Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) bbc.weiniha####.com:443
- TCP(TLS/1.0) lbs.net####.im:443
- TCP(TLS/1.0) 2####.119.169.240:443
- TCP(TLS/1.0) dt.net####.im:443
- TCP(TLS/1.0) 59.1####.163.81:443
- TCP(TLS/1.0) qy-swa####.qi####.com:443
- TCP l####.net####.im:8080
Запросы DNS:
- bbc.weiniha####.com
- dt.net####.im
- l####.net####.im
- lbs.net####.im
- plb####.u####.com
- qy-swa####.qi####.com
- u####.u####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/MultiDex.lock
- /data/data/####/NIMSDK_Config_17e75e0721fdf8b798746027abb39ac9.xml
- /data/data/####/NIMSDK_Config_17e75e0721fdf8b798746027abb39ac9_...40.xml
- /data/data/####/Unicorn.17e75e0721fdf8b798746027abb39ac9.xml
- /data/data/####/_andfix_.xml
- /data/data/####/com.nyso.supply_preferences.xml
- /data/data/####/com.qiyukf.analytics.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjE2NjY1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjE4NTE0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjI3MzQ4;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjIyNDc1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjM2NzM1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjMxNzc0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjQ2MTk0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjQ5OTA1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjQxMzYx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjU2MTQz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjU5OTk4;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjY1NDA0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjY5NjY3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2Mjc1NTYw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2Mjg0MjU5;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODg2MjkyODY5;
- /data/data/####/dW1weF9zaGFyZV8xNTcwODg2MjIwMTU3;
- /data/data/####/dW1weF9zaGFyZV8xNTcwODg2MjIwMjIy;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/getui_sp.xml
- /data/data/####/i==1.2.0&&1.7.4_1570886216775_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886222527_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886227368_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886231780_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886236702_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886246218_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886256142_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886259994_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886265430_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886269697_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886275641_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886284313_envelope.log
- /data/data/####/i==1.2.0&&1.7.4_1570886292901_envelope.log
- /data/data/####/info.xml
- /data/data/####/libjiagu1686420919.so
- /data/data/####/msg.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/preferences_bbc.xml
- /data/data/####/qiyu_save_17e75e0721fdf8b798746027abb39ac9.xml
- /data/data/####/share.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/unicorn#cheese#
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/2019-10-12Log.txt
- /data/media/####/crash-2019-10-12-16-16-56-1570886216160.log
- /data/media/####/crash-2019-10-12-16-16-58-1570886218359.log
- /data/media/####/crash-2019-10-12-16-17-02-1570886222223.log
- /data/media/####/crash-2019-10-12-16-17-07-1570886227085.log
- /data/media/####/crash-2019-10-12-16-17-11-1570886231524.log
- /data/media/####/crash-2019-10-12-16-17-16-1570886236457.log
- /data/media/####/crash-2019-10-12-16-17-21-1570886241219.log
- /data/media/####/crash-2019-10-12-16-17-25-1570886245912.log
- /data/media/####/crash-2019-10-12-16-17-29-1570886249727.log
- /data/media/####/crash-2019-10-12-16-17-35-1570886255861.log
- /data/media/####/crash-2019-10-12-16-17-39-1570886259742.log
- /data/media/####/crash-2019-10-12-16-17-45-1570886265163.log
- /data/media/####/crash-2019-10-12-16-17-49-1570886269330.log
- /data/media/####/crash-2019-10-12-16-17-55-1570886275284.log
- /data/media/####/crash-2019-10-12-16-18-03-1570886283990.log
- /data/media/####/crash-2019-10-12-16-18-12-1570886292568.log
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/sysid.dat
- /data/media/####/tmp_u_20191012
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- ls /sys/class/thermal
Загружает динамические библиотеки:
- bbc
- libjiagu1686420919
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- RSA-ECB-PKCS1Padding
- desede-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
