Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) st####.dc####.net.cn:80
- TCP(HTTP/1.1) sdk.talking####.com:80
- TCP(HTTP/1.1) app.h####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP(TLS/1.0) 1####.250.75.234:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) ser####.dc####.net.cn:443
- TCP(TLS/1.0) ada####.m.ta####.com:443
- TCP(TLS/1.0) av1.x####.com:443
- TCP(TLS/1.0) adash####.man.aliy####.com:443
- TCP(TLS/1.0) ali-s####.j####.cn:443
- TCP 43.2####.88.72:7007
- UDP s.j####.cn:19000
Запросы DNS:
- a####.man.aliy####.com
- a####.u####.com
- ada####.ut.ta####.com
- ali-s####.j####.cn
- and####.google####.com
- app.h####.com
- av1.x####.com
- c####.x####.com
- c####.x####.com
- gd-s####.j####.cn
- pv.s####.com
- s.j####.cn
- sdk.talking####.com
- ser####.dc####.net.cn
- st####.dc####.net.cn
- t####.j####.cn
Запросы HTTP GET:
- app.h####.com/pro/doctor/v1.0.39.zip
- app.h####.com/pro/doctor/version.json
- c####.x####.com:443/sdk/conf?id=####&p=####&v=####&sv=####&cv=####
- gd.a.s####.com/cityjson?ie=####
- sdk.talking####.com/app/h5/v1/websdk/js/sdk_release.js
- sdk.talking####.com/app/h5/v1?appid=####&vn=####&vc=####
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- adash####.man.aliy####.com:443/man/api?ak=####&s=####
- ali-s####.j####.cn:443/v3/report
- av1.x####.com:443/u/a/v1/13e64293
- av1.x####.com:443/u/a/v1/7e496a8e
- c####.x####.com:443/configcloud/rest/sdk/match
- ser####.dc####.net.cn:443/advert/splash
- st####.dc####.net.cn/device/location
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.buildPropertiesMD5.data
- /data/data/####/.cl
- /data/data/####/.imei.txt
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1644980582413_3445
- /data/data/####/1644980583644_3445
- /data/data/####/1644980583677_3445
- /data/data/####/1644980583863_3491
- /data/data/####/1644980585504_3491
- /data/data/####/1644980586398_3475
- /data/data/####/1644980587002_3537
- /data/data/####/1644980587359_3475
- /data/data/####/1644980587538_3537
- /data/data/####/1644980589309_3556
- /data/data/####/1644980589617_3556
- /data/data/####/1644980590323_3491
- /data/data/####/1644980590538_3491
- /data/data/####/1644980590777_3491
- /data/data/####/1644980591040_3491
- /data/data/####/1644980591433_3491
- /data/data/####/1644980591904_3475
- /data/data/####/1644980592129_3475
- /data/data/####/1644980592277_3475
- /data/data/####/1644980592570_3475
- /data/data/####/1644980593028_3475
- /data/data/####/1644980593189_3537
- /data/data/####/1644980593274_3537
- /data/data/####/1644980593559_3537
- /data/data/####/1644980593768_3537
- /data/data/####/1644980594299_3537
- /data/data/####/1644980594938_3556
- /data/data/####/1644980595069_3556
- /data/data/####/1644980595188_3556
- /data/data/####/1644980595393_3556
- /data/data/####/1644980595839_3556
- /data/data/####/1644980605327_4470
- /data/data/####/1644980605369_4470
- /data/data/####/1644980613674_4683
- /data/data/####/1644980613825_4683
- /data/data/####/1644980614600_4683
- /data/data/####/1644980624638_4877
- /data/data/####/1644980625595_4877
- /data/data/####/1644980646736_3537
- /data/data/####/1c56b330919016db_0
- /data/data/####/33ca065b-7d71-435c-bb45-3e4ec6e4c6fd
- /data/data/####/4fe7bd89a01cf83a_0
- /data/data/####/60fa81e7b6e17937_0
- /data/data/####/60fa81e7b6e17937_1
- /data/data/####/6a995c4f-9a6b-4e93-b1e8-1ecccb9c18e8
- /data/data/####/922ebab3-560a-49ff-9809-11951994f3cc
- /data/data/####/Alvin2.xml
- /data/data/####/AppActivityMgr.xml
- /data/data/####/Application.db-journal
- /data/data/####/Archimedes_p1
- /data/data/####/Archimedes_p2
- /data/data/####/Archimedes_p3
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/ContextData.xml
- /data/data/####/Cookies-journal
- /data/data/####/JPushSA_Config.xml
- /data/data/####/TDCloudSettingsConfig4F3E926E06C14D5C9FF438E871B06C10.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol1.xml
- /data/data/####/TDpref_cloudcontrol1.xml.bak
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime0.xml
- /data/data/####/UTCommon.xml
- /data/data/####/UTCommon.xml (deleted)
- /data/data/####/UTCommon.xml.bak
- /data/data/####/Web Data
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/_adio.dcloud.feature.ad.a.a.xml
- /data/data/####/accountConfig.xml
- /data/data/####/adashbc.ut.taobao.com.443
- /data/data/####/ap.Lock
- /data/data/####/appPackageNames_v2
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/cn.jmessage.preferences.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.huidr.HuiDrDoctor_preferences.xml
- /data/data/####/d1b0276c-83da-4e82-ae5f-a334cdffbd77
- /data/data/####/d6cca5c7-a75d-4181-bf8a-c63f10b2deb4
- /data/data/####/dc_ad_type_key.xml
- /data/data/####/efdd325f-2fa5-44fe-b291-519122b31881
- /data/data/####/exchangeIdentity.json
- /data/data/####/html5Geo.xml
- /data/data/####/huiyi_doctor.xml
- /data/data/####/index
- /data/data/####/iv
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/mobclick_agent_cached_com.huidr.HuiDrDoctor18
- /data/data/####/pdr.xml
- /data/data/####/proc_auxv
- /data/data/####/salt
- /data/data/####/sp_sophix.xml
- /data/data/####/stream_permission.xml
- /data/data/####/tdid.xml
- /data/data/####/test_app
- /data/data/####/the-real-index
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/updateDownload.xml
- /data/data/####/ut.db
- /data/data/####/ut.db-journal
- /data/data/####/wakeup_cache.json
- /data/data/####/webview_data.lock
- /data/media/####/.imei.txt
- /data/media/####/.nomedia
- /data/media/####/AdEnable.dat
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/crash-2022-02-16-06-03-03-1644980583775.log
- /data/media/####/crash-2022-02-16-06-03-25-1644980605393.log
- /data/media/####/crash-2022-02-16-06-03-33-1644980613831.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop
- ps
Загружает динамические библиотеки:
- libjcore125
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RC4-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Осуществляет доступ к интерфейсу камеры.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
