Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.for####.q####.####.net:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) 2####.119.214.125:80
- TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(HTTP/1.1) a####.a####.m.####.com:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) sport####.moj####.com:443
- TCP(TLS/1.0) gl####.d.kunl####.####.com:443
- TCP(TLS/1.0) qy-swa####.qi####.com:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP zb-cent####.m.ta####.com:443
Запросы DNS:
- a####.m.ta####.com
- a####.u####.com
- accscdn####.m.ta####.com
- acs4pu####.m.ta####.com
- ag####.m.ta####.com
- api.growi####.com
- cdn.c####.com
- ojhwn####.q####.com
- ovqsy####.bkt.clo####.com
- qy-swa####.qi####.com
- s####.u####.com
- sport####.moj####.com
- sport####.moj####.com
- st####.moj####.com
- t.growi####.com
Запросы HTTP GET:
- da####.c####.qini####.com/default_mojieai_team_icon.png
- gl####.w.kunl####.####.com/develop/football/1718.png
- gl####.w.kunl####.####.com/develop/football/1883.png
- gl####.w.kunl####.####.com/develop/football/1904.png
- gl####.w.kunl####.####.com/develop/football/1905.png
- gl####.w.kunl####.####.com/develop/football/1907.png
- gl####.w.kunl####.####.com/develop/football/1908.png
- gl####.w.kunl####.####.com/develop/football/2032.png
- gl####.w.kunl####.####.com/develop/football/2219.png
- gl####.w.kunl####.####.com/develop/football/2823.png
- gl####.w.kunl####.####.com/develop/football/3350.png
- gl####.w.kunl####.####.com/develop/football/3352.png
- gl####.w.kunl####.####.com/develop/football/5715.png
- gl####.w.kunl####.####.com/develop/football/6465.png
- gl####.w.kunl####.####.com/images/team/5714A.png
- gl####.w.kunl####.####.com/o_1d1pptlad28k1ibolu8122b19rt9.png
- gl####.w.kunl####.####.com/o_1d4pjnghud0b122eeh81si61gsrl.png
- gl####.w.kunl####.####.com/o_1d5r5tt0618patmn1jd31u1g1vb89.jpg
- idv####.qini####.com/capricorn_match_bottom_page_vip_tag.png
- t####.for####.q####.####.net/o_1dsobaid91nmenmcs0h10h2kpo25.png
Запросы HTTP POST:
- a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&deviceId=####&pla...
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1584352830577.log
- /data/data/####/17fb3ac4f7e38939bbaf02892ba0aeadac99e4d33ba4f58....0.tmp
- /data/data/####/1ed8df3415f3287f9b0396ac17e1ccbefb666a4263ac68a....0.tmp
- /data/data/####/1f1910382f97eea85208277dba9cbc748ec0f03c2d241b8....0.tmp
- /data/data/####/2117723914
- /data/data/####/28d5088a9314f092e2c5f1ab98686e10530abb11bbf6321....0.tmp
- /data/data/####/3360f40711d5f21ec346d3fca02cfc2b86bdb4b88e98de2....0.tmp
- /data/data/####/36208be2138bcfd37dcfd7673465fd89529aba7647c4595....0.tmp
- /data/data/####/4383b1178cc3e3ddfa570401c777d307fff7cbddc3f13a0....0.tmp
- /data/data/####/4d75ed553cafd8c5b600f106488f47d2000099cea29c4be....0.tmp
- /data/data/####/5214b3b3869756b44380781aaa320a8fa1cf4a66582d065....0.tmp
- /data/data/####/621b839562220cdf7660ca5c2664636bf70a927e23659ac....0.tmp
- /data/data/####/674b91b1fd4f22791c8caf5e40e9302ee7bcbe5783d9a8a....0.tmp
- /data/data/####/809a8595ddbba40682e99506f164f40d6a14e9bddcbd096....0.tmp
- /data/data/####/8da65ea68a24ef7e4133b13793d5d85d595c27c3d790df2....0.tmp
- /data/data/####/93f3e5e5a0c0246b7fabc5b3b2717ffcf069d759de70733....0.tmp
- /data/data/####/ACCS_BIND24730104.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/a86ce4883af8c2dca7812abcd98b3c6e8895b908eeba0b3....0.tmp
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/appSaveFile.xml
- /data/data/####/b580aa44dda110310f1e156b04d0a343c3f9bed5ce1cb42....0.tmp
- /data/data/####/c314e8d441593f5ce7c5784cdd8b4844f6b7d8cbdc86ff3....0.tmp
- /data/data/####/c32eabc8ae7fb2cfd6aacddefdae0b200199530ac78aa6e....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.capricorn.capricornsports.yjcpyc;channel.gr...ournal
- /data/data/####/com.capricorn.capricornsports.yjcpyc;channel.growing.db
- /data/data/####/com.capricorn.capricornsports.yjcpyc;core.growi...ournal
- /data/data/####/com.capricorn.capricornsports.yjcpyc;core.growing.db
- /data/data/####/com.capricorn.capricornsports.yjcpyc;pushservic...ing.db
- /data/data/####/com.capricorn.capricornsports.yjcpyc;pushservic...ournal
- /data/data/####/com.capricorn.capricornsports.yjcpyc_preferences.xml
- /data/data/####/com.qiyukf.analytics.xml
- /data/data/####/e6e59a530d6c74f26b5f5f4beda8ab089fa6a03e1c41a97....0.tmp
- /data/data/####/e7e328f407ec3402c75b359d182471d423f19dca9f538c7....0.tmp
- /data/data/####/efb58860a6bc693f5ab359ca5418f9d13496204b0620aae....0.tmp
- /data/data/####/eudemon
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fb5ec54baf3d33b5a133752859dda9d198f8a6da014fb99....0.tmp
- /data/data/####/getui_sp.xml
- /data/data/####/growing.db-journal
- /data/data/####/growing_ecsid.xml
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/qiyu_save_ed93d7a4c94a4c428ab47fe9bec8a03b.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/unicorn#cheese#
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/2bbd4647fe2d4fa9a35e576d7e2ba536
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/b6eeeb3e4590498da8924e6512c59267
- /data/media/####/ef1a40c737a142e3b62bf99693f3b754
- /data/media/####/faa149c929cf4991a2a0d4a2bd9aa9eb
- /data/media/####/inapp_20200316.log
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/tmp_u_20200316
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"24730104","utdid":"Xm9OOsua+lUDAGdzx1FFi93i","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh
Загружает динамические библиотеки:
- getuiext2
- libjiagu
- tnet-3.1
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
