Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) g####.hun####.com:80
- TCP(HTTP/1.1) use####.api.max.####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) st.bz.m####.com:80
- TCP(HTTP/1.1) 2####.h####.com.####.cn:80
- TCP(HTTP/1.1) rc.m####.com:80
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) x.da.m####.com:80
- TCP(HTTP/1.1) o####.ar####.api.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) mo####.api.hun####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) m####.api.m####.com:80
- TCP(HTTP/1.1) x.da.hun####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) mob.bz.m####.com:80
- TCP(HTTP/1.1) log.da.hun####.com:80
- TCP(HTTP/1.1) cou####.pe####.m####.com:80
- TCP(HTTP/1.1) o####.ac####.api.####.com:80
- TCP(HTTP/1.1) av####.h####.com.####.com:80
- TCP(HTTP/1.1) s5.hun####.com:80
- TCP(TLS/1.0) av####.h####.com.####.com:443
- TCP(TLS/1.0) ugc.h####.com.####.com:443
- TCP 43.2####.145.66:5227
- TCP t####.nz4.g####.com:5224
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 1####.h####.com
- 2####.h####.com
- 7j####.c####.z0.####.com
- a####.u####.com
- api####.a####.com
- av####.h####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- cou####.pe####.m####.com
- g####.hun####.com
- log.da.hun####.com
- m####.api.m####.com
- m.i####.com
- mo####.api.hun####.com
- mob.bz.m####.com
- o####.ac####.api.####.com
- o####.ar####.api.####.com
- rc.m####.com
- s5.hun####.com
- sdk.c####.g####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- st.bz.m####.com
- t####.nz4.g####.com
- t####.nz4.g####.net
- t####.nz4.ge####.com
- ugc.h####.com
- use####.api.max.####.com
- www.qchann####.cn
- x.da.hun####.com
- x.da.m####.com
Запросы HTTP GET:
- 2####.h####.com.####.cn/preview/sp_images/2020/5/22/zongyi/337284/817434...
- av####.h####.com.####.com/iT4FqEJ4sIVv9cm6yLI8fogRE1CIqU.jpg
- cou####.pe####.m####.com/message/poll?uid=####&osVersion=####&did=####&m...
- d####.c####.l####.####.com/config/wxv9.conf
- g####.hun####.com/mobile/distribute.do?deviceid=####
- mo####.api.hun####.com/channel/live?uid=####&osVersion=####&ticket=####&...
- mo####.api.hun####.com/user/getActivity?uid=####&osVersion=####&ticket=#...
- mo####.api.hun####.com/v1/config/play?uid=####&osVersion=####&ticket=###...
- mo####.api.hun####.com/v6/search/recommend?uid=####&osVersion=####&ticke...
- mob.bz.m####.com/odin/c1/channel/list?uid=####&osVersion=####&mac=####&o...
- o####.ac####.api.####.com/artist/getRecommendCollectArtist?uid=####&osVe...
- o####.ar####.api.####.com/artist/getArtistListByIds?uid=####&type=####&t...
- rc.m####.com/mobile/rank?c=####
- s5.hun####.com/recommend?uid=####&platform=####&osVersion=####&mac=####&...
- s5.hun####.com/v5/listconfig?uid=####&platform=####&osVersion=####&mac=#...
- st.bz.m####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
- ti####.c####.l####.####.com/tdata_BAI450
- use####.api.max.####.com/person5b1b72e5b9d13.jpg@1wh_1e_1c_0o_0l_130h_13...
- use####.api.max.####.com/preview/channel_images/20200410144606626.jpg_73...
- use####.api.max.####.com/preview/sp_images/2018/12/25/dianshiju/323323/4...
Запросы HTTP POST:
- a####.u####.com/app_logs
- c-h####.g####.com/api.php?format=####&t=####
- log.da.hun####.com/v1/t
- m####.api.m####.com/mpns/parseLog
- o####.ac####.api.####.com/global/config
- res####.a####.com/v3/log/init
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.qchann####.cn/center/adj
- www.qchann####.cn/center/adj?appkey=####
- x.da.hun####.com/json/app/boot
- x.da.m####.com/m/page
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1837160468
- /data/data/####/-613446801
- /data/data/####/.imprint
- /data/data/####/16cc43660839b8b9d46fcda954851c0bad4fad5f0fa11a0....0.tmp
- /data/data/####/1703720991
- /data/data/####/20dac80a79531dc441561065f05ba020
- /data/data/####/257306020
- /data/data/####/257306028
- /data/data/####/29647132523029da78bf751337021015
- /data/data/####/41ec4418f6b8ebca4cb3dcd3ada625d1
- /data/data/####/614108960
- /data/data/####/6164488808ecdfe1bb669cf1488d6e4f
- /data/data/####/8960753b248ce0b83998c6a802d6e59600f5d960f96ae6a....0.tmp
- /data/data/####/933978904
- /data/data/####/ImgoPad-journal
- /data/data/####/MGTVCommon.xml
- /data/data/####/MV3Plugin.ini
- /data/data/####/MV3Plugin_Default.ini
- /data/data/####/QT.xml
- /data/data/####/a9622439b0c23dbd83bb5f63196ca5b1f200fcc23a74e62....0.tmp
- /data/data/####/arch.xml
- /data/data/####/befb5c4463186343819fc93e1490966e
- /data/data/####/c0d1d486e7eb8bff2aa6d6c5de2c1b4db5ed6efe170d4e5....0.tmp
- /data/data/####/c46bbae48f1b9e46ddae01359c650be3
- /data/data/####/c4a2d2195e4b55db3d802fde433084ca
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/e7b5c74b248d2bb50688221386d599e6a0c3494e6bd775c....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/f985b7a0ae062806c0e0b7f1aed0ba46
- /data/data/####/getui_sp.xml
- /data/data/####/hmt_agent_commonutill_com.txj.movies.wanneng.xml
- /data/data/####/hmt_agent_commonutill_device_id.xml
- /data/data/####/hmt_agent_online_setting_com.txj.movies.wanneng.xml
- /data/data/####/hmt_analytics
- /data/data/####/hmt_analytics-journal
- /data/data/####/hmt_init_savetime.xml
- /data/data/####/hmt_irsuid.xml
- /data/data/####/hmt_session_id.xml
- /data/data/####/hmt_session_id_savetime.xml
- /data/data/####/hmt_session_id_savetime.xml.bak
- /data/data/####/hmt_session_id_savetime.xml.bak (deleted)
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/last_know_location.xml
- /data/data/####/libjiagu-1360264188.so
- /data/data/####/multidex.version.xml
- /data/data/####/openudid_prefs.xml
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qtsession.xml
- /data/data/####/root.db-journal
- /data/data/####/run.pid
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/1b68ed6e6c594fa9df72fd4a2f84298c
- /data/media/####/28f697213b6f18d4c24145f6b7ac32b5
- /data/media/####/370ee3b8fe568138b96ca8f3d1c71972
- /data/media/####/3fc48c14b6d66bcc36daf29c253c3928
- /data/media/####/40fba0a63c17ee037eef8f22b77c1b74
- /data/media/####/7a7fae059dd6f65147f5cf06dd78abd9
- /data/media/####/AN.csv-20200523021026
- /data/media/####/TruthInfo.csv-1590189031858
- /data/media/####/UA.csv-20200523021033
- /data/media/####/UnicomTrafficFree.log
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.txj.movies.wanneng.bin
- /data/media/####/com.txj.movies.wanneng.db
- /data/media/####/journal.tmp
- /data/media/####/qt.csv.1590189022624.txt
- /data/media/####/uuid
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1360264188
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
