Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Gexin.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) ap####.log.m####.com:80
- TCP(HTTP/1.1) g####.hun####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) api.d####.m####.com:80
- TCP(HTTP/1.1) ap####.v1.m####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ap####.v0.m####.com:80
- TCP(HTTP/1.1) d####.t####.m####.com:80
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) www.cmpass####.com:80
- TCP(HTTP/1.1) mobi####.bz.m####.com:80
- TCP(HTTP/1.1) m####.api.m####.com:80
- TCP(HTTP/1.1) x.da.hun####.com:80
- TCP(HTTP/1.1) ap####.g####.com:80
- TCP(HTTP/1.1) mo####.api.hun####.com:80
- TCP(HTTP/1.1) as.m####.com:80
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) v2.res.log.####.com:80
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) rr6---s####.g####.com:443
- TCP(TLS/1.0) img.da.m####.com:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) g####.face####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.2) and####.google####.com:443
- TCP(TLS/1.2) 1####.194.73.94:443
- TCP(TLS/1.2) 64.2####.165.94:443
- TCP(TLS/1.2) 74.1####.131.101:443
- TCP(TLS/1.2) 74.1####.131.100:443
- TCP na61-####.wagbr####.ali####.####.com:443
- UDP and####.google####.com:443
- TCP mo####.api.m####.com:443
- TCP vip.log.m####.com:443
- TCP as.m####.com:443
- TCP m####.api.max.####.com:443
- TCP mo####.da.m####.com:443
- TCP ys.da.m####.com:443
- TCP unicomc####.api.m####.com:443
- TCP hunantv####.cn.miao####.com:443
Запросы DNS:
- a####.u####.com
- an####.api.m####.com
- and####.a####.go####.com
- and####.google####.com
- ap####.g####.com
- ap####.log.m####.com
- ap####.v0.m####.com
- ap####.v1.m####.com
- api####.a####.com
- api.d####.m####.com
- api.w####.com
- as.m####.com
- b####.g####.com
- d####.t####.m####.com
- g####.face####.com
- g####.hun####.com
- gmscomp####.google####.com
- hunantv####.cn.miao####.com
- img.da.m####.com
- ip.ta####.com
- m####.api.m####.com
- m####.api.max.####.com
- m####.go####.com
- m.i####.com
- mo####.api.hun####.com
- mo####.api.m####.com
- mo####.bz.m####.com
- mo####.da.m####.com
- mob.bz.m####.com
- mobi####.bz.m####.com
- rr2---s####.g####.com
- rr6---s####.g####.com
- rr9---s####.g####.com
- sdk.o####.p####.####.com
- unicomc####.api.m####.com
- v2.res.log.####.com
- vip.log.m####.com
- www.cmpass####.com
- www.qchann####.cn
- x.da.hun####.com
- ys.da.m####.com
Запросы HTTP GET:
- ap####.v0.m####.com/app.php?_support=####&mod=####&act=####&ch=####&guid...
- ap####.v0.m####.com/show.php?_support=####&act=####&ch=####&uuid=####&rd...
- api.d####.m####.com/api/versionSwitch?_support=####&appId=####&appkey=##...
- api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01r####&packagename...
- as.m####.com/odin/c1/channel/index?_support=####&device=####&osVersion=#...
- as.m####.com/odin/c1/channel/list?_support=####&device=####&osVersion=##...
- d####.t####.m####.com/flow/getExtensionPosition?_support=####&devid=####...
- g####.hun####.com/mobile/distribute.do?_support=####&deviceid=####
- img.da.m####.com:443/mediafiles/wiad_creative/1008/645b67e5b1251.jpg
- img.da.m####.com:443/mediafiles/wiad_creative/1008/65d2c49c856fc.jpg
- m####.api.m####.com/v2/mpns/getInitChannel?_support=####&device=####&osV...
- mo####.api.hun####.com/channel/vipTips?_support=####&device=####&osVersi...
- mo####.api.hun####.com/mobile/areaInfo?_support=####&device=####&osVersi...
- mo####.api.hun####.com/mobile/config?_support=####&device=####&osVersion...
- mobi####.bz.m####.com/mobile/recommend/v1?_support=####&device=####&osVe...
- na61-####.wagbr####.ali####.####.com/service/getIpInfo.php?ip=####&_supp...
- v2.res.log.####.com/info.php?e=####&f=####&h=####&s=####&l=####&t=####&m...
- www.cmpass####.com/openapi/wabpGetUseInfo?_support=####&channelId=####&m...
- x.da.hun####.com/mmasdk.xml
Запросы HTTP POST:
- a####.u####.com/app_logs
- ap####.g####.com/uploadIdBinding
- ap####.log.m####.com/info
- ap####.v1.m####.com/dispatcher.do
- m####.api.m####.com/v2/mpns/report/heartbeat
- res####.a####.com/v3/log/init
- sdk.o####.p####.####.com/api.php?format=####&t=####
- www.qchann####.cn/center/adj
- www.qchann####.cn/center/adj?appkey=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1192248910
- /data/data/####/-726354474
- /data/data/####/-879664681
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.jgck
- /data/data/####/1827551938
- /data/data/####/1b246c68724a78d0ec9b5f9d8810168d
- /data/data/####/21f846f2e6c1072e6c2751627a5a8cdb
- /data/data/####/24f8f4a9a6fe4a6bf28b0e25ee2df704f237a7a343d6976...5177.0
- /data/data/####/2ce81ef5d2ab5899c1f90ad8b1f058db9187b93f24fd438...376f.0
- /data/data/####/3cb453d2d230e713f65e55302ff35798
- /data/data/####/4efebc993dbc7313b300aca896c25829
- /data/data/####/612eef715e973ba81803f79c5a4fcff4
- /data/data/####/614108960
- /data/data/####/6164488808ecdfe1bb669cf1488d6e4f
- /data/data/####/63d256ee60cee4ee17b08b491a238c67
- /data/data/####/64c504c7e6bc95ca97938c3e8ee3e32f
- /data/data/####/789994553
- /data/data/####/7ed20e6176c16d1128c5da4b59197a86
- /data/data/####/862ce5e2023f8cbdc0c0afe053bd9f2f
- /data/data/####/92952c868b80e48e0cff7037501cb4d9
- /data/data/####/94551ba5fd64dbb4fe1884338c29c870
- /data/data/####/HMTAGENT_INFO.xml
- /data/data/####/ImgoPad-journal
- /data/data/####/MGMI_PHONE-journal
- /data/data/####/MGTVCommon.xml
- /data/data/####/MGTVCommon.xml.bak
- /data/data/####/MGTVCommon.xml.bak (deleted)
- /data/data/####/PREF_NAME_AD_SHOW_TEXT.xml
- /data/data/####/QT.xml
- /data/data/####/SP_AROUTER_CACHE.xml
- /data/data/####/Statistics-journal
- /data/data/####/a67b75bfebfa7ba94b653b449ec92777
- /data/data/####/ae81d7248bac0c2ca6504ce5c1505f6b
- /data/data/####/af1df3a40b5d9149d181a0e95c7b1a2e
- /data/data/####/af28a56f9bf77200eee59a165b885c37
- /data/data/####/arch.xml
- /data/data/####/b07c12ea5a8c392d165321aa93a1cfca
- /data/data/####/b6607d4fb1bfb85348ae92163de6f9b0
- /data/data/####/bb554ac90f9c5d4402ba185a56b51769
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/classes3.dex
- /data/data/####/classes4.dex
- /data/data/####/classes5.dex
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/cn.com.mma.mobile.tracking.sdkconfig.xml
- /data/data/####/com.hunantv.imgo.activity.xml
- /data/data/####/com_mgmi_android.xml
- /data/data/####/config_file_name
- /data/data/####/d01e1944ee753d1afa5f12a170148812
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/ebbbc54554c0406bbcd15049b79aa0a0
- /data/data/####/exchangeIdentity.json
- /data/data/####/fb654a88507572cd36f702d04363342a
- /data/data/####/gin.db-journal
- /data/data/####/gls.db-journal
- /data/data/####/gtc.db-journal
- /data/data/####/hmt_agent_commonutill_com.hunantv.imgo.activity.xml
- /data/data/####/hmt_agent_commonutill_device_id.xml
- /data/data/####/hmt_agent_online_setting.xml
- /data/data/####/hmt_agent_online_setting.xml.bak
- /data/data/####/hmt_analytics
- /data/data/####/hmt_analytics-journal
- /data/data/####/hmt_init_savetime.xml
- /data/data/####/hmt_session_id_savetime.xml
- /data/data/####/journal
- /data/data/####/last_know_location.xml
- /data/data/####/libjiagu.so
- /data/data/####/mgtv_data_aphone_sdk.db-journal
- /data/data/####/openudid_prefs.xml
- /data/data/####/pref_name_screen_adapter.xml
- /data/data/####/proc_auxv
- /data/data/####/qtsession.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/union_traffic_free.xml
- /data/data/####/weibo_sdk_aid1
- /data/media/####/1_log.txt
- /data/media/####/34ea13b9ca7202c7253cd28c809e011e
- /data/media/####/8863f33a6cb65548a0381c176f70f499
- /data/media/####/9bd6c5af9b0fef3f1cb8f1cab9fdeb2d
- /data/media/####/AN.csv-20240323193923
- /data/media/####/TruthInfo.csv-1711211964108
- /data/media/####/UA.csv-20240323193924
- /data/media/####/UnicomTrafficFree.log
- /data/media/####/apion.csv-20240323193927
- /data/media/####/com.hunantv.imgo.activity_.db
- /data/media/####/d7faa0170e9c828bd04b7aa5ad1e85a5
- /data/media/####/e8950a24b4db3d59be988effffe9fcab
- /data/media/####/f0f5836927df1875e419854febb5a2ee
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/qt.csv.1711211961751.txt
- /data/media/####/uuid
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ps -P
Загружает динамические библиотеки:
- libJniBluringImage
- libimagepipeline
- libjiagu
- libmgtvp2p
- libmybreakpad
- libyfnet_mongotv_1.0.0.39
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
