Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) a####.shu####.cn:80
- TCP(HTTP/1.1) center####.k####.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) vide####.k####.com:8980
- TCP(TLS/1.0) d####.shu####.cn:443
- TCP(TLS/1.0) dai.shu####.cn:443
- TCP(TLS/1.0) 1####.217.168.202:443
- TCP(TLS/1.0) a####.shu####.cn:443
- TCP(TLS/1.0) cs.im####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) cgi.con####.qq.com:443
- TCP(TLS/1.2) 2####.58.208.99:443
- TCP(TLS/1.2) 1####.217.168.202:443
- TCP cm-1####.g####.com:5225
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- a####.shu####.cn
- and####.b####.qq.com
- and####.cli####.go####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- center####.k####.com
- cgi.con####.qq.com
- cm-1####.g####.com
- cs.im####.com
- d####.shu####.cn
- daa.shu####.cn
- dai.shu####.cn
- e1.im####.com
- loc.map.b####.com
- m####.go####.com
- p####.show####.com
- sdk.c####.g####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- vide####.k####.com
- www.show####.com
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_CoH340
- cdn-sdk####.g####.com.####.com/tdata_GKM601
- cdn-sdk####.g####.com.####.com/tdata_jFf739
- cdn-sdk####.g####.com.####.com/tdata_pKX830
- center####.k####.com/time
- cgi.con####.qq.com:443/qqconnectopen/openapi/policy_conf?status_os=####&...
- cs.im####.com:443/json/enmoji20180911.json
- cs.im####.com:443/v2/analytics/setting?accessToken=####&appId=####&sign=...
- cs.im####.com:443/v2/devices/channel/s10202830104400?skeyver=####&is_and...
- cs.im####.com:443/v2/resource/version?skeyver=####&is_android=####&acces...
- d####.c####.l####.####.com/config/hzv9.conf
- vide####.k####.com:8980/univ/intervalquery?accesskey=####&expire=####&un...
Запросы HTTP POST:
- a####.shu####.cn/report?v=####&c=####&e=####
- a####.shu####.cn:443/report?v=####&c=####&e=####
- and####.b####.qq.com/rqd/async?aid=####
- c-h####.g####.com/api.php?format=####&t=####
- cs.im####.com:443/armyservice/armygroupinfo/getarmygroupjoin.do?skeyver=...
- cs.im####.com:443/inf/serv_activate.php?skeyver=####&is_android=####&app...
- cs.im####.com:443/inf/serv_get_notif_medium.php?skeyver=####&is_android=...
- cs.im####.com:443/v2/analytics/files?accessToken=####&appId=####&sign=##...
- cs.im####.com:443/v3/cloudconf
- cs.im####.com:443/v3/profile/android
- d####.shu####.cn:443/report?v=####&t=####&e=####
- dai.shu####.cn:443/report?v=####&c=####&e=####
- loc.map.b####.com/sdk.php
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jgck
- /data/data/####/1004
- /data/data/####/1641065727364.zip
- /data/data/####/1641065733875.zip
- /data/data/####/KSYMediaLog-journal
- /data/data/####/bugly_db_
- /data/data/####/bugly_db_-journal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/com.showself.ui_dna.xml
- /data/data/####/com.showself.ui_prefs.xml
- /data/data/####/com.showself.ui_prefs.xml.bak
- /data/data/####/com.shumei.xml
- /data/data/####/com.tencent.open.config.json.100294405
- /data/data/####/crashrecord.xml
- /data/data/####/du.lock
- /data/data/####/fc_times.xml
- /data/data/####/getui_sp.xml
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/input_emoji_json.xml
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/local_crash_lock (deleted)
- /data/data/####/md5_info.xml
- /data/data/####/native_record_lock
- /data/data/####/netType.xml
- /data/data/####/pref_key.xml
- /data/data/####/proc_auxv
- /data/data/####/prop_data.xml
- /data/data/####/push.pid
- /data/data/####/pushk.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/resourcesdata.txt
- /data/data/####/run.pid
- /data/data/####/security_info
- /data/data/####/security_info (deleted)
- /data/data/####/seq.xml
- /data/data/####/showself_guide.xml
- /data/data/####/sp_device_id.xml
- /data/data/####/tdata_CoH340
- /data/data/####/tdata_CoH340.dex
- /data/data/####/tdata_CoH340.dex.flock (deleted)
- /data/data/####/tdata_CoH340.jar
- /data/data/####/tdata_jFf739
- /data/data/####/tdata_jFf739.jar
- /data/data/####/tmpd8.db-journal
- /data/data/####/tracker.db-journal
- /data/data/####/tracker.txt
- /data/media/####/._android.dat
- /data/media/####/._system.dat
- /data/media/####/.duid
- /data/media/####/.thumbcache_idx0
- /data/media/####/_android.dat
- /data/media/####/_system.dat
- /data/media/####/app.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.showself.ui.bin
- /data/media/####/com.showself.ui.db
- /data/media/####/com.tencent.mobileqq_connectSdk.22.01.01.22.log
- /data/media/####/con.dat
- /data/media/####/dfs31123g
- /data/media/####/duid
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/showself_water_img_8.3.0.png
- /data/media/####/shumei.txt
- /data/media/####/tdata_CoH340
- /data/media/####/tdata_jFf739
- /data/media/####/tdata_pKX830
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- cat /proc/self/cgroup
- date
- df
- getprop
- grep u0_a65
- id
- id -u
- ip link
- ls /system/fonts
- mkdir -p <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/
- ps
- service call iphonesubinfo 1
- sh -c echo NjE5RkU5NkY5OTk5NjM5RDVGQkZFMUREOTVBN0I5MkIxNzU5MWM2YWY4OTQ0NTkzOTU5YzlmYjQ5OTM1YzYyago= > <SD-Card>/../../../../../..<SD-Card>/.duid
- sh -c echo NjE5RkU5NkY5OTk5NjM5RDVGQkZFMUREOTVBN0I5MkIxNzU5MWM2YWY4OTQ0NTkzOTU5YzlmYjQ5OTM1YzYyago= > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/duid
- sh -c echo QjE1QzA4QTlDMjZBRUQ2QkU1MTREQ0M4NjA5NzlFQTRGRjBERDU6RTdCMzFEOjc1NTVBRA== > <SD-Card>/../../../../../..<SD-Card>/._android.dat
- sh -c echo QjE1QzA4QTlDMjZBRUQ2QkU1MTREQ0M4NjA5NzlFQTRGRjBERDU6RTdCMzFEOjc1NTVBRA== > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/_android.dat
- sh -c echo QjU4NUVFQTBCMEQ3MkI1Mzg5QjM5ODQ1MzQ1NUNFMDMzQzdBQjU6ODg2Qzc4OjI3RERDMw== > <SD-Card>/../../../../../..<SD-Card>/._system.dat
- sh -c ps | grep u0_a65
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
- DES
- DES-ECB-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
