Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) xiu.xi####.com:80
- TCP(HTTP/1.1) www.w####.com:80
- TCP(HTTP/1.1) w####.xi####.com:80
- TCP(HTTP/1.1) dn####.fas####.com:80
- TCP(SSL/3.0) 9ec8524####.bug####.com:443
- TCP(TLS/1.0) 9ec8524####.bug####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
- TCP s3.c####.xi####.com:19713
- TCP 1####.171.140.131:1935
Запросы DNS:
- 9ec8524####.bug####.com
- a####.u####.com
- dn####.fas####.com
- l####.tbs.qq.com
- s3.c####.xi####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.xi####.com
- w####.xi####.com
- www.w####.com
- x1.xi####.com
- xiu.xi####.com
Запросы HTTP GET:
- dn####.fas####.com//dnionget
- w####.xi####.com/vshow/streamname?get_url=####
- xiu.xi####.com/photo/97/93/qq-bprhzlszoz_b_56.com_.jpg
- xiu.xi####.com/style/wxstyle/release/mobile/v1/img/bg_pic/room_bg_spring...
- xiu.xi####.com/style/wxstyle/release/mobile/v1/img/topic/springFestival_...
- xiu.xi####.com/upload/xiu/1/84/qq-luxktescuo_pixel_56.com_171226194150.jpg
- xiu.xi####.com/upload/xiu/14/91/wx-boffewrlms_pixel_56.com_180715220002....
- xiu.xi####.com/upload/xiu/17/7/sj-wxjrtjbdlx_pixel_56.com_190104144258.jpg
- xiu.xi####.com/upload/xiu/2/62/sj-tqsmhilsan_pixel_56.com_190119002150.jpg
- xiu.xi####.com/upload/xiu/24/45/qq-zgvveukviu_pixel_56.com_181101213406....
- xiu.xi####.com/upload/xiu/26/70/aa66526627_pixel_56.com_181203013634.jpg
- xiu.xi####.com/upload/xiu/33/8/sxm1023_pixel_56.com_181111190655.jpg
- xiu.xi####.com/upload/xiu/38/23/sj-qnfwsbfrhh_pixel_56.com_190124145241....
- xiu.xi####.com/upload/xiu/41/63/qq-oygryprmal_pixel_56.com_190104012109....
- xiu.xi####.com/upload/xiu/51/62/jinglemon2012_pixel_56.com_181230230616....
- xiu.xi####.com/upload/xiu/59/60/wlp1314ai_pixel_56.com_181122050319.jpg
- xiu.xi####.com/upload/xiu/6/12/wj77777_pixel_56.com_170217130607.jpg
- xiu.xi####.com/upload/xiu/64/82/wx-basiuvcxcf_pixel_56.com_181026072512....
- xiu.xi####.com/upload/xiu/65/23/ww8701003_pixel_56.com_190104121620.jpg
- xiu.xi####.com/upload/xiu/68/82/py1992_pixel_56.com_180502115554.jpg
- xiu.xi####.com/upload/xiu/75/9/qq-ijrlnnwcdu_pixel_56.com_181126015611.jpg
- xiu.xi####.com/upload/xiu/77/1/wx-iqefsfetgi_pixel_56.com_181218134554.jpg
- xiu.xi####.com/upload/xiu/80/4/sj-vboacvwpck_pixel_56.com_190108154955.jpg
- xiu.xi####.com/upload/xiu/85/48/qq-wlthhygkhy_pixel_56.com_190103173702....
- xiu.xi####.com/upload/xiu/90/49/wx-rtjjrdikml_pixel_56.com_190127215936....
- xiu.xi####.com/upload/xiu/94/1/zaq7979247_pixel_56.com_180822123025.jpg
- xiu.xi####.com/upload/xiu/99/69/qq-erezdsurio_pixel_56.com_181105031324....
- xiu.xi####.com/upload/xiu/99/81/sj-xtimbktmxu_pixel_56.com_181227201142....
Запросы HTTP POST:
- a####.u####.com/app_logs
- l####.tbs.qq.com/ajax?c=####&k=####
- www.w####.com/index.php?action=####&do=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0ffe5772849e888542b3557a9519a01becb8e22e606e53d....0.tmp
- /data/data/####/11143a124946af5eedf849044b6d49714e358cf2d96d84b....0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.0.tmp
- /data/data/####/15e452c78fa7b5fbe565b4ecb0472293.1.tmp
- /data/data/####/15ea22b7ffc73e546451aecafd4abbb39d28d884f1c23fe....0.tmp
- /data/data/####/2fb227e27da3139d779dad68d3d0d7c64ffdf90b0b3ae43....0.tmp
- /data/data/####/3f873e324b9fa7d8de135fd2ca638f1578ab0337e01a854....0.tmp
- /data/data/####/4b92a88333415800679bcbebea2ae501ec275651444af49....0.tmp
- /data/data/####/5bd9f203a382bda455c1e795ca74b85bc384a0ab70b8dd6....0.tmp
- /data/data/####/6a274ed2fbcacc66401f387b5180dbe8732e04c5d9b5148....0.tmp
- /data/data/####/7155926dff0764e5ef1000dea96625a4e85c49867af82e4....0.tmp
- /data/data/####/73ccc08f5f0ae678bdaa8cbcd11d3a06da258d9436c8337....0.tmp
- /data/data/####/897a2c99d82f8022045d49ce35054313a3459974e76c15b....0.tmp
- /data/data/####/9185527384de8f5f9730fa4b738ada467e4c2fc50fa568d....0.tmp
- /data/data/####/988bb124115dc7d8dae953a5cefcbcce9bed6959070e512....0.tmp
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/a9a421d5a38d9e4f6f7be448bcdd89c762669ff42daad51....0.tmp
- /data/data/####/b16aaa1e9e4c9b6df3e3468e11d48211e2234f0c2db1d4b....0.tmp
- /data/data/####/c2449fc1c2ea6b2a6ee8ff5c9b7d4a01b7fbe7afadee9c8....0.tmp
- /data/data/####/c251fbc3c514c31a01ecc8b40d28625b74cc3394fa780a7....0.tmp
- /data/data/####/c6cb40511f92b080650b1afc9c1a1b05dac846686b17dcb....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cc8bb0c4d997f349e981b780a500428c862568479d582e2....0.tmp
- /data/data/####/core_info
- /data/data/####/d067b2283f069f595fdd6c04581a776d933e83b0ff1fa16....0.tmp
- /data/data/####/d2a3a49a4b0939cac1bb178e925efc8a1fa9d6e21a02ba2....0.tmp
- /data/data/####/d9baeb69efe8afb048c7fac2f6f54ca482d71a52b0c8eaf....0.tmp
- /data/data/####/df0be25830141f43bb4122d0dea2a916b8590534f288f09....0.tmp
- /data/data/####/e3ed195a75e06e781425fdda068cee9a027938494493f0b....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fa0749f1f1ff32f9d1f99c5f5145189a1b2731f29c524eb....0.tmp
- /data/data/####/fc92dd88c2f26b3ce310defaf58508bac3fb5526744344e....0.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu616568235.so
- /data/data/####/multidex.version.xml
- /data/data/####/pushsdk.db-journal
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- Bugtags
- getuiext2
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu616568235
- openh264
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
