Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) st####.t####.cn:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) m.t####.cn:80
- TCP(HTTP/1.1) o####.jd.com:80
- TCP(HTTP/1.1) 2####.107.1.65:80
- TCP(HTTP/1.1) 2####.107.1.1:80
- TCP(TLS/1.0) 36####.edges####.net:443
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) www.j####.com:443
- TCP(TLS/1.0) m####.m.jd.com:443
- TCP(TLS/1.0) ke####.jd.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) 4####.96.63.174:443
- TCP(TLS/1.0) at.al####.com:443
- TCP(TLS/1.0) d####.k.jd.com:443
Запросы DNS:
- a####.m.jd.com
- a####.man.aliy####.com
- and####.b####.qq.com
- at.al####.com
- d####.k.jd.com
- dgst####.jd.com
- eco.ta####.com
- hu####.hybrid
- ke####.jd.com
- m####.m.jd.com
- m.t####.cn
- o####.jd.com
- st####.t####.cn
Запросы HTTP GET:
- m.t####.cn/webapp/blade/common.js
- m.t####.cn/webapp/blade/data/abstract.storage.js?version=####
- m.t####.cn/webapp/blade/data/abstract.store.js?version=####
- m.t####.cn/webapp/blade/hybrid/ui.header.js?version=####
- m.t####.cn/webapp/blade/libs/fastclick.js
- m.t####.cn/webapp/blade/libs/require.js
- m.t####.cn/webapp/blade/libs/require.text.js?version=####
- m.t####.cn/webapp/blade/libs/underscore.extend.js
- m.t####.cn/webapp/blade/libs/underscore.js
- m.t####.cn/webapp/blade/libs/zepto.js
- m.t####.cn/webapp/blade/mvc/abstract.app.js?version=####
- m.t####.cn/webapp/blade/mvc/abstract.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.abstract.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.alert.html?version=####
- m.t####.cn/webapp/blade/ui/ui.alert.js?version=####
- m.t####.cn/webapp/blade/ui/ui.header.html?version=####
- m.t####.cn/webapp/blade/ui/ui.header.js?version=####
- m.t####.cn/webapp/blade/ui/ui.layer.js?version=####
- m.t####.cn/webapp/blade/ui/ui.loading.html?version=####
- m.t####.cn/webapp/blade/ui/ui.loading.js?version=####
- m.t####.cn/webapp/blade/ui/ui.mask.js?version=####
- m.t####.cn/webapp/blade/ui/ui.page.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.toast.html?version=####
- m.t####.cn/webapp/blade/ui/ui.toast.js?version=####
- m.t####.cn/webapp/static/css/global.css
- m.t####.cn/webapp/tool/js/back.js?version=####
- m.t####.cn/webapp/tool/js/get_query_string.js?version=####
- m.t####.cn/webapp/tool/js/init_page.js?version=####
- m.t####.cn/webapp/tutorial/common/c.highlight.js?version=####
- m.t####.cn/webapp/tutorial/common/tutorial_tool.js?version=####
- m.t####.cn/webapp/tutorial/common/view.js?version=####
- m.t####.cn/webapp/tutorial/main.js
- m.t####.cn/webapp/tutorial/pages/taobao_android/taobao_android.css?versi...
- m.t####.cn/webapp/tutorial/pages/taobao_android/taobao_android.js?versio...
- m.t####.cn/webapp/tutorial/pages/taobao_android/tpl.layout.html?version=...
- m.t####.cn/webapp/tutorial/static/css/common.css?version=####
- m.t####.cn/webapp/tutorial/taobao_android.html?is_new_homepage=####
- st####.t####.cn/webapp/tutorial_static/taobao/android/fresh_guide_1.jpg
- st####.t####.cn/webapp/tutorial_static/taobao/universal/fresh_guide_star...
- st####.t####.cn/weex_static/img/login_password.png
- st####.t####.cn/weex_static/img/login_qq.png
- st####.t####.cn/weex_static/img/login_taobao.png
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- and####.b####.qq.com/rqd/async?aid=####
- o####.jd.com/upload
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/344b0ebebf505ddee7196fdda67cba6c
- /data/data/####/3c0c4d9394100dac3b65318f83ddd8d87d4e424d6871386....0.tmp
- /data/data/####/8235309b163e3d7ccee3e54d25131ecaa307c8464d401b6....0.tmp
- /data/data/####/985f7d595e4583efb9c67fdddf63614667190909aae05f8....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/auth_shared.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/bugly_db_legu-journal
- /data/data/####/com.shanjing.fanli.BETA_VALUES.xml
- /data/data/####/com.shanjing.fanli_preferences.xml
- /data/data/####/config
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/deviceid_prefs.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/jsb.version
- /data/data/####/kepler_public.xml
- /data/data/####/libshella-3.0.0.0.so
- /data/data/####/libufix.so
- /data/data/####/libweexjsb.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/security_info
- /data/data/####/slslog-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/18d2ed21a6e7170c48de5438de9b9d8e
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/d41d8cd98f00b204e9800998ecf8427e
- /data/media/####/dfe55732e3ae9e6e6f3a4348457e1ba7
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /data/app-lib/<Package>-1//libweexjsb.so 69 70 1 <Package Folder>/app_crash/crash_dump.log
- /system/bin/sh -c getprop
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- aar_alijtca_plus
- c++_shared
- libnfix
- libshella-3.0.0.0
- libufix
- mmkv
- nfix
- ufix
- weexcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
