AAFDEC7BA116B34CEBF55
- /data/media/####/29347344A07673DA091D143FED2E90A1
- /data/media/####/2B6E6B53469CA13C5FD28796D709471E
- /data/media/####/371D81D371804CB7A18DFD9CD30EFC1B
- /data/media/####/4D7AFFA158BA273AC4D37FA6ED8B3397
- /data/media/####/512B29B54571D6327DE4DF738A9D596B
- /data/media/####/51BC2B413328AD3CDA0E6606E219E18E
- /data/media/####/584294946EE5BA0FF925FB88BCF2D870
- /data/media/####/5926FBCC1F22556FEC64E09DF9AC8E63
- /data/media/####/61B8825D51E74686DE9EEC2305BB714C
- /data/media/####/65342FF9070815FBE183DE8AAC27AD8E
- /data/media/####/8262E9CEBF2D3F9E1A950F437EF26DD2
- /data/media/####/85C8397FF39C074060824AEEB5741519
- /data/media/####/89EFE53D1ED9F106FF2E50919FD1364D
- /data/media/####/927EC22182A22C2D70CCCD3EE0FED626
- /data/media/####/93288DEEE9716E3CA48425CB3BB8AA4B
- /data/media/####/AFDC772E74D766B7D5B2373702641FC9
- /data/media/####/BC4E12BAAA553019A5A6305DEB71798F
- /data/media/####/C3CF1BFEED6F25276D9F35EEC050D668
- /data/media/####/CSM_WELIAN_CI_ANDOROID_ID
- /data/media/####/DE4C1A5595FFE8B25FB2AC055258FB8D
- /data/media/####/F3A153EC9B1EDC98B4EEB7A0A75F863F
- /data/media/####/F40872A80E9F38110D1F11799426FF73
- /data/media/####/a0be3157fda9bc45a95064962db6dc6b_0_5.1.0
- /data/media/####/app.db
- /data/media/####/com.csm.welian.bin
- /data/media/####/com.csm.welian.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tdata_vHH584
- /data/media/####/tdata_wmL809
- /data/media/####/test.0
- /data/media/####/test.log
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_0_0
- Bugly
- RongIMLib
- crash_analysis
- getuiext2
- libnfix
- libshella-2.9.0.2
- libufix
- locSDK7
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
