Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) err.ta####.com:80
- TCP(HTTP/1.1) wx.we####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) pin####.qq.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) api.we####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) img.we####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) wxa####.we####.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5225
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.man.aliy####.com
- a.appj####.com
- and####.cli####.go####.com
- api.we####.com
- apis-ho####.ta####.com
- au.u####.co
- au.u####.com
- c####.g####.ig####.com
- c-h####.g####.com
- c.appj####.com
- cgi.con####.qq.com
- err.ta####.com
- img.we####.com
- log.u####.com
- pi####.qq.com
- pin####.qq.com
- pub-####.qin####.com
- s####.map.b####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- wx.we####.com
- wxa####.we####.com
Запросы HTTP GET:
- api.we####.com/wenkor/2/servapi//adv_cfg?
- api.we####.com/wenkor/2/servapi//banner_code_list
- api.we####.com/wenkor/2/servapi//banners?code=####
- api.we####.com/wenkor/2/servapi//ind_cfg?resType=####
- api.we####.com/wenkor/2/servapi/content?id=####&type=####&&page=####
- api.we####.com/wenkor/2/servapi/content_comment?id=####&page=####
- api.we####.com/wenkor/2/servapi/content_menu
- api.we####.com/wenkor/2/servapi/find?tag=####&key=####&page=####
- api.we####.com/wenkor/2/servapi/ifFav?id=####&key=####
- api.we####.com/wenkor/2/servapi/museum/v1.0/content_info?id=####&type=####
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- err.ta####.com/error1.html
- img.we####.com/img/default/user_head_img.jpg?1553849####
- img.we####.com/upload/images/28/95/2895c85b9ec8e478c2c84e6308fdcff3.jpg
- img.we####.com/upload/images/3a/6b/3a6bde4dbbb0a2fa166e0d69009b46bb.jpg
- img.we####.com/upload/images/42/f4/42f4d1a959c7ef5968b59a18eeb11993.png
- img.we####.com/upload/images/5a/f2/5af212c1e2af0263b49fdd01eda4f054.png
- img.we####.com/upload/images/6f/dd/6fdd78c0f538c513b8e2eba2783f5740.png
- img.we####.com/upload/images/7a/0a/7a0aa4d659ea3a49737e76ad42de2877.jpg
- img.we####.com/upload/images/88/c6/88c6b6dba0c589fd15965826742c97f2.jpg
- img.we####.com/upload/images/a1/a4/a1a4e77e007ffadd448b231b0135a63a.jpg
- img.we####.com/upload/images/a2/5c/a25cb5ca9a000787e0a11b357867488b.jpg
- img.we####.com/upload/images/a7/f1/a7f18f5b5da0c69f8b1b60eb32bf6024.png
- img.we####.com/upload/images/bc/c3/bcc3d900dda1117f9bad765e1a5c7142.jpg
- img.we####.com/upload/images/c3/8b/c38bf8b7cf0fdc9553757505e7c3615d.png
- img.we####.com/upload/images/c7/9b/c79bfec34b05b1d7cd5802bbd2adc56d.png
- img.we####.com/upload/images/e7/c8/e7c8aa0abb607389c839aa31144020d4.png
- img.we####.com/upload/images/e8/d0/e8d05bd900df92dbeb28ab9c09a0449b.jpg
- img.we####.com/upload/images/ec/1d/ec1dda49795b2bf3ebf28fc532fccaf7.png
- pin####.qq.com/
- pin####.qq.com/?s=####&k=####
- qin####.com.www.####.com/tdata_EDT369
- t####.c####.q####.####.com/tdata_RSQ274
- t####.c####.q####.####.com/tdata_RbW195
- t####.c####.q####.####.com/tdata_qHR433
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- wx.we####.com/VideoInfo/GetList_Show?startIndex=####&rowCount=####
- wxa####.we####.com/image/20170809112615814495.jpg
- wxa####.we####.com/image/20170829052839921860.jpg
- wxa####.we####.com/image/20170829054454635062.jpg
Запросы HTTP POST:
- a.appj####.com/jiagu/check/upgrade
- api.we####.com/wenkor/2/servapi//version/check?terminalType=####&version...
- c-h####.g####.com/api.php?format=####&t=####
- c.appj####.com/ad/splash/stats.html
- pi####.qq.com/mstat/report/?index=####
- pin####.qq.com/?s=####&k=####
- sdk.o####.p####.####.com/api.php?format=####&t=####
- sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-rkIEV5HcccWZrVWrcbXLMZyaZA.1898560356.tmp
- /data/data/####/-rkIEV5HcccWZrVWrcbXLMZyaZA.cnt
- /data/data/####/.jg.ic
- /data/data/####/.nomedia
- /data/data/####/2qpV7CgEfyB65HTU49Mj_zUQ9kQ.1048242278.tmp
- /data/data/####/2vN2fnAtpeMljsdL0mdGT4Qx5Aw.306433431.tmp
- /data/data/####/4TpB5dDSLjDbnJ0qby8a-a4cpHs.-2107692644.tmp
- /data/data/####/703668825-1725070942
- /data/data/####/70I9hzN4t7b6bvkc3YGyLr4NF04.-479114855.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/Ckufzb0E1g_R3rmD2Ishhk4abmg.1794837923.tmp
- /data/data/####/ContextData.xml
- /data/data/####/DVDirectory.cfg
- /data/data/####/DVHotMap.cfg
- /data/data/####/DVHotcity.cfg
- /data/data/####/DVVersion.cfg
- /data/data/####/GHi1ohaour4E1ZowEnzUicsycPc.-2012435565.tmp
- /data/data/####/JSBfFZji4pq4UF4_D7uEiwqMq5w.1368903808.tmp
- /data/data/####/L_Pv9XZJTqJIbnZHAjw1LeZyfZs.-1119015163.tmp
- /data/data/####/NAWjoqTnHCHbb8VxEKvkKbSOoFc.-1144588527.tmp
- /data/data/####/ResPack.rs
- /data/data/####/WN32wk-Z1APACq64jLw21mXXNQU.170478514.tmp
- /data/data/####/Xxz1PxZypFJ_ihEMxPjEO7mrUEk.-57808106.tmp
- /data/data/####/aCJFFewy2LAq5rWXjqCtLf6Mkok.-115869610.tmp
- /data/data/####/account.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/authStatus_com.njcc.wenkor.xml
- /data/data/####/authStatus_com.njcc.wenkor;pushservice.xml
- /data/data/####/cc6f65d1c377
- /data/data/####/com.njcc.wenkor.xml
- /data/data/####/com.njcc.wenkor_preferences.xml
- /data/data/####/com.tencent.open.config.json.1104692849
- /data/data/####/disk_entries_list_image_cache_-851825370.xml
- /data/data/####/eqp9SYY4kA4DB0BwdgP5xsGFuu8.-1434205654.tmp
- /data/data/####/gdaemon_20161017
- /data/data/####/gkt-journal
- /data/data/####/gx_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/itJjK8EdUR4_4Z9Vab0N2MhYE9k.-1599434730.tmp
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/kcqOEnMamrozFhfsXHVD624YijE.-1670728104.tmp
- /data/data/####/libjiagu.so
- /data/data/####/mapstyle.sty
- /data/data/####/multidex.version.xml
- /data/data/####/nvsAqwk2-fg29_65C988aPP2tNY.499837881.tmp
- /data/data/####/pri_tencent_analysis.db-journal
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/satellitestyle.sty
- /data/data/####/sp_sophix.xml
- /data/data/####/sp_sophix.xml.bak
- /data/data/####/statistics_db-journal
- /data/data/####/tdata_RSQ274
- /data/data/####/tdata_RSQ274.jar
- /data/data/####/tdata_RbW195
- /data/data/####/tdata_RbW195.jar
- /data/data/####/tdata_qHR433
- /data/data/####/tdata_qHR433.jar
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/trafficstyle.sty
- /data/data/####/ver.dat
- /data/data/####/yJ6myEnSn3FFPAZHJfRfcRfsUpI.-988851459.tmp
- /data/data/####/yS-RBh2EiQQSsplEd3B5STGxpBw.97102130.tmp
- /data/media/####/.cuid
- /data/media/####/.mid.txt
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/bd64b8d3989bd1022d1de9c29e9d3537.0.tmp
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.njcc.wenkor.db
- /data/media/####/com.tencent.mobileqq_connectSdk.19.03.29.11.log
- /data/media/####/gkt-journal
- /data/media/####/gktper
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/tdata_RSQ274
- /data/media/####/tdata_RbW195
- /data/media/####/tdata_qHR433
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24487 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24487 300 0
Загружает динамические библиотеки:
- BaiduMapSDK_v3_5_0_3
- MtaNativeCrash
- bspatch
- getuiext2
- imagepipeline
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
