Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 0####.h####.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) g####.hun####.com:80
- TCP(HTTP/1.1) use####.api.max.####.com:80
- TCP(HTTP/1.1) 3####.h####.com.####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) rc.m####.com:80
- TCP(HTTP/1.1) st.bz.m####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) x.da.m####.com:80
- TCP(HTTP/1.1) o####.ar####.api.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
- TCP(HTTP/1.1) 4####.h####.com.####.com:80
- TCP(HTTP/1.1) o####.ac####.api.####.com:80
- TCP(HTTP/1.1) mo####.api.hun####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) m####.api.m####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) mob.bz.m####.com:80
- TCP(HTTP/1.1) log.da.hun####.com:80
- TCP(HTTP/1.1) cou####.pe####.m####.com:80
- TCP(HTTP/1.1) apm.log.hun####.com:80
- TCP(HTTP/1.1) s5.hun####.com:80
- TCP(TLS/1.0) ugc.h####.com.####.com:443
- TCP t####.nz4.g####.com:5224
- TCP 43.2####.145.5:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 0####.h####.com
- 1####.h####.com
- 3####.h####.com
- 4####.h####.com
- 7j####.c####.z0.####.com
- a####.u####.com
- api####.a####.com
- apm.log.hun####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- cou####.pe####.m####.com
- g####.hun####.com
- log.da.hun####.com
- m####.api.m####.com
- m.i####.com
- mo####.api.hun####.com
- mob.bz.m####.com
- o####.ac####.api.####.com
- o####.ar####.api.####.com
- rc.m####.com
- s5.hun####.com
- sdk-ope####.g####.com
- sdk.c####.g####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- st.bz.m####.com
- t####.nz4.g####.com
- t####.nz4.g####.net
- t####.nz4.ge####.com
- ugc.h####.com
- use####.api.max.####.com
- www.qchann####.cn
- x.da.hun####.com
- x.da.m####.com
Запросы HTTP GET:
- 0####.h####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
- 0####.h####.com/preview/channel_images/20200427194147043.jpg_366x206.jpg
- 0####.h####.com/preview/channel_images/20200506141942072.jpg_738x416.jpg
- 0####.h####.com/preview/cms_icon/2020/5/2/05/20200502191946119.png_130x1...
- 0####.h####.com/preview/sp_images/2020/5/15/zongyi/337284/8119634/202005...
- 3####.h####.com.####.com/preview/cms_icon/2020/5/2/05/20200502191923531....
- 4####.h####.com.####.com/preview/cms_icon/2020/5/1/05/20200501200313528....
- cdn-sdk####.g####.com.####.com/tdata_HNa879
- cou####.pe####.m####.com/message/poll?uid=####&osVersion=####&did=####&m...
- g####.hun####.com/mobile/distribute.do?deviceid=####
- mo####.api.hun####.com/channel/live?uid=####&osVersion=####&ticket=####&...
- mo####.api.hun####.com/user/getActivity?uid=####&osVersion=####&ticket=#...
- mo####.api.hun####.com/v1/config/play?uid=####&osVersion=####&ticket=###...
- mo####.api.hun####.com/v6/search/recommend?uid=####&osVersion=####&ticke...
- mob.bz.m####.com/odin/c1/channel/list?uid=####&osVersion=####&mac=####&o...
- o####.ac####.api.####.com/artist/getRecommendCollectArtist?uid=####&osVe...
- o####.ar####.api.####.com/artist/getArtistListByIds?uid=####&type=####&t...
- rc.m####.com/mobile/rank?c=####
- s5.hun####.com/recommend?uid=####&platform=####&osVersion=####&mac=####&...
- s5.hun####.com/v5/listconfig?uid=####&platform=####&osVersion=####&mac=#...
- sdk.o####.p####.####.com/api/addr.htm
- st.bz.m####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
- ti####.c####.l####.####.com/tdata_BAI450
- tinychi####.q####.com.####.com/config/wxv9.conf
- use####.api.max.####.com/person5b1b72e5b9d13.jpg@1wh_1e_1c_0o_0l_130h_13...
- use####.api.max.####.com/preview/channel_images/20200410144606626.jpg_73...
- use####.api.max.####.com/preview/channel_images/20200421094318568.jpg_36...
- use####.api.max.####.com/preview/cms_icon/2020/5/1/05/20200501200326792....
- use####.api.max.####.com/preview/sp_images/2018/12/25/dianshiju/323323/4...
Запросы HTTP POST:
- a####.u####.com/app_logs
- apm.log.hun####.com/gt.gif
- c-h####.g####.com/api.php?format=####&t=####
- log.da.hun####.com/v1/t
- m####.api.m####.com/mpns/parseLog
- o####.ac####.api.####.com/global/config
- res####.a####.com/v3/log/init
- sdk-ope####.g####.com/api.php?format=####&t=####
- www.qchann####.cn/center/adj
- www.qchann####.cn/center/adj?appkey=####
- x.da.m####.com/m/page
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1837160468
- /data/data/####/-613446801
- /data/data/####/.imprint
- /data/data/####/0156f247353866b0724d46b9027858bd
- /data/data/####/16cc43660839b8b9d46fcda954851c0bad4fad5f0fa11a0....0.tmp
- /data/data/####/1703720991
- /data/data/####/257306020
- /data/data/####/257306028
- /data/data/####/2aeb1fb815fafbf95aec12550049e671a055f85d1a5979f....0.tmp
- /data/data/####/2c986b9399395baec3fed13ba00cff49
- /data/data/####/2cabf55462118aa73fe24b4e896fd0ce4a3868054288546....0.tmp
- /data/data/####/560e86e368921e66bc54fd6a315c3dfe
- /data/data/####/5b93a37f9a9e0c4db28a6045eef25135
- /data/data/####/614108960
- /data/data/####/6164488808ecdfe1bb669cf1488d6e4f
- /data/data/####/6f28ff030efe1c9d4b130eda906ab0f0c09477b6f1aff65....0.tmp
- /data/data/####/79bdf5f762e0b9be6dfe2f4175c36f92
- /data/data/####/8960753b248ce0b83998c6a802d6e59600f5d960f96ae6a....0.tmp
- /data/data/####/933978904
- /data/data/####/99778c48d8446d6e0d68de68f5d9804ed2eb09168ebc851....0.tmp
- /data/data/####/9fc2a15a512110b17cd0ff7937b20b61178a0eae099bf3d....0.tmp
- /data/data/####/ImgoPad-journal
- /data/data/####/MGTVCommon.xml
- /data/data/####/MGTVCommon.xml.bak
- /data/data/####/MV3Plugin.ini
- /data/data/####/MV3Plugin_Default.ini
- /data/data/####/QT.xml
- /data/data/####/arch.xml
- /data/data/####/c4a2d2195e4b55db3d802fde433084ca
- /data/data/####/cebe8db8e8407c671553d50c4aca8cffd164e1b15c566ef....0.tmp
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/e49b4b9d104f660d61300828fe7e57dce8a7bfcea231797....0.tmp
- /data/data/####/e7b5c74b248d2bb50688221386d599e6a0c3494e6bd775c....0.tmp
- /data/data/####/eb4b419589b905d8b30f04f989ab47c1
- /data/data/####/ee30a9853a26ca47c0c13d749a2c7ddd5f9ca1ef5b21d4a....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/getui_sp.xml
- /data/data/####/hmt_agent_commonutill_com.txj.movies.quanneng.xml
- /data/data/####/hmt_agent_commonutill_device_id.xml
- /data/data/####/hmt_agent_online_setting_com.txj.movies.quanneng.xml
- /data/data/####/hmt_analytics
- /data/data/####/hmt_analytics-journal
- /data/data/####/hmt_init_savetime.xml
- /data/data/####/hmt_irsuid.xml
- /data/data/####/hmt_session_id.xml
- /data/data/####/hmt_session_id_savetime.xml
- /data/data/####/hmt_session_id_savetime.xml.bak
- /data/data/####/hmt_session_id_savetime.xml.bak (deleted)
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/last_know_location.xml
- /data/data/####/libjiagu-683168759.so
- /data/data/####/multidex.version.xml
- /data/data/####/openudid_prefs.xml
- /data/data/####/push.pid
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/qtsession.xml
- /data/data/####/root.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_HNa879
- /data/data/####/tdata_HNa879.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/0034db2008f543b11ad11f8e31c7f661
- /data/media/####/00917bada1d5a2c4256996636242044c
- /data/media/####/50f2f6fe47dea490935f5dbf8ffedfb0
- /data/media/####/94c00f859e3334e2f001353cf4c81f25
- /data/media/####/AN.csv-20200516065859
- /data/media/####/TruthInfo.csv-1589601553895
- /data/media/####/UA.csv-20200516065924
- /data/media/####/UnicomTrafficFree.log
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.txj.movies.quanneng.bin
- /data/media/####/com.txj.movies.quanneng.db
- /data/media/####/ee4941879d5ef2ae06bb9e59bef06a18
- /data/media/####/f98c4a92792a5336efdfe0940ecd4d1b
- /data/media/####/journal.tmp
- /data/media/####/qt.csv.1589601536883.txt
- /data/media/####/tdata_HNa879
- /data/media/####/uuid
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- getuiext2
- libjiagu-683168759
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
