Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Gexin.1
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) no####.h####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) s####.j####.cn:80
- TCP(HTTP/1.1) api.mo####.huj####.com:80
- TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
- TCP(TLS/1.0) gl####.w.kunl####.####.com:443
- TCP(TLS/1.0) hjcdn-o####.h####.net:443
- UDP s.j####.cn:19000
- TCP 1####.230.236.54:7001
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- api.mo####.huj####.com
- i1.w.hj####.cn
- mmp.h####.com
- no####.h####.com
- r####.hj####.cn
- s####.j####.cn
- s.j####.cn
- sto####.dizha####.cn
- u8.h####.com
- ut.h####.com
Запросы HTTP GET:
- gl####.w.kunl####.####.com/bulo/menu/big/t10024.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t10538.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t11374.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12436.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12442.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12446.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12467.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12750.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12884.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12888.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t12941.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13000.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13057.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13062.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13149.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13420.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13428.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t13599.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t5444.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6029.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6034.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6060.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6809.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6812.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6956.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t6960.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7511.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7525.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7561.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7565.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7585.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7603.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t7748.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t8011.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t8438.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t8439.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t8767.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t9285.jpg
- gl####.w.kunl####.####.com/bulo/menu/big/t9821.jpg
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async
- api.mo####.huj####.com/mobileapp/appUpmobile.ashx
- no####.h####.com/push/v1/device
- s####.j####.cn/v2/report
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/PrefsFile
- /data/data/####/bbs_preference.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cn.jpush.serverconfig.xml
- /data/data/####/cn.jpush.serverconfig.xml.bak
- /data/data/####/com.hj.dictation_preferences.xml
- /data/data/####/common_data.db-journal
- /data/data/####/database_analytics_appKey-journal
- /data/data/####/dsp_journal.db-journal
- /data/data/####/hj_dictation.db-journal
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/libjiagu-1488092894.so
- /data/data/####/local_crash_lock
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/project_dsp.xml
- /data/data/####/pushsdk_sharedb.xml
- /data/data/####/rep.db-journal
- /data/data/####/security_info
- /data/data/####/statistics_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/次数文件架.xml
- /data/media/####/-1139861006
- /data/media/####/-129529032
- /data/media/####/-130279235
- /data/media/####/-154290781
- /data/media/####/-1572706184
- /data/media/####/-1679289723
- /data/media/####/-1679960828
- /data/media/####/-1680884349
- /data/media/####/-1701454227
- /data/media/####/-1739192380
- /data/media/####/-1758872492
- /data/media/####/-1820167108
- /data/media/####/-1827555276
- /data/media/####/-1837497985
- /data/media/####/-2012372329
- /data/media/####/-48085866
- /data/media/####/-650487329
- /data/media/####/-673575354
- /data/media/####/-718120384
- /data/media/####/-731335849
- /data/media/####/-732554490
- /data/media/####/-821967115
- /data/media/####/-966239058
- /data/media/####/-990250604
- /data/media/####/-999654726
- /data/media/####/.nodata
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/1066590626
- /data/media/####/155118103
- /data/media/####/158812187
- /data/media/####/1695053344
- /data/media/####/1705554305
- /data/media/####/1727376579
- /data/media/####/1838199099
- /data/media/####/1841893183
- /data/media/####/1899151485
- /data/media/####/508bd448434332cf88deda08e6c63dce.0
- /data/media/####/758771962
- /data/media/####/783707029
- /data/media/####/787401113
- /data/media/####/845582936
- /data/media/####/925334617
- /data/media/####/UUID
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c type su
- getprop ro.board.platform
Загружает динамические библиотеки:
- Bugly
- hjxd
- jpush182
- libjiagu-1488092894
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
