Adware.Gexin.3396

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) api.d####.com:80
TCP(HTTP/1.1) he.1####.gov.cn:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) api.m.ta####.com:80
TCP(HTTP/1.1) res####.a####.com:80
TCP(TLS/1.0) res####.a####.com:443

Запросы DNS:

a####.m.ta####.com
ag####.m.ta####.com
amap####.cn-hang####.oss####.####.com
api####.a####.com
api.d####.com
api.m.ta####.com
he.1####.gov.cn
log.u####.com
m####.d####.com
mt####.go####.com
res####.a####.com

Запросы HTTP GET:

api.d####.com/20181001/e99dad1f-70db-4eaa-b5de-484eecfa0bdc.jpg
api.d####.com/20181002/f23f1e60-4b51-446e-ae25-5a072362b62f.jpg
api.m.ta####.com/activeip/?appkey=####&ttid=####&deviceId=####&imei=####...
api.m.ta####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=####...
api.m.ta####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=####&a...
api.m.ta####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####&v=#...
api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
et2-na6####.wagbr####.ali####.####.com/bar/get/56a87bc8e0f55a6d8700326c/...
he.1####.gov.cn/
he.1####.gov.cn/group7/M00/4F/70/wKgVD1ujGFyAR_gyAAFUReDLydI723.jpg
he.1####.gov.cn/group7/M00/6D/AF/wKgVDlurOhKAUzYWAAiUbqYALsU581.png
he.1####.gov.cn/group7/M02/49/42/wKgVD1ugWRuAbwGGAAAbl8pjuDM114.jpg
he.1####.gov.cn/group7/M02/56/BD/wKgVDluklPiAMkVMAAKXHJEmiGI827.jpg
he.1####.gov.cn/group7/M03/68/A7/wKgVDlup9WGAFrdXAAVAIzj1WaE776.png
he.1####.gov.cn/static/css/bootstrap.min.css
he.1####.gov.cn/static/css/font-awesome.min.css
he.1####.gov.cn/static/css/images/busi_214.png
he.1####.gov.cn/static/css/images/gabjtkys2.jpg
he.1####.gov.cn/static/css/images/icon_hotspot_red.png
he.1####.gov.cn/static/css/images/jtaqwfb.jpg
he.1####.gov.cn/static/css/images/mhs_icons.png
he.1####.gov.cn/static/css/images/ui-color.png
he.1####.gov.cn/static/css/images/ui-header.png
he.1####.gov.cn/static/css/images/ui.png
he.1####.gov.cn/static/css/main.css
he.1####.gov.cn/static/font/fontawesome-webfont.ttf?v=####
he.1####.gov.cn/static/img/batb.png
he.1####.gov.cn/static/js/base.js
he.1####.gov.cn/static/js/ie6.js
he.1####.gov.cn/static/jsthird/require.js
he.1####.gov.cn/static/jsthird/respond.js
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so

Запросы HTTP POST:

api.d####.com/dapi/v4
api.d####.com/dapi/v4/city/getcity
api.d####.com/dapi/v4/version
res####.a####.com/v3/log/init

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-18982218061951723671
/data/data/####/.jg.ic
/data/data/####/1870648358-348616142
/data/data/####/616114674997354933
/data/data/####/AGOO_CONNECT.xml
/data/data/####/AGOO_HOST.xml
/data/data/####/Alvin2.xml
/data/data/####/AppStore.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MsgLogStore.db-journal
/data/data/####/PhoneUtil.xml
/data/data/####/UmengLocalNotificationStore.db-journal
/data/data/####/agoo.pid
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dyhapp.db
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/index
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mobclick_agent_cached_com.dyh.drivingschool3659
/data/data/####/multidex.version.xml
/data/data/####/pref.xml
/data/data/####/sp_tourist.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/1888488600.tmp
/data/media/####/311102930.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.umeng.message.UmengService --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_android_daemon_1.1.0 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:56a87bc8e0f55a6d8700326c","utdid":"W7WAYu0ETbgDAGdzx1FBC5v6","sdkVersion":"20160215"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
sh

Загружает динамические библиотеки: