Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) i####.57k.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) s####.57k.com:80
- TCP(TLS/1.0) c####.jq####.com:443
- TCP(TLS/1.0) 1####.177.119.138:443
- TCP(TLS/1.0) ma####.bootstr####.com:443
- TCP(TLS/1.0) v.hu####.com:443
Запросы DNS:
- a####.b####.qq.com
- a####.exc.mob.com
- aexcep####.b####.qq.com
- and####.b####.qq.com
- api.s####.mob.com
- c####.jq####.com
- i####.57k.com
- m.d####.mob.com
- ma####.bootstr####.com
- s####.57k.com
- sdk.o####.p####.####.com
- v.hu####.com
Запросы HTTP GET:
- i####.57k.com/public/cai/images/auth_icon/ali213.png
- m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- s####.57k.com//upload/20190314/5c89b7a5bed40.jpg
- s####.57k.com/appapi/public/index.php/v1/activity/get_activitys?agent=##...
- s####.57k.com/appapi/public/index.php/v1/game/down?agent=####&appid=####...
- s####.57k.com/appapi/public/index.php/v1/game/get_detail?agent=####&appi...
- s####.57k.com/appapi/public/index.php/v1/game/list?agent=####&appid=####...
- s####.57k.com/appapi/public/index.php/v1/game/list_game?agent=####&appid...
- s####.57k.com/appapi/public/index.php/v1/game/list_new2?agent=####&appid...
- s####.57k.com/appapi/public/index.php/v1/game/type_list?agent=####&appid...
- s####.57k.com/appapi/public/index.php/v1/gift/listtj?agent=####&appid=##...
- s####.57k.com/appapi/public/index.php/v1/news/discover_random?agent=####...
- s####.57k.com/appapi/public/index.php/v1/slide/list?agent=####&appid=###...
- s####.57k.com/appapi/public/index.php/v1/system/get_server_time?agent=##...
- s####.57k.com/appapi/public/index.php/v1/system/get_splash?agent=####&ap...
- s####.57k.com/appapi/public/index.php/v1/system/has_new_version?agent=##...
- s####.57k.com/appapi/public/index.php/v1/system/icons?agent=####&appid=#...
- s####.57k.com/float.php/Mobile/Activity/activity_one?agent=####&appid=##...
- s####.57k.com/public/images/activity_one.png
- s####.57k.com/public/images/icon/Icon-72.png
- s####.57k.com/public/images/lingqian.png
- s####.57k.com/public/mobile/css/public.css
- s####.57k.com/public/mobile/images/activity/activity1.jpg
- s####.57k.com/public/mobile/images/activity/activity2.jpg
- s####.57k.com/public/mobile/images/activity/activity3.jpg
- s####.57k.com/public/mobile/images/activity/activity4.jpg
- s####.57k.com/public/mobile/images/activity/activity5.jpg
- s####.57k.com/public/mobile/images/activity/activity6_1.jpg
- s####.57k.com/public/mobile/images/activity/activity7.jpg
- s####.57k.com/public/mobile/images/activity/activity8.jpg
- s####.57k.com/public/mobile/images/activity/new1.jpg
- s####.57k.com/public/mobile/images/activity/new2.jpg
- s####.57k.com/public/mobile/js/huosdk_base.js
- s####.57k.com/public/mobile/js/jquery.js
- s####.57k.com/public/mobile/js/public.js
- s####.57k.com/upload/20181130/5c009fdd73282.jpg
- s####.57k.com/upload/20181130/5c00b27c6dd3c.jpg
- s####.57k.com/upload/20181207/5c09efe157e02.png
- s####.57k.com/upload/20181211/5c0f62a4e8df7.jpg
- s####.57k.com/upload/20181220/5c1b476e284d8.png
- s####.57k.com/upload/20190313/5c88b21cf2f36.png
- s####.57k.com/upload/20190318/5c8f6f29100fe.jpg
- s####.57k.com/upload/20190319/5c906563155f3.jpg
- s####.57k.com/upload/20190320/5c91fef0ecc4d.png
- s####.57k.com/upload/20190320/5c91ff90cc4a2.PNG
- s####.57k.com/upload/20190320/5c92141141cd2.jpg
- s####.57k.com/upload/20190321/5c9366830fb6c.jpg
- s####.57k.com/upload/20190321/5c936687e931d.jpg
- s####.57k.com/upload/20190321/5c93668c77038.jpg
- s####.57k.com/upload/20190321/5c936690b301e.jpg
- s####.57k.com/upload/20190321/5c93669732b2d.jpg
- s####.57k.com/upload/20190321/5c93669d28d32.png
- s####.57k.com/upload/20190321/5c93676fcb226.jpg
- s####.57k.com/upload/20190322/5c9440126b092.png
- s####.57k.com/upload/20190322/5c9446723e789.jpg
- s####.57k.com/upload/20190325/5c982e05bff8d.jpg
- s####.57k.com/upload/20190325/5c982e3f2dee5.jpg
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- aexcep####.b####.qq.com:8011/rqd/async
- aexcep####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- api.s####.mob.com/conf5
- api.s####.mob.com/conn
- api.s####.mob.com/snsconf
- s####.57k.com/appapi/public/index.php/v1/system/openapp
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.lock
- /data/data/####/.mrecord
- /data/data/####/.mrlock
- /data/data/####/.old_file_converted
- /data/data/####/.statistics
- /data/data/####/0741f039b8c4ca8d693cb476880251657896de059fe716f....0.tmp
- /data/data/####/117939ef0e265bd66ee64e5a13dfc9b90ae193a4334277e....0.tmp
- /data/data/####/193d8e629133d7861f946f34ce652bae97e7159ce16d4cb....0.tmp
- /data/data/####/1dde71aa12c3aef329474573bf6f6e049f3d7fe20085d99....0.tmp
- /data/data/####/373c07ad1ba475d66990159ee2119900a39b8e9d6fc8ec7....0.tmp
- /data/data/####/4dbca3668691a8aabed04fa569a752d4f34b16908b32ae1....0.tmp
- /data/data/####/4fd10c23ea03297e6aa4993a37d64c31e0709c8b2c6f2e4....0.tmp
- /data/data/####/508c3e431ad2444d6f33a4681db704715c8c12868c07b37....0.tmp
- /data/data/####/58031f3234796b2a982f36dd3564a2aaeb3ba94b3962900....0.tmp
- /data/data/####/6d63f6a001bd566d02641e24ac097c1959fe8ec49291948....0.tmp
- /data/data/####/79f2209dd8c7a23e61cbbfba91699e980bfe0f27d31f29e....0.tmp
- /data/data/####/89d06977b2cf63e8f80d52675628c6b20c47d9d19e1a37a....0.tmp
- /data/data/####/93a61a18cda80b10bdff7b575881ca0e2b6ad2378be3d48....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/a1696a921816617bfae46481402339300141522e2099883....0.tmp
- /data/data/####/a20f4c53c6dc09a758671a3172bc7b4a54f900939c703f0....0.tmp
- /data/data/####/b24b84add3c9595798b6d252e7881657cdd609e75ae3ee8....0.tmp
- /data/data/####/b3a24c55a6177ca4ab6ff57deae5e0bfd62c66e068495a2....0.tmp
- /data/data/####/b677c834dcc4429c9ed3f6742133383cd4c2520dedfabc8....0.tmp
- /data/data/####/bb8cfb1bc9097e9a29b6f31a267667c4266ab3e5ab7ece2....0.tmp
- /data/data/####/bdde43ca51dc7600785b56262ea16ca3ab00ef4b63f36b3....0.tmp
- /data/data/####/bf2dec2857f4f7168f052f6c8e0057595bfd13f8c7c7715....0.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cd0cbca4e26a6cbe8f51b4caaf261dc3710949a81bb714b....0.tmp
- /data/data/####/ce31c837ed3a1845cb46aa19c12e4c0ca650438e6eef912....0.tmp
- /data/data/####/com.liang530.control.LoginControl.xml
- /data/data/####/com.zhiai.huosuapp.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/de7ed459525911c73cb8524fcfe5f493cb94764fc11b27b....0.tmp
- /data/data/####/ebccfeb3094f9178e86ad4967b499cf74bc3743b1bd7c30....0.tmp
- /data/data/####/f4df19b4865fc46d6b9aed69dc055bb83e654e3436db6f1....0.tmp
- /data/data/####/f7223ce9df0fe6bd740e56c4203caedd24642c9a4b7c046....0.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/fdb73dc92dc7ccc317886fc42b1eab8cd87bd56fde2b7de....0.tmp
- /data/data/####/ff541bafb254638671dde0dc6ef8e294ba73b102f032dd6....0.tmp
- /data/data/####/filedownloader.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/index
- /data/data/####/init_c1.pid
- /data/data/####/init_er.pid
- /data/data/####/journal.tmp
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/mob_commons_1.xml
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/outdbName.db-journal
- /data/data/####/security_info
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/sp_rsa_public_key.xml
- /data/data/####/splash.xml
- /data/data/####/splash_img.jpg
- /data/data/####/tasksmanager.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/outdbName.db
- /data/media/####/tasksmanager.db
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh
Загружает динамические библиотеки:
- Bugly
- getuiext2
- hs_sdk-lib
- libnfix
- libshella-2.9.0.2
- libufix
- neh
- nfix
- pl_droidsonroids_gif
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
