Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cdn.b####.com:80
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) 1####.199.113.167:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) 1####.40.11.53:443
- TCP(TLS/1.0) api.b####.com:443
- TCP(TLS/1.0) cdn.b####.com:443
- TCP(TLS/1.0) m.b####.com:443
- TCP(TLS/1.0) as####.growi####.com.####.net:443
- TCP 1####.134.98.75:5224
- TCP cm-1####.ig####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- a.appj####.com
- api.b####.com
- api.growi####.com
- as####.growi####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- cdn.b####.com
- cm-1####.ig####.com
- log.u####.com
- m.b####.com
- sdk-ope####.g####.com
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_EDB102
- cdn-sdk####.g####.com.####.com/tdata_myE644
- cdn.b####.com/1470286624419.png
- cdn.b####.com/1470286744616.png
- cdn.b####.com/1470286783829.png
- cdn.b####.com/1470286813680.png
- cdn.b####.com/1478837575470.png
- cdn.b####.com/1478837807998.png
- cdn.b####.com/1478843407109.png
- cdn.b####.com/1483501880393.png
- cdn.b####.com/1491475148085.png
- cdn.b####.com/1491475289977.png
- cdn.b####.com/1491475479258.png
- cdn.b####.com/1504236532302.png
- cdn.b####.com/1504247192101.png
- cdn.b####.com/1506395543644.png
- cdn.b####.com/1566528047631.png
- cdn.b####.com/1578651456177.png
- cdn.b####.com/1579417720180.png
- cdn.b####.com/1579515997572.png
- cdn.b####.com/1579686171452.png
- et2-na6####.wagbr####.ali####.####.com/bar/get/56305fa667e58ee4ad004525/...
- q####.c####.l####.####.com/config/hz-hzv6.conf
- q####.c####.l####.####.com/tdata_qHR433
- sdk.o####.p####.####.com/api/addr.htm
Запросы HTTP POST:
- 1####.199.113.167/ad-service/ad/mark
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0TTrzvhWdHSNseu2_nuqJxdPtrE.-127952670.tmp
- /data/data/####/14d1bbe29124
- /data/data/####/1PzGYEiLkZlTBOCwn0NdF7k-pyo.-1261704115.tmp
- /data/data/####/1j-yq0MDfLatHuPSa_6iKhvChd0.-611625037.tmp
- /data/data/####/2rCAhh8olbLPt2W1Rst5aQOhzDY.738060847.tmp
- /data/data/####/33SiuDt6cMzLFsTELA0nzLzUGQw.-120111577.tmp
- /data/data/####/3oHATLf0DUYotBDo_v6vfpPRvuI.2070311421.tmp
- /data/data/####/8zW7zJLu6qCaSyxLG7VRw2RAuPU.-163565125.tmp
- /data/data/####/9yXxJJdfPv4jttsirQIz5LkNl0M.1745143809.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/BoBav5SVe-Lle3YYgft6IQsvkg8.133514764.tmp
- /data/data/####/ContextData.xml
- /data/data/####/DzOWDFPdXN58ubNZkIbROh9zgz8.66178518.tmp
- /data/data/####/E85k4a16oc-TQvHEACvZ8UygcLc.444578734.tmp
- /data/data/####/EeF92M4AxpYazCa-yRFzae0qo9Y.813702452.tmp
- /data/data/####/G407nW1h5wK-0XbNq6er5MHmoc4.502422675.tmp
- /data/data/####/GjbZY2YBvKQNfXoSoWUUj-uN7w0.744666193.tmp
- /data/data/####/IJZZmgSH5kOF4tUBLSdVwgIgKSg.1367045032.tmp
- /data/data/####/IL2myVM1-OcP117eBgiG4iNjXFM.-2031397030.tmp
- /data/data/####/JuYldlnM54uj16ZzbWgyLOKC3vs.1592729235.tmp
- /data/data/####/KNdSBRiBCaIPO1-aarGGIhXCWgQ.1721639076.tmp
- /data/data/####/LxC0l6FnbxO9CsAS6T0VL6qgbQE.1863235106.tmp
- /data/data/####/M3-Zbac4g3YspS7HfuZNBWOs5Tw.-138935989.tmp
- /data/data/####/M5_1_fPqoe9kqhuIbJsKM8vC2uE.-202280672.tmp
- /data/data/####/M9rl0EVcBr1vVGmV831nHrMU4lM.-819158236.tmp
- /data/data/####/N7onDDspvHsAHxxHeXF8XTelltM.-1406295493.tmp
- /data/data/####/QVMt1QsZHz4Wc3UB9PGxFEjvLWo.-242327365.tmp
- /data/data/####/SNucoEebkRzi2Run_LfGUeZqh0o.561291255.tmp
- /data/data/####/_fZ2TgQALj-HEnyX0W5kP3ay3X8.-1288259220.tmp
- /data/data/####/_k3USztA_2WwGAp5oHtzwMaAlEQ.1462201882.tmp
- /data/data/####/bCzEAM9JB_AR9gwSjt7HWIsn_KQ.467044124.tmp
- /data/data/####/bY6FmemfCmH5Gwj7ChAiXo0dYqc.1278214888.tmp
- /data/data/####/bz_sp_data.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/gx_sp.xml
- /data/data/####/hkCU_RuSGhdMNZOrp44Y1o-XHKg.277063459.tmp
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c.pid
- /data/data/####/jGF46xz2GDnErcECo0wgCOi4PLg.684022507.tmp
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/mobclick_agent_cached_com.bz365.project20
- /data/data/####/msp.db
- /data/data/####/msp.db-journal
- /data/data/####/muasWhjmMA1jOJYzAs-R7wmB8mU.-1796527254.tmp
- /data/data/####/multidex.version.xml
- /data/data/####/nTIog5C0Tv13rs-wSo-kntZzGmE.695533788.tmp
- /data/data/####/oVAKxo5aNE_5IwBieeFmJP03BAU.1943595915.tmp
- /data/data/####/push.pid
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/pyeamf2tKQn3io0YeJ-PxAlpszI.-1867401076.tmp
- /data/data/####/q2IwLh69yNG_faEUI6GYIi7NGQ4.37705898.tmp
- /data/data/####/qXXi-6u4xJiEjEQOmKzjSBfAYV8.-1512200141.tmp
- /data/data/####/run.pid
- /data/data/####/sCZfG1Ch4KtnQC_rIHLBFvh4144.2145480203.tmp
- /data/data/####/tdata_myE644
- /data/data/####/tdata_myE644.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/vISOC3y_PQU4Xz4kB_5Ji4gfOI4.1569699730.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/y1xlKX-xv10keK_yUIxOmNY3Al8.-1602448177.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/app.db
- /data/media/####/com.bz365.project.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/tdata_myE644
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/files/libjiagu.so
- mount
- sh
Загружает динамические библиотеки:
- bitmaps
- bzapi
- getuiext2
- gifimage
- libjiagu
- memchunk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
