Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) down####.w####.com:80
- TCP(TLS/1.0) cfg.i####.qq.com:443
- TCP(TLS/1.0) pang####.sn####.com:443
- TCP(TLS/1.0) l####.tbs.qq.com:443
- TCP(TLS/1.0) 1####.251.36.42:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) down####.w####.com:443
- TCP(TLS/1.0) w####.xi####.com:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) inte####.faceu####.com:6443
- TCP(TLS/1.2) 1####.250.179.170:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- UDP 1####.251.36.10:443
- UDP 1####.251.36.42:443
- UDP r5---sn####.g####.com:443
- UDP 1####.217.132.10:443
- UDP r3---sn####.g####.com:443
- UDP 1####.250.179.138:443
Запросы DNS:
- and####.cli####.go####.com
- cfg.i####.qq.com
- dn####.d####.com
- down####.w####.com
- inte####.faceu####.com
- l####.tbs.qq.com
- m####.go####.com
- pang####.sn####.com
- r3---sn####.g####.com
- r5---sn####.g####.com
- w####.xi####.com
- www.w####.com
- xiu.xi####.com
Запросы HTTP GET:
- down####.w####.com/activities/caidan/ip13/xxh1068x344.jpg
- down####.w####.com/faxian/shouchongxxh.jpg
- down####.w####.com/xiu/kanshipindeyangguang/xxh1068x344.jpg
- down####.w####.com:443/upload/xiu/0/23/tgvqaz6_3_550x550_200927210533.jpg
- down####.w####.com:443/upload/xiu/19/88/sj-zkkaalyjlo_3_550x550_21092819...
- down####.w####.com:443/upload/xiu/32/39/qigai422_3_550x550_200907204055....
- down####.w####.com:443/upload/xiu/46/42/bhc31203_3_550x550_191209172707....
- down####.w####.com:443/upload/xiu/54/5/wx-udwsloitiu_3_550x550_191015180...
- down####.w####.com:443/upload/xiu/60/1/sj-spauwdzumk_3_550x550_210902202...
- down####.w####.com:443/upload/xiu/64/61/qq-ckesrnmedj_3_550x550_20112200...
- down####.w####.com:443/upload/xiu/67/30/qq-ssciwvzhuo_3_550x550_21020101...
- down####.w####.com:443/upload/xiu/74/23/zzhqsb41_3_550x550_210402161614....
- down####.w####.com:443/upload/xiu/76/71/tgvqaz2_3_550x550_200927210038.jpg
- down####.w####.com:443/upload/xiu/8/86/wx-yfxsdrrecd_3_550x550_210425211...
- down####.w####.com:443/upload/xiu/94/10/tgvqaz5_3_550x550_210820182529.jpg
- down####.w####.com:443/upload/xiu/99/69/qq-erezdsurio_3_550x550_21052700...
- w####.xi####.com:443/vshow/streamname?get_url=####
Запросы HTTP POST:
- cfg.i####.qq.com:443/tbs?v=####&mk=####
- down####.w####.com:443/index.php?action=####&do=####
- l####.tbs.qq.com:443/ajax?c=####&k=####
- pang####.sn####.com:443/api/ad/union/sdk/stats/batch/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.jg.ic
- /data/data/####/1d7842c4752cfad2ae1855d9ce1d687a-4011-4011.apk
- /data/data/####/23801e9069d8b145dc8734e75c685280ab375f338d31d73...98b4.0
- /data/data/####/393458c670a4438bafc86dbe029e5e32c18adefcfae2720....0.tmp
- /data/data/####/39405bdaa877d9dc466329e8ae5197a5127173777f713f0....0.tmp
- /data/data/####/3c734150d245620787355a9bf3078e2022f7fd558e50c24....0.tmp
- /data/data/####/3dc32d7d069a42ec81d16bb64595525de396268f9d93ca1....0.tmp
- /data/data/####/43b75542016a981d7b41a36a9d86855524240375598e6dc....0.tmp
- /data/data/####/45c9e867a91906eb37d3c6f087721d6ca8d2005bf5429d0....0.tmp
- /data/data/####/4bdd94489309b3cd16b50f26f6b43c7ae222fcaecd2c34a....0.tmp
- /data/data/####/5c863ca97680306572fcb4cbb3e66440e8ab082d8a22b4e....0.tmp
- /data/data/####/6908a50dd2298f4166dab78aacff8b1e94a85b5a52abe35....0.tmp
- /data/data/####/7467e292b6c6f37243d7649cb529ffaa0573c3ade20d457....0.tmp
- /data/data/####/88f3fe87888e95a4b7580cee98de26e2b10384dcbdda478....0.tmp
- /data/data/####/89a993f71d8176ecce72579f42f1ab9781e9831288b65b7....0.tmp
- /data/data/####/8fbb24492af0f03f80d9743b9256040b2f6a773a7239e92....0.tmp
- /data/data/####/907653126a69558dbb76f088b59df148bc0cae8a8994c46....0.tmp
- /data/data/####/92908841843b210eca829fa2d8831f2774fb8a357393f42....0.tmp
- /data/data/####/93ffe094bb78b8dc401c4441b9498bbb6ae0647dbca413e....0.tmp
- /data/data/####/9badadb77df5c2b7b8925e217b8bfd3863f75319fa24b80....0.tmp
- /data/data/####/9bb83a7cb2d64ef742aae1cbf7eb120e91600b2fdec413e....0.tmp
- /data/data/####/9fe459469247d85bbff371a2657d0be86181b919b1ab4ce....0.tmp
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/TrineaAndroidCommon.xml.bak
- /data/data/####/aa17b7a841b2024c2755607c2e01aad89e42ca5312fdb82....0.tmp
- /data/data/####/abce5f3aa8e1a23ea783e954c4bb6944eeabd17f61d0710....0.tmp
- /data/data/####/ad14058c0a2cc6a641ccb9195723e0dde25c86f3253ec41....0.tmp
- /data/data/####/b3712088d3b41e934c4e6fefee0e8188184e40c56be9eb2....0.tmp
- /data/data/####/bae0eff80c48b58d6de29977a7b32e33f1db1d8574a03ca...1954.0
- /data/data/####/base-1.apk
- /data/data/####/base-1.dex
- /data/data/####/base-1.dex.flock (deleted)
- /data/data/####/ce61a803f6771e97f975b5c87efcb8325b46cccffa1fe71....0.tmp
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.oat
- /data/data/####/core_info
- /data/data/####/d150f2fe561db3359482a48bd84f5b4481d9ebd3339498e....0.tmp
- /data/data/####/download_upload
- /data/data/####/eae207b20f8ba0012314e3e00666b9af8b8a173d9c3b808....0.tmp
- /data/data/####/ebcb8aadc913381675a29bb61bc9c109b76662a397b1cff....0.tmp
- /data/data/####/ef759152e068d43df1f9f32fd5a722c0a61aeadc8c98209....0.tmp
- /data/data/####/f09b04b78cd84176dc20f4bd1eca9d1d73b3eba06883bdd....0.tmp
- /data/data/####/f561f28326e6c36596dbb1661974868c518c11cf5791d9d....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/libPglmetasec_ml.so
- /data/data/####/libavmdl_lite.so
- /data/data/####/libjiagu.so
- /data/data/####/libtobEmbedEncrypt.so
- /data/data/####/libttmplayer_lite.so
- /data/data/####/pangle_meta_data_sp.xml
- /data/data/####/pangle_meta_data_sp.xml.bak
- /data/data/####/proc_auxv
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbs_pv_config
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm list package -3
- getprop ro.product.cpu.abi
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DESede-ECB-PKCS5Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DESede-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
