Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) www.sc####.com:8090
- TCP(HTTP/1.1) www.sc####.com:8080
Запросы DNS:
- a####.u####.com
- aexcep####.b####.qq.com
- and####.b####.qq.com
- mt####.go####.com
- www.sc####.com
Запросы HTTP GET:
- www.sc####.com:8080//gcrcsUploadFile/2017/08/10/020514/timg (5).jpg
- www.sc####.com:8080//gcrcsUploadFile/2017/09/16/075520/默认标题_手机聊天背景_2017....
- www.sc####.com:8080//gcrcsUploadFile/2017/11/03/fee20bb1193140a98521bdaa...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/0168330efb4d4fd1ad2cc420...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/17eda7076b6142338b2ff739...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/781b439dcb6944f79f9c24b1...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/86ed2ef2c7414f4a999a4360...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/d51f530bb45f4e628d1c91f1...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/07/fc38a035fe014053baec217c...
- www.sc####.com:8080//gcrcsUploadFile/2017/11/08/9c3aa3dd79f84da3a74b7548...
- www.sc####.com:8080//gcrcsUploadFile/2018/04/12/fdf672cd6b644cd8ba2d72bc...
- www.sc####.com:8080//gcrcsUploadFile/2018/05/03/901ccf24b557478b98b919f7...
- www.sc####.com:8080//gcrcsUploadFile/2018/05/28/a7ca596205404be2a0c6c813...
- www.sc####.com:8080//gcrcsUploadFile/2018/06/21/e58cd68a8c464aa1a36b543b...
- www.sc####.com:8080//gcrcsUploadFile/2018/09/29/7aa9ba13f49f4e27b0b037ab...
- www.sc####.com:8080//gcrcsUploadFile/2018/10/08/0333da0d691c484580715e1a...
- www.sc####.com:8080//gcrcsUploadFile/2018/10/10/3d1b5f0c585a4132b2f98b40...
- www.sc####.com:8080//gcrcsUploadFile/2018/10/22/653e0acd041d4e24b5fdf3ba...
- www.sc####.com:8080//gcrcsUploadFile/2018/10/22/8f8d3646ee6f45c2b9910c2a...
- www.sc####.com:8080//gcrcsUploadFile/2019/03/11/20e2cb58882f4b54b5e08512...
- www.sc####.com:8080//gcrcsUploadFile/2019/03/11/d773061b48414e44b12bc8e3...
Запросы HTTP POST:
- a####.u####.com/app_logs
- aexcep####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- www.sc####.com:8080/SmartCampus/appservice/basic/checkVersion
- www.sc####.com:8080/SmartCampus/appservice/index/indexInfo
- www.sc####.com:8080/SmartCampus/appservice/index/indexStoreList
- www.sc####.com:8080/SmartCampus/appservice/notice/noticeInfo
- www.sc####.com:8080/SmartCampus/appservice/notice/noticeList
- www.sc####.com:8090/appservice/advertising/advInfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/4413d6ca4f5655cf81e291fb3c5b8e47424d6a47e7b0cf0....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.whcd.smartCampus.loginInfo.xml
- /data/data/####/default_sp.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/journal.tmp
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.1.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/security_info
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/-1107129692.tmp
- /data/media/####/-1406808258.tmp
- /data/media/####/-1587385543.tmp
- /data/media/####/-1633392653.tmp
- /data/media/####/-2025191166.tmp
- /data/media/####/-2043809839.tmp
- /data/media/####/-2101676807.tmp
- /data/media/####/-308175364.tmp
- /data/media/####/-364025726.tmp
- /data/media/####/-490999075.tmp
- /data/media/####/-935787477.tmp
- /data/media/####/1335440375.tmp
- /data/media/####/149488736.tmp
- /data/media/####/1598757579.tmp
- /data/media/####/171700237.tmp
- /data/media/####/1813957313.tmp
- /data/media/####/1823266530.tmp
- /data/media/####/1962891162.tmp
- /data/media/####/439862083.tmp
- /data/media/####/934333773.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- libnfix
- libshella-2.9.1.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
