Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) g####.hun####.com:80
- TCP(HTTP/1.1) mob.bz.m####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) mo####.api.hun####.com:80
- TCP(HTTP/1.1) s5.hun####.com:80
- TCP(HTTP/1.1) x.da.hun####.com:80
- TCP(HTTP/1.1) rc.m####.com:80
- TCP(HTTP/1.1) log.da.hun####.com:80
- TCP(HTTP/1.1) o####.ac####.api.####.com:80
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
- TCP(HTTP/1.1) st.bz.m####.com:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) x.da.m####.com:80
- TCP(HTTP/1.1) cou####.pe####.m####.com:80
- TCP(HTTP/1.1) 3####.h####.com.####.com:80
- TCP(HTTP/1.1) o####.ar####.api.####.com:80
- TCP(HTTP/1.1) use####.api.max.####.com:80
- TCP(TLS/1.0) ugc.h####.com:443
- TCP sdk.o####.t####.####.net:5224
Запросы DNS:
- 1####.h####.com
- 3####.h####.com
- a####.u####.com
- api####.a####.com
- cou####.pe####.m####.com
- g####.hun####.com
- log.da.hun####.com
- m.i####.com
- mo####.api.hun####.com
- mob.bz.m####.com
- o####.ac####.api.####.com
- o####.ar####.api.####.com
- rc.m####.com
- s5.hun####.com
- sdk.c####.g####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- st.bz.m####.com
- t####.nz4.g####.com
- t####.nz4.g####.net
- t####.nz4.ge####.com
- ugc.h####.com
- use####.api.max.####.com
- www.qchann####.cn
- x.da.hun####.com
- x.da.m####.com
Запросы HTTP GET:
- 3####.h####.com.####.com/preview/sp_images/2018/12/25/dianshiju/323323/4...
- 3####.h####.com.####.com/preview/sp_images/2020/7/31/zongyi/338467/94900...
- cou####.pe####.m####.com/message/poll?uid=####&osVersion=####&did=####&m...
- g####.hun####.com/mobile/distribute.do?deviceid=####
- mo####.api.hun####.com/channel/live?uid=####&osVersion=####&ticket=####&...
- mo####.api.hun####.com/user/getActivity?uid=####&osVersion=####&ticket=#...
- mo####.api.hun####.com/v1/config/play?uid=####&osVersion=####&ticket=###...
- mo####.api.hun####.com/v6/search/recommend?uid=####&osVersion=####&ticke...
- mob.bz.m####.com/odin/c1/channel/list?uid=####&osVersion=####&mac=####&o...
- o####.ac####.api.####.com/artist/getRecommendCollectArtist?uid=####&osVe...
- o####.ar####.api.####.com/artist/getArtistListByIds?uid=####&type=####&t...
- rc.m####.com/mobile/rank?c=####
- rc.m####.com/mobile/user?uid=####&c=####&mac=####
- s5.hun####.com/recommend?uid=####&platform=####&osVersion=####&mac=####&...
- s5.hun####.com/v5/listconfig?uid=####&platform=####&osVersion=####&mac=#...
- st.bz.m####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
- tinychi####.q####.com.####.com/config/wxv9.conf
- use####.api.max.####.com/person5b1b72e5b9d13.jpg@1wh_1e_1c_0o_0l_130h_13...
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- log.da.hun####.com/v1/t
- o####.ac####.api.####.com/global/config
- res####.a####.com/v3/log/init
- www.qchann####.cn/center/adj
- www.qchann####.cn/center/adj?appkey=####
- x.da.hun####.com/json/app/boot
- x.da.m####.com/m/page
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-613446805
- /data/data/####/.imprint
- /data/data/####/1703720991
- /data/data/####/257306020
- /data/data/####/257306024
- /data/data/####/257306028
- /data/data/####/614108960
- /data/data/####/6164488808ecdfe1bb669cf1488d6e4f
- /data/data/####/65b2e2fcf356c6d8ba6f4c3be87ece0b49dd8713cb87f5f....0.tmp
- /data/data/####/8960753b248ce0b83998c6a802d6e59600f5d960f96ae6a....0.tmp
- /data/data/####/933978904
- /data/data/####/9628cafe9294c2ac719f7353d2096e98
- /data/data/####/ImgoPad-journal
- /data/data/####/MGTVCommon.xml
- /data/data/####/MV3Plugin.ini
- /data/data/####/MV3Plugin_Default.ini
- /data/data/####/QT.xml
- /data/data/####/a918c9c02c578a4afc894a6e53bcb8f5
- /data/data/####/arch.xml
- /data/data/####/c8649a8cca726f3e4693a0a71e7e0c3e
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/d47f74cbfa4378964c9b5d8331de94ed
- /data/data/####/d4a61dedf35199386d1dce4fb0aa03ae
- /data/data/####/d94807b5b1aad61fabeb853f171a9dc2
- /data/data/####/dbad6ce0d3124746450c94f35bfbfc90
- /data/data/####/e7b5c74b248d2bb50688221386d599e6a0c3494e6bd775c....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/getui_sp.xml
- /data/data/####/hmt_agent_commonutill_com.fengshun.movie.YingBa.xml
- /data/data/####/hmt_agent_commonutill_device_id.xml
- /data/data/####/hmt_agent_online_setting_com.fengshun.movie.YingBa.xml
- /data/data/####/hmt_analytics
- /data/data/####/hmt_analytics-journal
- /data/data/####/hmt_init_savetime.xml
- /data/data/####/hmt_irsuid.xml
- /data/data/####/hmt_session_id.xml
- /data/data/####/hmt_session_id_savetime.xml
- /data/data/####/hmt_session_id_savetime.xml.bak
- /data/data/####/hmt_session_id_savetime.xml.bak (deleted)
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/journal.tmp
- /data/data/####/last_know_location.xml
- /data/data/####/libjiagu-1235470081.so
- /data/data/####/multidex.version.xml
- /data/data/####/openudid_prefs.xml
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qtsession.xml
- /data/data/####/root.db-journal
- /data/data/####/run.pid
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/02df318c070b38bc463584db56a65eec
- /data/media/####/4826bdb1186c854692b9f732ef96f16f
- /data/media/####/4ccfab1bd1bade3e08ba188f7bf7c9bc
- /data/media/####/AN.csv-20201218191614
- /data/media/####/TruthInfo.csv-1608308177394
- /data/media/####/UA.csv-20201218191618
- /data/media/####/UnicomTrafficFree.log
- /data/media/####/c3fea612798fed76a84f863ab91ed314
- /data/media/####/c803bbb694dee3bf1b16712e1bc509c5
- /data/media/####/com.fengshun.movie.YingBa.bin
- /data/media/####/fc3114b4e2bb0e295bb90c1370b3ca0e
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/qt.csv.1608308170363.txt
- /data/media/####/qt.csv.1608308170560.txt
- /data/media/####/uuid
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- getuiext2
- libjiagu-1235470081
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
