Technical information
Malicious functions:
Executes code of the following detected threats:
- Android.DownLoader.571.origin
Accesses the ITelephony private interface.
Network activity:
Connects to:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.gplays####.com:80
- TCP(HTTP/1.1) fo####.ap####.cn:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) sdk.gplays####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
DNS requests:
- adser####.go####.com
- and####.cli####.go####.com
- api.gplays####.com
- fo####.ap####.cn
- sdk.gplays####.com
- ssl.gst####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
HTTP GET requests:
- fo####.ap####.cn/genuser.php?chid=####&subchid=####&vc=####&type=####&da...
HTTP POST requests:
- sdk.gplays####.com/rank/partner
File system changes:
Creates the following files:
- /data/data/####/classes.dex
- /data/data/####/ctrl_sp_com.excean.gspace.xml
- /data/data/####/extractInfo.xml
- /data/data/####/extracting.jar.lock
- /data/data/####/gameInfo.xml
- /data/data/####/global_config.xml
- /data/data/####/global_config.xml.bak
- /data/data/####/hello.xml
- /data/data/####/kxqpChannal.xml
- /data/data/####/kxqpplatform2.jar
- /data/data/####/kxqpplatform2.jar.lock
- /data/data/####/lb_amcfg
- /data/data/####/lb_packages
- /data/data/####/libkxqpplatform.sinfo
- /data/data/####/libzvmhelper.so
- /data/data/####/lio_statistics.db-journal
- /data/data/####/lock_app.xml
- /data/data/####/main.jar
- /data/data/####/platform.xml
- /data/data/####/search.db
- /data/data/####/search.db-journal
- /data/data/####/sp_app_cooperation_info.xml
- /data/data/####/sp_config.xml
- /data/data/####/sp_filtered.xml
- /data/data/####/sp_total_info.xml
- /data/data/####/srvtime.xml
- /data/data/####/tmp-1982636747tmp
- /data/data/####/tmp-81238796tmp
- /data/data/####/tmp.BT3814
- /data/data/####/tmp.BV4161
- /data/data/####/tmp.CD3762
- /data/data/####/tmp.DN3681
- /data/data/####/tmp.Dl2500
- /data/data/####/tmp.Dz2433
- /data/data/####/tmp.EL4470
- /data/data/####/tmp.ES4470
- /data/data/####/tmp.Fu3060
- /data/data/####/tmp.Fz4746
- /data/data/####/tmp.GW3282
- /data/data/####/tmp.Gd3722
- /data/data/####/tmp.Ge4161
- /data/data/####/tmp.Gv3893
- /data/data/####/tmp.IJ3629
- /data/data/####/tmp.Ip2309
- /data/data/####/tmp.Ix3629
- /data/data/####/tmp.JF4018
- /data/data/####/tmp.JY3550
- /data/data/####/tmp.Jb2540
- /data/data/####/tmp.Jf3060
- /data/data/####/tmp.Jl3681
- /data/data/####/tmp.KV4690
- /data/data/####/tmp.LL3191
- /data/data/####/tmp.LV2433
- /data/data/####/tmp.Mp2795
- /data/data/####/tmp.Nm3323
- /data/data/####/tmp.OD3282
- /data/data/####/tmp.Ok2712
- /data/data/####/tmp.Pn3362
- /data/data/####/tmp.Pr2581
- /data/data/####/tmp.Pr4391
- /data/data/####/tmp.QG4391
- /data/data/####/tmp.RM3762
- /data/data/####/tmp.Ri3893
- /data/data/####/tmp.Si4018
- /data/data/####/tmp.TO3496
- /data/data/####/tmp.TQ3978
- /data/data/####/tmp.Tg2966
- /data/data/####/tmp.UJ4431
- /data/data/####/tmp.UU4514
- /data/data/####/tmp.VB2394
- /data/data/####/tmp.VN4059
- /data/data/####/tmp.YA2309
- /data/data/####/tmp.YR3978
- /data/data/####/tmp.ZE4259
- /data/data/####/tmp.aB2309
- /data/data/####/tmp.aX3589
- /data/data/####/tmp.bm2540
- /data/data/####/tmp.bn3853
- /data/data/####/tmp.bv2834
- /data/data/####/tmp.ch3230
- /data/data/####/tmp.dW3853
- /data/data/####/tmp.db4431
- /data/data/####/tmp.dj2795
- /data/data/####/tmp.dp2309
- /data/data/####/tmp.eD2834
- /data/data/####/tmp.eD4563
- /data/data/####/tmp.ef3021
- /data/data/####/tmp.ez3150
- /data/data/####/tmp.fH2926
- /data/data/####/tmp.fJ2500
- /data/data/####/tmp.fK3453
- /data/data/####/tmp.fT2309
- /data/data/####/tmp.gP3191
- /data/data/####/tmp.go3021
- /data/data/####/tmp.iN2926
- /data/data/####/tmp.iV4746
- /data/data/####/tmp.jv2672
- /data/data/####/tmp.kF3589
- /data/data/####/tmp.kH4059
- /data/data/####/tmp.kd4122
- /data/data/####/tmp.ki3099
- /data/data/####/tmp.kj3496
- /data/data/####/tmp.ko2712
- /data/data/####/tmp.ko4339
- /data/data/####/tmp.lA3323
- /data/data/####/tmp.lu3230
- /data/data/####/tmp.mH3362
- /data/data/####/tmp.mU3722
- /data/data/####/tmp.me2632
- /data/data/####/tmp.mm4514
- /data/data/####/tmp.nO2672
- /data/data/####/tmp.nX2886
- /data/data/####/tmp.ng2966
- /data/data/####/tmp.oe3414
- /data/data/####/tmp.ov4339
- /data/data/####/tmp.pB4201
- /data/data/####/tmp.pu4300
- /data/data/####/tmp.qQ2754
- /data/data/####/tmp.qo2754
- /data/data/####/tmp.qt2632
- /data/data/####/tmp.rV4563
- /data/data/####/tmp.rW4300
- /data/data/####/tmp.sl3550
- /data/data/####/tmp.sp3414
- /data/data/####/tmp.st4602
- /data/data/####/tmp.sz4201
- /data/data/####/tmp.tA3453
- /data/data/####/tmp.tl3099
- /data/data/####/tmp.uV4259
- /data/data/####/tmp.um4690
- /data/data/####/tmp.vi2581
- /data/data/####/tmp.wR2366
- /data/data/####/tmp.xG4122
- /data/data/####/tmp.yE3150
- /data/data/####/tmp.yP3814
- /data/data/####/tmp.yd2309
- /data/data/####/tmp.zB2886
- /data/data/####/tmp.zC4602
- /data/data/####/tmp.zg2394
- /data/data/####/tmp.zu2366
- /data/data/####/userInfo.xml
- /data/media/####/.idcard
- /data/media/####/.nomedia
- /data/media/####/compVersion
- /data/media/####/verinfo.cfg
Miscellaneous:
Executes the following shell scripts:
- /system/bin/sh -c ps
- chmod 755 <Package Folder>/.platformcache/kxqpplatform2.jar
- chmod 755 <Package Folder>/.platformcache/main.jar
- ps
Loads the following dynamic libraries:
- apmeplt
- libkxqpplatform
- libzvmhelper
Uses the following algorithms to encrypt data:
- AES-ECB-PKCS5Padding
Uses the following algorithms to decrypt data:
- AES-ECB-PKCS5Padding
Gets information about phone status (number, IMEI, etc.).
Gets information about installed apps.
Adds tasks to the system scheduler.
Displays its own windows over windows of other apps.
