Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pl####.v####.51t####.com:80
- TCP(HTTP/1.1) 2####.204.172.33:80
- TCP(HTTP/1.1) mcf-htt####.cc####.com.cn:80
- TCP(HTTP/1.1) h####.w####.v####.####.com:80
- TCP(HTTP/1.1) co####.v####.51t####.com:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) t####.51t####.com:80
- TCP(HTTP/1.1) a####.xi####.cn:80
- TCP(HTTP/1.1) custom####.v####.51t####.com:80
- TCP(HTTP/1.1) mcf-dow####.cc####.com.cn:80
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
Запросы DNS:
- a####.xi####.cn
- cdn.v####.51t####.com
- co####.v####.51t####.com
- custom####.v####.51t####.com
- h####.w####.v####.####.com
- j####.v####.51t####.com
- pl####.v####.51t####.com
- plb####.u####.com
- t####.51t####.com
- t####.v####.51t####.com
- u####.u####.com
Запросы HTTP GET:
- a####.xi####.cn/userinfo.php?userid=####
- co####.v####.51t####.com/api/api_config?package=####&version_code=####&v...
- co####.v####.51t####.com/api/v1/online_parameters?package=####&version_c...
- h####.w####.v####.####.com/api_cli/get_stat?id=####&force=####
- mcf-dow####.cc####.com.cn/plugin/AdFilter-201908121133.jar
- mcf-htt####.cc####.com.cn/metro/background/1511007966964.png
- mcf-htt####.cc####.com.cn/metro/background/1511007995945.png
- mcf-htt####.cc####.com.cn/metro/background/1567131378052.jpg
- mcf-htt####.cc####.com.cn/v1/layouts/5a783a01e2adcbb36fe606b9?resolution...
- pl####.v####.51t####.com/clean_config.json
- pl####.v####.51t####.com/plugin_player_config.json
- pl####.v####.51t####.com/plugin_super_config.json
- t####.51t####.com/time
Запросы HTTP POST:
- custom####.v####.51t####.com/collect
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/02f97aaa2b358e9de97494679df0148f87c92b5f4db5aef....0.tmp
- /data/data/####/0cc9c34a5e5fea2fd0ad7c926e0b85d41ec1512b111351a....0.tmp
- /data/data/####/1073db20136b8b53f8c2885effcf5ee2e20080909c2f9e4....0.tmp
- /data/data/####/116bf74b20d06bfff40913ea57cf2073d581586af1eee85....0.tmp
- /data/data/####/116bf74b20d06bfff40913ea57cf2073d581586af1eee85...ffb0.0
- /data/data/####/1c0aba1ffeefdf221c402f2d58eb60185f32efa0198e155....0.tmp
- /data/data/####/234d953c969900673e2bdc741f81a356c80399fbbc2629a....0.tmp
- /data/data/####/34712AC09995CCA102F6891A28EA4DA8
- /data/data/####/3b8283088af570bf65bc61909e7b275e3d32b6ecf601ae4....0.tmp
- /data/data/####/3d98b7741b4d83d57d529077192027393fdd8d1f580caba....0.tmp
- /data/data/####/54338a016f4a10c8f8b5245b2a2f9b822f6efe9658424fb....0.tmp
- /data/data/####/5937e4dc51e2b997a4ec1ebb22a22866f876a91fd2a2a8a....0.tmp
- /data/data/####/5EC26AF62A33BC5F0192D47B1AF5B1AB
- /data/data/####/65627d7ac392fd4a15afdaf45e89392a03e7b731853801c....0.tmp
- /data/data/####/96C551AB1373402F04E5108E80561773
- /data/data/####/99f429c2ce116566842bfb428417632023c1f94904083d5....0.tmp
- /data/data/####/9e11ef232e15b2d3e7d09547d7c861dd145816b1c0fa943....0.tmp
- /data/data/####/DefaultStatisticAgent.jar
- /data/data/####/TogicFilter.jar
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/V777_url_paramters.json
- /data/data/####/ac76fd4d7c61ef705659cadc28db82a7b0c6f3ec8c2c976....0.tmp
- /data/data/####/b0548ebffa627aabfccaa7f161db20cba0c41266607bb39....0.tmp
- /data/data/####/backend_umeng_common_config.xml
- /data/data/####/c942207ff7855ee7520844008d0cee94c678a20d4cf8afe....0.tmp
- /data/data/####/cache2_5E48CDC9E7583665C75B3654F2740526
- /data/data/####/cache2_7F6F50132367CFC2166F400D224AF352
- /data/data/####/cache2_9B78CD457649C44DD40595BB799E3F3B
- /data/data/####/cache2_BB9DA3A406BE8F7515BAC574F1847F6B
- /data/data/####/cache2_BDED496DB8C97302FE67FD355306BE69
- /data/data/####/cde1be56b4e4557cc21dab95f49607dc441c848f2c256af....0.tmp
- /data/data/####/clean_task.xml
- /data/data/####/com.togic.livevideo_preferences.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU1OTk4MTA2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDA2NTEw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDA5ODQy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDAwMDk5;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDAzMTY3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDE1MTY4;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDE4MzUx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDEzMjA0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDI2MTg3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDI5NjA2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDIyOTAw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDM0NjY3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDM3ODEz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDMzMTA1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDQ1NjY2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDQ4NDQ0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDQwODIz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDU0Nzgy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTY4MjU2MDUwNTg2;
- /data/data/####/e4087c5feddc9b4e3ccedaf8af25b0fd52d809d00f9be60....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fcf6ae36480756936e04127b39fe73ec121b1f5be7c8230....0.tmp
- /data/data/####/first_sign_app_pref.xml
- /data/data/####/i==1.2.0&&4.2.0_1568255998118_envelope.log
- /data/data/####/i==1.2.0&&4.2.0_1568256029674_envelope.log
- /data/data/####/i==1.2.0&&4.2.0_1568256033165_envelope.log
- /data/data/####/i==1.2.0&&4.2.0_1568256045718_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/last_modify_list.xml
- /data/data/####/libjiagu1173487462.so
- /data/data/####/metro_pref.xml
- /data/data/####/multi_process_list.xml
- /data/data/####/multidex.version.xml
- /data/data/####/objects.xml
- /data/data/####/paramters.xml
- /data/data/####/plugin_info.xml
- /data/data/####/plugin_umeng_common_config.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/statistic.db-journal
- /data/data/####/togic_setting.json
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/TogicFilter.jar
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libjiagu1173487462
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
