Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) mps.a####.com:80
- TCP(HTTP/1.1) www.xm####.net:80
- TCP(HTTP/1.1) cn-hang####.oss####.aliyun####.com:80
- TCP(HTTP/1.1) a.a####.com:80
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP(TLS/1.0) zmope####.z####.com.cn:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) 1####.217.218.95:443
- TCP(TLS/1.2) 1####.217.218.95:443
- TCP(TLS/1.2) 1####.217.168.195:443
- TCP(TLS/1.2) www.google####.com:443
Запросы DNS:
- a.a####.com
- android####.go####.com
- cn-hang####.oss####.aliyun####.com
- instant####.google####.com
- m####.go####.com
- mp####.a####.com
- res####.a####.com
- www.google####.com
- www.xm####.net
- zmope####.z####.com.cn
Запросы HTTP GET:
- a.a####.com/lbs/static/img/default_main_autonavi_logo@2x.png
- a.a####.com/lbs/static/img/default_main_autonavi_logo_night@2x.png
- cn-hang####.oss####.aliyun####.com/amap-api/comm/upload/CoordinateSoEnhe...
Запросы HTTP POST:
- mps.a####.com//ws/mps/lyrdata/ugc/?csid=####&key=####&ts=####&scode=####...
- mps.a####.com/ws/mps/rtt?csid=####&key=####&ts=####&scode=####&dip=####
- mps.a####.com/ws/mps/vmap?csid=####&key=####&ts=####&scode=####&dip=####
- res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
- www.xm####.net//user_api/report_illegal/get_notice.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/._global.db
- /data/data/####/.cl
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/15d0ca2ecc95638200de4924e87257b3.0
- /data/data/####/3dmaptemp.so (deleted)
- /data/data/####/40d8c73ed23a7dac274e3ce8ed722b90.0
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Panda_DATA.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a1b1a39ca7c91d72f69012d7e3acfff0.0
- /data/data/####/am_font_model.ind
- /data/data/####/approval_number.xml
- /data/data/####/bv2.ans
- /data/data/####/bv2.nal
- /data/data/####/bv2.nal (deleted)
- /data/data/####/c0586a10777146560765a69231d89beb.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/com.traffic.panda_preferences.xml
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/f15cdcf9a06f9fb7f7c0d49ec3c22393.xml
- /data/data/####/fae85142b1e19505e365373386585d9a.0
- /data/data/####/global.db
- /data/data/####/icons_1_14_1553838092.data
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/jsserver_crash_info.log
- /data/data/####/libjiagu.so
- /data/data/####/libweexjsb.so
- /data/data/####/libwgs2gcj.so
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/maploc.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/style_0_14_1551264016.data
- /data/data/####/style_100_14_1560517516.data
- /data/data/####/style_1_14_1553834492.data
- /data/data/####/traffic.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /data/app/<Package>-1/lib/arm/libweexjsb.so 50 0
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm/libweexjsb.so /data/app/<Package>-1/lib/arm/libweexjsb.so 55 0
- getprop ro.miui.ui.version.name
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
