Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) v####.k####.cn:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) kw####.k####.cn.####.com:80
- TCP(HTTP/1.1) m####.k####.cn:80
- TCP(HTTP/1.1) 47.2####.109.112:443
- TCP(HTTP/1.1) n####.k####.cn:80
- TCP(HTTP/1.1) m####.3g.qq.com:80
- TCP(HTTP/1.1) r####.k####.cn:80
- TCP(HTTP/1.1) log.k####.cn:80
- TCP(HTTP/1.1) mobile####.k####.cn:80
- TCP(HTTP/1.1) amap####.cn-hang####.oss####.####.com:80
- TCP(HTTP/1.1) reso####.msg.xi####.net:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) www.q####.cn:80
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP(TLS/1.0) h5st####.k####.cn.####.com:443
- TCP(TLS/1.0) 47.2####.109.112:443
- UDP 60.28.2####.13:80
- UDP 60.28.2####.13:443
- UDP 1####.36.137.26:80
- UDP 1####.36.137.26:443
- UDP 1####.0.8.254:6000
Запросы DNS:
- a####.n####.g####.####.com
- amap####.cn-hang####.oss####.####.com
- api####.a####.com
- b.qchann####.cn
- css.k####.cn
- del####.k####.cn
- g.k####.com
- h5st####.k####.cn
- i####.k####.k####.cn
- i####.k####.k####.cn
- kw####.k####.cn
- log.k####.cn
- m####.3g.qq.com
- m####.k####.cn
- m####.k####.cn
- mobi####.k####.cn
- mobile####.k####.cn
- n####.k####.cn
- pi####.qq.com
- r####.k####.cn
- regi####.xm####.xi####.com
- res####.a####.com
- reso####.msg.xi####.net
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- uh1.k####.cn
- uh2.k####.cn
- v####.k####.cn
- we####.k####.cn
- www.q####.cn
- www.qchann####.cn
Запросы HTTP GET:
- amap####.cn-hang####.oss####.####.com/sdkcoor/android/x86/libJni_wgs2gcj...
- kw####.k####.cn.####.com/star/upload/ecom/103537511254351629210575290.jpg
- kw####.k####.cn.####.com/star/upload/ecom/1629186062454.jpg
- kw####.k####.cn.####.com/star/upload/ecom/1629196660659.jpg
- m####.k####.cn/regsvr.auth?1####&XwgED1R####
- mobile####.k####.cn/MobileAdServer/GetMobileAd.do?isNew=####&apiversion=...
- mobile####.k####.cn/MobileAdServer/getIsHideAd.do?ver=####&src=####&appu...
- mobile####.k####.cn/g.real?aid=####&ver=####&cid=####&src=####&appuid=##...
- mobile####.k####.cn/mobi.s?f=####&q=####
- mobile####.k####.cn/mobi.s?f=####&q=XWGUx####
- n####.k####.cn/mobi.s?f=####&q=XWGUx####
- n####.k####.cn/offline_config?os=####&ver=####&appuid=####&cid=####&src=...
- r####.k####.cn/request_newuser?type=####&source=####&user=####&prod=####
- reso####.msg.xi####.net/gslb/?ver=####&type=####&connpt=####&uuid=####&l...
- v####.k####.cn/regsvr.auth?1####&XwgED1R####
- v####.k####.cn/vip/v2/sysinfo?op=####&platform=####&isShowNewPayConfig=#...
- www.q####.cn/n/dpz/?app=####&uid=####&sv=####&appver=####&osver=####&cve...
Запросы HTTP POST:
- 47.2####.109.112:443/v3/config/resource
- log.k####.cn/music.yl
- m####.3g.qq.com/
- mobile####.k####.cn/mobi.s?f=####&q=XWGUx####
- pi####.qq.com/mstat/report/?index=####
- res####.a####.com/v3/log/init
- www.qchann####.cn/center/adj?appkey=####&uid=####&sdk=####&did=####&type...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/QT.xml
- /data/data/####/TMSPropertiesb_d_pre.xml
- /data/data/####/TMSPropertiestms.xml
- /data/data/####/arch.xml
- /data/data/####/cn.kuwo.mod.push.PushContentProvider-journal
- /data/data/####/cn.kuwo.player;pushservice
- /data/data/####/cn.kuwo.player_preferences.xml
- /data/data/####/cn_kuwo_skin_pref.xml
- /data/data/####/config
- /data/data/####/config.gz
- /data/data/####/d5f10a22435816bb768306b78096bf60.xml
- /data/data/####/d_163
- /data/data/####/flow.xml
- /data/data/####/getui_sp.xml
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/kwassist.db-journal
- /data/data/####/kwplayer.db-journal
- /data/data/####/libjiagu-936872712.so
- /data/data/####/loctemp.so
- /data/data/####/mAPP.xml
- /data/data/####/mipush.xml
- /data/data/####/mipush_account.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/multidex.version.xml
- /data/data/####/pref.xml
- /data/data/####/pri_tencent_analysis.db_cn.kuwo.player-journal
- /data/data/####/push.pid
- /data/data/####/pushsdk.db-journal
- /data/data/####/qtsession.xml
- /data/data/####/reomte_shared_prefence.xml
- /data/data/####/run.pid
- /data/data/####/tencent_analysis.db_cn.kuwo.player-journal
- /data/data/####/tmsdk_dualsim_shark.xml
- /data/data/####/traffic_mobile.db-journal
- /data/data/####/unicom_flow_mobile.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCache.db
- /data/data/####/webviewCache.db-journal
- /data/media/####/-1492506322.8970867_2021_11_30_00_00_00.dat
- /data/media/####/-159367235.42901_2021_08_18_16_00_00.dat
- /data/media/####/-1905045543.6888_2021_08_18_06_00_00.dat
- /data/media/####/-325211977.71695_2021_08_19_00_00_00.dat
- /data/media/####/-58522391.3275_2021_08_18_05_00_00.dat
- /data/media/####/0000006_2.1.40.dat.dat
- /data/media/####/8000000_1.0.47.dat
- /data/media/####/8000000_1.0.47.dat.255849.info
- /data/media/####/8000000_1.0.47.dat.dat
- /data/media/####/95b763a91656acd1e4e7ae0ab624b1fd
- /data/media/####/White.skin
- /data/media/####/a1a5f62da9a52e841f2aaf3ef550f20d
- /data/media/####/ae_eq_2016.dat
- /data/media/####/app
- /data/media/####/bc2a527385199a0ddb3c1687388e4645
- /data/media/####/cf_hs_2.dat
- /data/media/####/cf_lk_2.dat
- /data/media/####/cf_st_2.dat
- /data/media/####/cn.kuwo.player.bin
- /data/media/####/cn.kuwo.player_act.log
- /data/media/####/cn.kuwo.player_act.log.lck
- /data/media/####/common-f713b9fe8bddcc68cbfc.js
- /data/media/####/device_id.text
- /data/media/####/fb7b7d2fa03980296e0f654af542db81
- /data/media/####/feedback-49a9b35f084579441f72.js
- /data/media/####/feedback.html
- /data/media/####/feedbackHistory-5bbea0cfdd3ed104cf84.js
- /data/media/####/feedbackHistory.html
- /data/media/####/feedbackHistoryNoPic-39604874b6705f74e2a6.js
- /data/media/####/feedbackHistoryNoPic.html
- /data/media/####/feedback_history_no_data-db8ae3c97f54b049633fb...96.png
- /data/media/####/gameConf
- /data/media/####/hd-467abe5cac71cf0eec2b.js
- /data/media/####/info
- /data/media/####/pic_a-eef5645b8e65c5cb565e6206a73edaec.png
- /data/media/####/qt.csv.1629248733512.txt
- /data/media/####/qt.csv.1629248733602.txt
- /data/media/####/server.dat
- /data/media/####/uid.text
- /data/media/####/upgrade.dat
- /data/media/####/uuid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu-936872712.so
- ps -P
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- getuiext2
- imagepipeline
- kwbase
- kwconfig
- libTmsdk-2
- libjiagu-936872712
- mresearch
- p2p
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
- DES-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
Запрашивает разрешение на отображение системных уведомлений.
