Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) promo####.e####.com:80
- TCP(HTTP/1.1) p####.elongst####.com.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) js.4####.cn.####.net:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) api.map.b####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8012
- TCP(HTTP/1.1) mobile-####.e####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- a####.b####.qq.com
- aexcep####.b####.qq.com
- and####.b####.qq.com
- api.map.b####.com
- c####.g####.ig####.com
- c-h####.g####.com
- js.4####.cn
- loc.map.b####.com
- m.e####.com
- m.elongst####.com
- mobile-####.e####.com
- o####.map.b####.com
- p####.elongst####.com
- promo####.e####.com
- r####.wx.qq.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- api.map.b####.com/staticimage?width=####&height=####¢er=####&markers...
- js.4####.cn.####.net/touch/hb/c/bridge.2.4.1.js?v=####
- mobile-####.e####.com/house/calendar/getTenantCalendar?req=egV####&rando...
- mobile-####.e####.com/house/comment/commentList?req=8Rp####&randomId=####
- mobile-####.e####.com/house/help/getKey?req=gK1####&randomId=####
- mobile-####.e####.com/house/home/getHomeExtendInfo?req=MLs####&randomId=...
- mobile-####.e####.com/house/home/getHomePageData?req=####&randomId=####
- mobile-####.e####.com/house/house/operationsManager?req=xwM####&randomId...
- mobile-####.e####.com/house/house/searchDetailV?req=JND####&randomId=####
- mobile-####.e####.com/house/landmark/getHouseTrafficIntro?req=9WN####&ra...
- mobile-####.e####.com/minsu/config/activity/80?if=####&from=####&version...
- p####.elongst####.com.####.com/i/AH100_100/000bZC5V.jpg
- p####.elongst####.com.####.com/i/AH100_100/000bZVYs.jpg
- p####.elongst####.com.####.com/i/AH100_100/000c06bp.jpg
- p####.elongst####.com.####.com/i/AH100_100/000c2mFf.jpg
- p####.elongst####.com.####.com/i/AH100_100/000dLgZB.webp
- p####.elongst####.com.####.com/i/AH100_100/000dUFGG.jpg
- p####.elongst####.com.####.com/i/AH100_100/000dy6km.jpg
- p####.elongst####.com.####.com/i/AH100_100/000e10et.jpg
- p####.elongst####.com.####.com/i/AH100_100/000etiN7.webp
- p####.elongst####.com.####.com/i/AH100_100/000etiN8.webp
- p####.elongst####.com.####.com/i/AH100_100/000etiN9.webp
- p####.elongst####.com.####.com/i/AH100_100/000f9YLD.webp
- p####.elongst####.com.####.com/i/AH750_400/000bZC2Z.webp
- p####.elongst####.com.####.com/i/AH750_400/000bZC30.webp
- p####.elongst####.com.####.com/i/AH750_400/000bZC37.webp
- p####.elongst####.com.####.com/i/AH750_400/000bZC45.webp
- p####.elongst####.com.####.com/i/AH750_400/000bZC5V.webp
- p####.elongst####.com.####.com/i/mobile570_372/nw_000bWjXS.webp
- p####.elongst####.com.####.com/i/mobile570_372/nw_000cw11k.webp
- p####.elongst####.com.####.com/i/ori/000fDqEA.jpg
- p####.elongst####.com.####.com/i/ori/000fDrLx.jpg
- p####.elongst####.com.####.com/i/ori/000fDsDi.jpg
- p####.elongst####.com.####.com/i/ori/000fDsKE.jpg
- p####.elongst####.com.####.com/i/ori/000fDsKw.jpg
- p####.elongst####.com.####.com/i/ori/000fDsMI.jpg
- p####.elongst####.com.####.com/i/ori/000fDsNB.jpg
- p####.elongst####.com.####.com/i/ori/000fDsOt.jpg
- p####.elongst####.com.####.com/i/ori/000fDtiM.jpg
- p####.elongst####.com.####.com/i/ori/000fygWU.jpg
- p####.elongst####.com.####.com/ori/00061Y31.jpg
- p####.elongst####.com.####.com/ori/00061Y3h.jpg
- p####.elongst####.com.####.com/ori/00061Y5E.jpg
- p####.elongst####.com.####.com/ori/00061Y64.jpg
- p####.elongst####.com.####.com/ori/0007GJ3U.jpg
- p####.elongst####.com.####.com/ori/0007GLgl.jpg
- p####.elongst####.com.####.com/ori/0007GMFI.jpg
- p####.elongst####.com.####.com/promotions/apartment/activityconfig/topic...
- p####.elongst####.com.####.com/promotions/apartment/h5activity/recruit/C...
- p####.elongst####.com.####.com/promotions/apartment/h5activity/sale/img/...
- p####.elongst####.com.####.com/promotions/apartment/h5activity/sale/util...
- p####.elongst####.com.####.com/promotions/apartment/h5activity/sale/zept...
- p####.elongst####.com.####.com/static/webapp/tj/tjmvt.js
- p####.elongst####.com.####.com/tj/t.gif?&p88=####&p94=####&drt=####&olt=...
- promo####.e####.com/apartment/2016/js/core/iscroll-probe.js
- s####.tc.qq.com/open/js/jweixin-1.0.0.js
- t####.c####.q####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async
- a####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- c-h####.g####.com/api.php?format=####&t=####
- mobile-####.e####.com/mtools/getMvtConfig
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/069b0a05b129fd109cd8b3fd731914a2d1004338a068a7b....0.tmp
- /data/data/####/07ad8df7c8e55b20cffa9f3700cc0896d6a4627fe1aff37....0.tmp
- /data/data/####/132b1214e380cd8bd183346c2cbc1be5d44b1d8f88c0f27....0.tmp
- /data/data/####/18bc01c988a77d1e221f2f6cf6febf6c.0.tmp
- /data/data/####/18bc01c988a77d1e221f2f6cf6febf6c.1.tmp
- /data/data/####/2be7ea733f4c4e2e106461476e37431c52fcd844dca3b97....0.tmp
- /data/data/####/393c07798508d3d634fa27ec3faac3365d4986c219f2fa5....0.tmp
- /data/data/####/3d02ed18cf2f1ddce331c67d18d35a5eb3d44ffcb8eae63....0.tmp
- /data/data/####/59afadf3094218543f49e0a5a58b01ead2c262945dc3548....0.tmp
- /data/data/####/6775673ec8827a4c441f8907f070dac2d128a486e5efb4a....0.tmp
- /data/data/####/6ad29e381ce7c17ffd898defc77884ea8b6cdca50fcd360....0.tmp
- /data/data/####/6e6570140b83df59d26a492afc17dd8e2cb2007b0580bc9....0.tmp
- /data/data/####/77fd93d2a9229f65f0824fab438026d2fd04b9e32f6eb88....0.tmp
- /data/data/####/791259d32cb8a1c10ad4f78e077c88e8ef8c4afd403e019....0.tmp
- /data/data/####/7ac4911b908e414b50f24279a0bf55721dd2fc17b9afc02....0.tmp
- /data/data/####/849005a882c65176d342fa91291b4d1dd61f4128ec856ed....0.tmp
- /data/data/####/84e0ddd0f18a705d4b48cc0df18ca69227f09d633d488ce....0.tmp
- /data/data/####/8af50de4781715e260c78c15d3aadad806266eec164c869....0.tmp
- /data/data/####/8e42c2bbb8430ae8b3401c6c0e903044f5b2c62c3791bcc....0.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/HttpHeader.xml
- /data/data/####/PushSetting.xml
- /data/data/####/authStatus_com.elong.android.youfang.xml
- /data/data/####/authStatus_com.elong.android.youfang;pushservice.xml
- /data/data/####/authStatus_com.elong.android.youfang;remote.xml
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c1041b2c7442729ba7be9a2aaaed0e51fbf8bb2a066aa5c....0.tmp
- /data/data/####/c1f1ea7789d023ca39f61e1782ff7d8ae3a8abede63080b....0.tmp
- /data/data/####/ca5aee439fe85bd9358e99d182db3f1df81d238eb0ed59a....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e1fd2de67caa36fa2dcd14228433993c02b1d0049e4639c....0.tmp
- /data/data/####/e80dc5710e59a76b03542037756fea33c572463ad952110....0.tmp
- /data/data/####/e992c518ce6ab9263007013341260ed2fba6e91fdbd9146....0.tmp
- /data/data/####/elong.minsu.db-journal
- /data/data/####/f8a16adb0e190ef8a62be6d3f63bc9bde6336d4f4ef3221....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/minsu_common_sp_data.xml
- /data/data/####/minsu_sp_data.xml
- /data/data/####/minsu_userinfo.xml
- /data/data/####/mix.dex
- /data/data/####/multidex.version.xml
- /data/data/####/mvt_db_-2056123918-journal
- /data/data/####/native_record_lock
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/user_device_id.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/app.db
- /data/media/####/com.elong.android.youfang.bin
- /data/media/####/com.elong.android.youfang.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- BaiduMapSDK_base_v4_5_2
- Bugly
- getuiext2
- libnfix
- libshella-2.9.0.2
- libufix
- locSDK7b
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
