Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) valiu####.c####.qini####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- UDP(NTP) n####.al####.com:123
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) conte####.chao####.com:443
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) vid####.chao####.com:443
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.b####.qq.com
- c####.g####.ig####.com
- c-h####.g####.com
- conte####.chao####.com
- g####.chao####.com
- gxv####.chao####.com
- log.u####.com
- n####.al####.com
- p####.chao####.com
- plb####.u####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
- vid####.chao####.com
Запросы HTTP GET:
- d####.c####.l####.####.com/photos/life/other/00032
- d####.c####.l####.####.com/photos/life/other/00052
- d####.c####.l####.####.com/photos/life/other/00275
- d####.c####.l####.####.com/photos/life/other/00367
- d####.c####.l####.####.com/photos/life/other/00386
- d####.c####.l####.####.com/photos/life/other/00545
- d####.c####.l####.####.com/photos/life/other/00568
- d####.c####.l####.####.com/publishVideo/20407/20407_1555065638220?vframe...
- d####.c####.l####.####.com/test/image/acatar/0116034a-7827-494f-b6bb-e31...
- d####.c####.l####.####.com/test/image/acatar/15f7de4e-e254-4f4c-8232-f16...
- d####.c####.l####.####.com/test/image/acatar/2a5099dc-e63a-471c-b8b6-4da...
- d####.c####.l####.####.com/test/image/acatar/c27d2883-55ad-4ed1-aa68-1c0...
- t####.c####.q####.####.com/config/hz-hzv6.conf
- valiu####.c####.qini####.com/test/videos/doupi/videos/125999/0?vframe/####
- valiu####.c####.qini####.com/test/videos/douyin/liked_videos/66039683443...
- valiu####.c####.qini####.com/test/videos/douyin/liked_videos/66366644559...
- valiu####.c####.qini####.com/test/videos/haokan/videos/16196455606032739...
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/1632b10232a5a401a88dc6e274700903cf8a15841120d16....0.tmp
- /data/data/####/1d0ba42a1d26c01bb8aad2f0d7a61876813945eae52fecd....0.tmp
- /data/data/####/28eb609d76931141f90f01e162bbbfa4906e3a2d26a1368....0.tmp
- /data/data/####/322308a744af1fd1c9006147ddfcad70a55bfc187eb977b....0.tmp
- /data/data/####/358d5363411ca31cc80b0512da6e328ce2147d76be9b78b....0.tmp
- /data/data/####/598e3c7ca321ddb7376bf93ad817d476ea3d3e7b1339cb5....0.tmp
- /data/data/####/5f58229766a9593c9400f5ba8590871a345ec30c3e75180....0.tmp
- /data/data/####/7bcc21d0d41b7760fd0e6fccedff46751ce55b0ad7c4ed8....0.tmp
- /data/data/####/7d76aea17c0d70db73767877d784b73adebe0afcaf3e57f....0.tmp
- /data/data/####/805286f8601311bbf6cf558967783d57fb32e2a8ff1e347....0.tmp
- /data/data/####/848059ecd9e6f208a237027c9112695f011378c07902d6c....0.tmp
- /data/data/####/965e03f5c60074725672e2ebc6c47b12810f4ecd9bd02ad....0.tmp
- /data/data/####/97586464baa839d096fb4bae555336840ca75497e2134ff....0.tmp
- /data/data/####/97d7b85090403b0b12a9b582a3f55db00fb4850fae36afc....0.tmp
- /data/data/####/9eb8be8c4a60a916607ef977ddbdc2f346914ecd5aa4f1c....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a5e2a9593e85122dddbf43981e342cc8e4c86787ceffc64....0.tmp
- /data/data/####/a8a8557a9a0852f3872377cfbe68551c129345f98757d4c....0.tmp
- /data/data/####/a==7.5.4&&1.2.2_1555503199091_envelope.log
- /data/data/####/b3443c175d3944ee43aa75f8b3c769db0d69db4520fd594....0.tmp
- /data/data/####/b456b12e12d5dff9531d1946190fde86afe718e60b3458a....0.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/c34fda11ecf1c0a42f1ab4d96f53561abc6e139c435b7d2....0.tmp
- /data/data/####/c46f1d148e150e927d3bd76d8539fea2a992094ef5afbfb....0.tmp
- /data/data/####/crashrecord.xml
- /data/data/####/d2539b0650c42013fa3b0e182d0c280bc32cb042d3dee2f....0.tmp
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTAzMTk4NDMx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTAzMjE2NTc0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTAzMjExNTY1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTAzMjIyNzc2;
- /data/data/####/dW1weF9zaGFyZV8xNTU1NTAzMjAyNzU5;
- /data/data/####/dW1weF9zaGFyZV8xNTU1NTAzMjAyNzkx;
- /data/data/####/e14e0129ec72f94e1d8349dd6ed0a65d9eb33cdd7e0f375....0.tmp
- /data/data/####/e6a7ff66a3d8662366903bed504a99187970500f2096134....0.tmp
- /data/data/####/e8602e23a859776c9f6125098ea086aaaf6602188c05874....0.tmp
- /data/data/####/ee40cd74e0443c883b2e55a3694fb29d84a8708706e4e0c....0.tmp
- /data/data/####/eeb506a684cb8e0a5e7de56c298ce1161b7c93ae7aa44e6....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f60f38990539b76c40fcd21bc61d92371f0b6d19d249565....0.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/i==1.2.0&&1.2.2_1555503198403_envelope.log
- /data/data/####/i==1.2.0&&1.2.2_1555503211588_envelope.log
- /data/data/####/info.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1626942992.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/share.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/app.db
- /data/media/####/com.bubble.witty.bin
- /data/media/####/com.bubble.witty.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- getprop
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- c++_shared
- getuiext3
- ijkffmpeg
- ijkplayer
- ijksdl
- libjiagu-1626942992
- mmkv
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
