Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(SSL/3.0) api.w####.com:443
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) cha####.api.talkmo####.com:443
Запросы DNS:
- 03688b3####.bug####.com
- a####.man.aliy####.com
- api.w####.com
- cha####.api.talkmo####.com
- d####.opensp####.cn
- h####.opensp####.cn
- plb####.u####.com
- u####.u####.com
Запросы HTTP GET:
- h####.opensp####.cn/launchconfig?t=####&p=b21lb####
Запросы HTTP POST:
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/10709b6c2c8432141126efea49d186bc58480a7f978cdad....0.tmp
- /data/data/####/15ea3cbda9d565e66621c5401bb0f661456b5ec630ec462....0.tmp
- /data/data/####/2a6e41ce638131abe37bf1bfaa1e40e49b1c9d29fe80eb9....0.tmp
- /data/data/####/305ae9fa34c5713eed3d64936a30834ed2458a2e152f6ae....0.tmp
- /data/data/####/37f3fa3bd4eebb12daef01467eb40ca0e9c5aa66b4417a8....0.tmp
- /data/data/####/5b087f627effaa5cd49eb3c0cf3e07b73b973dbeada1c44....0.tmp
- /data/data/####/62dc6b1a0d0476f145d8e4df52556f1ba6fa9690c9cf13b....0.tmp
- /data/data/####/71ecb8ee488268b2b984b7d0e4fc0bc5226eebf50f466f2....0.tmp
- /data/data/####/8340486d2348a43dd0d5eef461584ad95623f0f32bbf59f....0.tmp
- /data/data/####/94988a7ba0f9f1f93570dbe491b26c9892addfa639844ff....0.tmp
- /data/data/####/94a7b3a1bdc1e2bd4e381df23168a83266374d68a44cf2d....0.tmp
- /data/data/####/ACCS_SDK.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a4ed5e97d04fe0c76d50cdae73b09dfffaf4ffb0222ca19....0.tmp
- /data/data/####/a6161c05d05da8adc6304ea1474102856aa4b59c241fbad....0.tmp
- /data/data/####/a==7.5.0&&1.2.16.20_rls_1587780675161_envelope.log
- /data/data/####/b54768e722fe54edb765287956a52569d98489de7321303....0.tmp
- /data/data/####/b5c8cc5b0e27f72dab75f2046d37ce46c73e9c18f8eb6b3....0.tmp
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/d51015e0385859d522580d50ebeae9789b50530bbc188e4....0.tmp
- /data/data/####/d66162f43dae5020ac081dd72b99294062e1138533fcf29....0.tmp
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTg3NzgwNjcxMjgw;
- /data/data/####/e4c44f8ca5334d7ed4414a0f21c708b91a60ab1c59f5adb....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f48b70e147addaf209aaec4ad32007be35f83b4ee5331ca....0.tmp
- /data/data/####/f5c00a1e37a573f306ca035efbc858b059ab228e71f3f73....0.tmp
- /data/data/####/f83bb31a8ce526a7dc9a94f7ef6fc707285d2d57108ca23....0.tmp
- /data/data/####/fa0259416b2ecf77a2c9f529fe4a97bb37fbd3a34ad4715....0.tmp
- /data/data/####/ff3535eaa59a3ee4fc8f96881abf4e1e97bc6b291460249....0.tmp
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/i==1.2.0&&1.2.16.20_rls_1587780671287_envelope.log
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_cn.wantdata.talkmoment.xml
- /data/data/####/info.xml
- /data/data/####/is_first_start.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu2094425029.so
- /data/data/####/multidex.version.xml
- /data/data/####/talkmoment.db
- /data/data/####/talkmoment.db-journal
- /data/data/####/talkmoment.db-shm (deleted)
- /data/data/####/talkmoment.db-wal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/iflyworkdir_test
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugtags
- libjiagu2094425029
- msc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Отрисовывает собственные окна поверх других приложений.
