Adware.Gexin.4523

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) aliyun-####.al####.com:80
TCP(HTTP/1.1) 1####.254.116.117:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) a####.a####.m.####.com:80
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP 47.74.1####.158:5222
TCP c####.g####.ig####.com:5225
TCP t####.qq.com:443
TCP t####.qq.com:8080
TCP 4####.62.94.2:443
TCP sdk.o####.t####.####.com:5224
TCP ope####.m.ta####.com:443

Запросы DNS:

a####.m.ta####.com
acc####.m.ta####.com
acs4pu####.m.ta####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
ag####.m.ta####.com
beacon####.aliy####.com
c####.g####.ig####.com
mpush####.al####.com
pi####.qq.com
regi####.xm####.xi####.com
reso####.msg.xi####.net
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.qq.com

Запросы HTTP GET:

reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
t####.c####.q####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&deviceId=####&pla...
aliyun-####.al####.com/config
beacon####.aliy####.com/beacon/fetch/config/byappkey
pi####.qq.com/mstat/report/?index=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.tpns.service.xml.xml
/data/data/####/.tpns.settings.xml.xml
/data/data/####/.tpush_mta.xml
/data/data/####/ACCS_BIND24765422.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/UTCommon.xml
/data/data/####/XMPushServiceConfig.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ap.Lock
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.edutao.xxztc.android.parents.mid.world.ro.xml
/data/data/####/com.edutao.xxztc.android.parents.xml
/data/data/####/com.edutao.xxztc.android.parents;pushservice
/data/data/####/com.edutao.xxztc.android.parents_preferences.xml
/data/data/####/device_id.xml
/data/data/####/eudemon
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-1373361038.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/pref_registered_pkg_names.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/tiny_data.data
/data/data/####/tiny_data.lock
/data/data/####/tpush.shareprefs.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xg_message.db
/data/data/####/xg_message.db-journal
/data/media/####/.nomedia
/data/media/####/436e632265b949aebeecd3f8cb736fe9
/data/media/####/614273b3b1f24e2e8c684d36159d8edc
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/com.edutao.xxztc.android.parents.bin
/data/media/####/com.edutao.xxztc.android.parents.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/lcfp
/data/media/####/lcfp.lock

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"24765422","utdid":"W+PQNlPbgHMDAGdzx1EL/FV4","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/lib/libxguardian.so <Package>,2100274492;<Package>,2100274492; 55379 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : c23cc25b4d3e4fc221709a5476bdb34f58e2df2e , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 3.2 , mf : unknown , apn : %s }}] 0 18
<Package Folder>/lib/libxguardian.so <Package>,2100274492;<Package>,2100274492; 55972 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : c23cc25b4d3e4fc221709a5476bdb34f58e2df2e , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 3.2 , mf : unknown , apn : %s }}] 0 18
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: