Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- TCP(/rqd/asy) and####.b####.qq.com:80
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) valiu####.c####.qini####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) q####.q####.cn:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- UDP(NTP) n####.al####.com:123
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) conte####.chao####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- conte####.chao####.com
- gxv####.chao####.com
- log.u####.com
- n####.al####.com
- n####.al####.com
- n####.al####.com
- n####.al####.com
- n####.al####.com
- n####.al####.com
- n####.al####.com
- plb####.u####.com
- pub-####.qin####.com
- q####.q####.cn
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
Запросы HTTP GET:
- q####.q####.cn/qzapp/101378925/0FC89ECACBE0B8A7D0096A37F1A2D41E/100
- q####.q####.cn/qzapp/101378925/2EEAD490D76086EA70B05AB16CFFB5B0/100
- q####.q####.cn/qzapp/101378925/8103D6D5FAFACB64752652F0600BDE3B/100
- q####.q####.cn/qzapp/101378925/9839C4DF346A45604C76F8705A33C954/100
- q####.q####.cn/qzapp/101378925/AFBED9F503B7D21FE239DF8EE8E05A9F/100
- q####.q####.cn/qzapp/101378925/C24A221E385B18D888FC8E251861FF54/100
- q####.q####.cn/qzapp/101378925/FC2E56D218F7F37F8953547C19F6E1AB/100
- t####.c####.q####.####.com/config/hz-hzv3.conf
- t####.c####.q####.####.com/tdata_bca864
- t####.c####.q####.####.com/tdata_fyR930
- valiu####.c####.qini####.com/test/videos/doupi/reco/96209/0?vframe/####
- valiu####.c####.qini####.com/test/videos/douyin/liked_videos/65439029696...
- valiu####.c####.qini####.com/test/videos/douyin/liked_videos/66305971837...
- valiu####.c####.qini####.com/test/videos/weibo_hist/2393541445/M_FiJHdDC...
- valiu####.c####.qini####.com/test/videos/weibo_hist/3108949955/M_GDoe5nz...
- valiu####.c####.qini####.com/test/videos/weibo_hist/3108949955/M_GaQzMd5...
- valiu####.c####.qini####.com/test/videos/weibo_hist/3108949955/M_GdKM9AR...
- valiu####.c####.qini####.com/test/videos/weibo_hist/6224564922/M_GmgyHuA...
Запросы HTTP POST:
- and####.b####.qq.com/
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/203b0fbb15f5bdd4d733b9fdf8e5589192fa091b12d5b9d....0.tmp
- /data/data/####/36b9a80117ba305430b79263d6d18d86c4070b95b2345f9....0.tmp
- /data/data/####/3a5126ee9f589e66a9af8177a6be826e8d04fdc3d8ff7e6....0.tmp
- /data/data/####/45c5a3079a89130932a961ac240cfef5cebf4c3d1900dcc....0.tmp
- /data/data/####/4e9dfeade043c862776111d2a64b05f2e937da497860d2c....0.tmp
- /data/data/####/621ffef49345bdb5c11fab019c2da62e3e0347c52fed73c....0.tmp
- /data/data/####/7a69c7ef07d15ac61a0f7cb685b452a5d03ce82281eceaa....0.tmp
- /data/data/####/870506971301b9b1ce6a72bf93eb61c486f5b72accce9f1....0.tmp
- /data/data/####/880d73216055d1e98dd4365958e1e6d5a4b48dc938f758b....0.tmp
- /data/data/####/8bb8f31704896eaaafd57016eff478c54edf80ffc2d886a....0.tmp
- /data/data/####/9f175762aa22b7204bf8a56d80f35b3ac84a95cd12466ad....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a==7.5.4&&1.0.0_1547038509675_envelope.log
- /data/data/####/bugly_db_-journal
- /data/data/####/c202f03bc3bfad771e035748c70e57ba35c0dcb750d4b9d....0.tmp
- /data/data/####/c30dd4108b8b361e403949b0fcbeaadc814826f92ca24de....0.tmp
- /data/data/####/crashrecord.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ3MDM4NTA4NTQ2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ3MDM4NTI2NTIw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ3MDM4NTQ4MzIz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ3MDM4NTYyOTkx;
- /data/data/####/dW1weF9zaGFyZV8xNTQ3MDM4NTA5ODk4;
- /data/data/####/dW1weF9zaGFyZV8xNTQ3MDM4NTEwMDI1;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/getui_sp.xml
- /data/data/####/gx_sp.xml
- /data/data/####/i==1.2.0&&1.0.0_1547038508576_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1547038526550_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1547038548338_envelope.log
- /data/data/####/i==1.2.0&&1.0.0_1547038563036_envelope.log
- /data/data/####/info.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1626942992.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share.db-journal
- /data/data/####/tdata_bca864
- /data/data/####/tdata_bca864.jar
- /data/data/####/tdata_fyR930
- /data/data/####/tdata_fyR930.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/app.db
- /data/media/####/com.bubble.witty.bin
- /data/media/####/com.bubble.witty.db
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/sysid.dat
- /data/media/####/tdata_bca864
- /data/media/####/tdata_fyR930
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24608 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop
- ls /
- ls /sys/class/thermal
- mount
Загружает динамические библиотеки:
- Bugly
- c++_shared
- getuiext3
- libjiagu-1626942992
- mmkv
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
