Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) 2####.153.49.6:8080
- TCP(HTTP/1.1) nuj####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) z####.manji####.com:80
- TCP(HTTP/1.1) 2####.153.49.6:8008
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) at.al####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) res####.a####.com:443
- TCP(TLS/1.0) d####.opensp####.cn:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) a.apic####.com:443
- TCP(TLS/1.2) 1####.194.222.113:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- UDP rr1---s####.g####.com:443
- UDP gmscomp####.google####.com:443
- UDP 85.1####.117.141:443
Запросы DNS:
- 2.and####.p####.####.org
- a####.exc.mob.com
- a.apic####.com
- and####.b####.qq.com
- at.al####.com
- ck.manji####.com
- d####.opensp####.cn
- gmscomp####.google####.com
- log####.ifl####.com
- nuj####.oss-cn-####.aliy####.com
- res####.a####.com
- rr1---s####.g####.com
- s####.ml####.cc
- s####.ml####.cc.####.8
- www.google####.com
- z####.manji####.com
Запросы HTTP GET:
- at.al####.com/t/font_1064504_rjjr0en01m9.css
- at.al####.com/t/font_1560547_wsyeph6dg9g.css
- at.al####.com/t/font_1560547_wsyeph6dg9g.woff2
- nuj####.oss-cn-####.aliy####.com/20191029/2592398b6a6d45adbc72a86b85fb2a...
- nuj####.oss-cn-####.aliy####.com/20191029/2724ac8436834ff3a05ce6c94e1d46...
- nuj####.oss-cn-####.aliy####.com/20191029/2a3a7756c55745e3b871ae88a20006...
- nuj####.oss-cn-####.aliy####.com/20191029/61aeda5da2eb43eb8c05090d367d82...
- nuj####.oss-cn-####.aliy####.com/20191029/644e487d36544b7e9e77a8ea17c67c...
- nuj####.oss-cn-####.aliy####.com/20191029/b2d67540b74a422484c94f5be8b16e...
- nuj####.oss-cn-####.aliy####.com/20191029/ff6f00810692430489fbe1fca55561...
- nuj####.oss-cn-####.aliy####.com/20191204/8ccc8fde003a4f7e982ddd00b72f17...
- nuj####.oss-cn-####.aliy####.com/20201104/69144a4b135f436d8747113935d13d...
- nuj####.oss-cn-####.aliy####.com/20201104/6966f4abeeef4d44929491f275555d...
- nuj####.oss-cn-####.aliy####.com/20201104/6ac42ae7e14444839d8158c42155e2...
- nuj####.oss-cn-####.aliy####.com/20201104/720da5dc92374d60a360e01345cabb...
- nuj####.oss-cn-####.aliy####.com/20201105/0c62bf7d27624b8785aec3a46e974d...
- nuj####.oss-cn-####.aliy####.com/20201105/23e776026bc44c9dbd1f692b5a1b1a...
- z####.manji####.com/app/public/getAdvertisements
- z####.manji####.com/app/public/getAreasByCode?code=####
- z####.manji####.com/app/public/getIndex
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a.apic####.com:443/AM_Service_API/StartupReport
- and####.b####.qq.com/rqd/async?aid=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- d####.opensp####.cn:443/hotupdate
- res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
- z####.manji####.com/APIForWAPUI/api/Version/GetVersion
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.artc_lock
- /data/data/####/.at_lock
- /data/data/####/.di
- /data/data/####/.dic_lock
- /data/data/####/.duid
- /data/data/####/.globalLock
- /data/data/####/.im_lock
- /data/data/####/.jg.ic
- /data/data/####/.jgck
- /data/data/####/.lesd_lock
- /data/data/####/.lock
- /data/data/####/.pg_lock
- /data/data/####/.pgs_lock
- /data/data/####/.vpl_lock
- /data/data/####/019612473e7c95643ec5897ad41675ebc5de1cc50e6eec8...981d.0
- /data/data/####/0fbd538a74f9c32c_0
- /data/data/####/0fbd538a74f9c32c_1
- /data/data/####/1004
- /data/data/####/161501ada25c12de_0
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/2d0913978f630022_0
- /data/data/####/2ecdf4cc8d2a12ad_0
- /data/data/####/3a56010227e3aba5_0
- /data/data/####/3dbeb9a31f712c0e_0
- /data/data/####/4ada3f24f44787bc_0
- /data/data/####/4b30108eba33a6ac_0
- /data/data/####/5d4c27c3186ff315_0
- /data/data/####/5d4c27c3186ff315_1
- /data/data/####/7cf30d934d4bd53c_0
- /data/data/####/807e049af1efd412_0
- /data/data/####/807e049af1efd412_1
- /data/data/####/85e1d5fd8024e6e5_0
- /data/data/####/88e5e16eedb3c982_0
- /data/data/####/88e5e16eedb3c982_1
- /data/data/####/91c734d7d5b863e8_0
- /data/data/####/96a4678fbe3ff1ec_0
- /data/data/####/96e1a6eed41e54f18aba6fa21e47bb5c.0
- /data/data/####/96e1a6eed41e54f18aba6fa21e47bb5c.0.tmp
- /data/data/####/96e1a6eed41e54f18aba6fa21e47bb5c.1
- /data/data/####/96e1a6eed41e54f18aba6fa21e47bb5c.1.tmp
- /data/data/####/9e31e1c042ceffa5_0
- /data/data/####/Cookies-journal
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/UzAppStorage.xml
- /data/data/####/UzLocalStorage.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/_nohttp_cookies_db.db
- /data/data/####/_nohttp_cookies_db.db-journal
- /data/data/####/aeaa93244341fac6_0
- /data/data/####/analytics_run_info.xml
- /data/data/####/b4de125ce8db6ed5_0
- /data/data/####/bugly_db_-journal
- /data/data/####/c0586a10777146560765a69231d89beb.xml
- /data/data/####/c28473bfe5f55b1e_0
- /data/data/####/cd98de15d51942ab_0
- /data/data/####/ce30d7f2a185e41f_0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.oat
- /data/data/####/com.house.forest_preferences.xml
- /data/data/####/com.huiman.manji_preferences.xml
- /data/data/####/com.huiman.manji_preferences.xml.bak
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/crashrecord.xml
- /data/data/####/d167e9c66d084a16_0
- /data/data/####/d87c758bc3c863a5a1d633744de040b4844b0a5597c1c69....0.tmp
- /data/data/####/d87c758bc3c863a5a1d633744de040b4844b0a5597c1c69...0e04.0
- /data/data/####/f1caa58cdacc47ed_0
- /data/data/####/f1caa58cdacc47ed_1
- /data/data/####/f2729fcf1450a289_0
- /data/data/####/fd1d2256da2ead5b_0
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/iflytek_collect_state.xml
- /data/data/####/iflytek_collect_state.xml.bak
- /data/data/####/iflytek_device_info.zip
- /data/data/####/iflytek_state_com.house.forest.xml
- /data/data/####/index
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/k.store
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/metrics_guid
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/mwsdk_analytics.db-journal
- /data/data/####/native_record_lock
- /data/data/####/persistent_data.xml
- /data/data/####/persistent_data.xml.bak
- /data/data/####/pref.xml
- /data/data/####/proc_auxv
- /data/data/####/security_info
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/media/####/.mn_234987532
- /data/media/####/.nomedia
- /data/media/####/.slw
- /data/media/####/1668539475133.db
- /data/media/####/alsn20170807.db
- /data/media/####/alsn20170807.db-journal
- /data/media/####/iflyworkdir_test (deleted)
- /data/media/####/util-manji_sessionid.txt
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- cat /sys/class/net/wlan0/address
- getprop
Загружает динамические библиотеки:
- libBugly
- libjiagu
- libmsc
- libsec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Запрашивает разрешение на отображение системных уведомлений.
