Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) sdk-ope####.g####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) www.xqq####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
- TCP(TLS/1.0) r1---sn####.g####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) 2####.58.214.10:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) 1####.251.36.46:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.2) 1####.217.168.195:443
- TCP(TLS/1.2) 1####.250.179.174:443
- TCP(TLS/1.2) 2####.58.214.10:443
- TCP cm-10####.g####.com:5226
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- 7j####.c####.z0.####.com
- and####.google####.com
- api.map.b####.com
- c-h####.g####.com
- cdn-sdk####.g####.com
- cm-10####.g####.com
- hm.b####.com
- m####.go####.com
- p####.google####.com
- r1---sn####.g####.com
- sdk-ope####.g####.com
- sdk.c####.g####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- www.xqq####.com
Запросы HTTP GET:
- cdn-sdk####.g####.com.####.com/tdata_svG098
- cdn-sdk####.g####.com.####.com/tdata_zNZ623
- d####.c####.l####.####.com/config/hzv9.conf
- ti####.c####.l####.####.com/tdata_BAI450
- www.xqq####.com/
- www.xqq####.com//index.php/Home/Index/jypx/odbc/success
- www.xqq####.com/Template/twjr/asset/img/content/fwzn.png
- www.xqq####.com/Template/twjr/asset/img/content/jmrh.png
- www.xqq####.com/Template/twjr/asset/img/content/xwdt.png
- www.xqq####.com/Template/twjr/asset/img/content/zcfg.png
- www.xqq####.com/Template/twjr/asset/mobile/css/common.css
- www.xqq####.com/Template/twjr/asset/mobile/css/index.css
- www.xqq####.com/Template/twjr/asset/mobile/css/list.css
- www.xqq####.com/Template/twjr/asset/mobile/css/swiper.css
- www.xqq####.com/Template/twjr/asset/mobile/images/house_after.png
- www.xqq####.com/Template/twjr/asset/mobile/images/house_before.png
- www.xqq####.com/Template/twjr/asset/mobile/images/person_before.png
- www.xqq####.com/Template/twjr/asset/mobile/images/zdzl_after.png
- www.xqq####.com/Template/twjr/asset/mobile/images/zdzl_before.png
- www.xqq####.com/Template/twjr/asset/mobile/js/swiper.js
- www.xqq####.com/Template/twjr/asset/vendor/bootstrap.min.css
- www.xqq####.com/Template/twjr/asset/vendor/common.js
- www.xqq####.com/Template/twjr/asset/vendor/font-awesome-4.3.0/css/font-a...
- www.xqq####.com/Template/twjr/asset/vendor/jquery-2.0.3.min.js
- www.xqq####.com/Template/twjr/asset/vendor/jquery.gritter.css
- www.xqq####.com/Template/twjr/asset/vendor/jquery.gritter.min.js
- www.xqq####.com/Uploads/picture/2017-04-27/5901ea2ce5c6d.png
- www.xqq####.com/Uploads/picture/2017-08-07/5988432da9b13.jpg
- www.xqq####.com/Uploads/picture/2017-08-29/59a4dc33533b5.jpg
- www.xqq####.com/Uploads/picture/2018-11-02/5bdbee6ed18a7.jpg
- www.xqq####.com/favicon.ico
Запросы HTTP POST:
- api.map.b####.com:443/sdkcs/verify
- c-h####.g####.com/api.php?format=####&t=####
- sdk-ope####.g####.com/api.php?format=####&t=####
- www.xqq####.com/index.php/Home/Index/index/_extend/addons/_addons/IPlist...
- www.xqq####.com/index.php/Home/Index/jypx/_extend/addons/_addons/IPliste...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/00b0f0387ad1f8e1_0
- /data/data/####/07d6aed5c3d54a42_0
- /data/data/####/08418a7892781783_0
- /data/data/####/2d17393531534f1c_0
- /data/data/####/2d17393531534f1c_1
- /data/data/####/338e5083b074b8ad_0
- /data/data/####/3def08d9d0e7c03f_0
- /data/data/####/44a751b96f99621b_0
- /data/data/####/4963e96d95a1b9c1_0
- /data/data/####/4bfb8608fb91a090_0
- /data/data/####/4ca68012f9d6ff1e_0
- /data/data/####/4cf60f6aa9e70a4a_0
- /data/data/####/57911c570c66046e_0
- /data/data/####/76a554c7e894e189_0
- /data/data/####/802ba5ebb84d084e_0
- /data/data/####/8b16344e89d1d05f_0
- /data/data/####/8b39e1b7cd17b029_0
- /data/data/####/8b39e1b7cd17b029_0 (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a0a7b3d5f788d2e2_0
- /data/data/####/a4619fbd256f8196_0
- /data/data/####/a4fffc902a119d01_0
- /data/data/####/a98f75457dadc929_0
- /data/data/####/a98f75457dadc929_1
- /data/data/####/ad93a73ed42818a4_0
- /data/data/####/authStatus_com.tiptimes.tuiyi.xml
- /data/data/####/authStatus_com.tiptimes.tuiyi;pushservice.xml
- /data/data/####/authStatus_com.tiptimes.tuiyi;remote.xml
- /data/data/####/c5baca082c4f5ce5_0
- /data/data/####/c5baca082c4f5ce5_1
- /data/data/####/c735a9829990b413_0
- /data/data/####/cafea1a13b782a18_0
- /data/data/####/cb226b780e5f0fef_0
- /data/data/####/cb226b780e5f0fef_1
- /data/data/####/ccfaec0efa2283d4_0
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/com.tiptimes.tuiyi_preferences.xml
- /data/data/####/e2d38d9d1408ee9c_0
- /data/data/####/eb0ceb97fd2b5158_0
- /data/data/####/ecaca18a27e35585_0
- /data/data/####/f2a806da778b40d7_0
- /data/data/####/getui_sp.xml
- /data/data/####/gkt-journal
- /data/data/####/http_www.xqqtyjr.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/init.pid
- /data/data/####/init_c1.pid
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/mac.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/push.pid
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_svG098
- /data/data/####/tdata_svG098.dex
- /data/data/####/tdata_svG098.dex.flock (deleted)
- /data/data/####/tdata_svG098.jar
- /data/data/####/tdata_zNZ623
- /data/data/####/tdata_zNZ623.dex
- /data/data/####/tdata_zNZ623.dex.flock (deleted)
- /data/data/####/tdata_zNZ623.jar
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/tmpd8.db-journal
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
