Adware.Gexin.4971

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pub-####.qin####.com:80
TCP(HTTP/1.1) if####.bj.opensto####.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) ads.voic####.cn:80
TCP(HTTP/1.1) api.voic####.cn:80
TCP(HTTP/1.1) hn1.api.oka####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) yu####.3g.qq.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
ads.voic####.cn
api.voic####.cn
c####.g####.ig####.com
c-h####.g####.com
hn1.api.oka####.com
if####.bj.opensto####.cn
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
yu####.3g.qq.com

Запросы HTTP GET:

api.voic####.cn/hotUpdate/?ver=####
hn1.api.oka####.com/?s=####&key=####&app_key=####
if####.bj.opensto####.cn/sdk/AdDex.3.2.1.dex
pub-####.qin####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_SBh025
t####.c####.q####.####.com/tdata_ZKm258

Запросы HTTP POST:

ads.voic####.cn/ad/request
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/183ad45633083b68c2ab187ae4b95e88.0.tmp
/data/data/####/183ad45633083b68c2ab187ae4b95e88.1.tmp
/data/data/####/542ddab772a4bac52d29d5626ef0dd6c8660f0e7ae86a3c....0.tmp
/data/data/####/7a5932e51421
/data/data/####/AdDex.3.2.0.dex
/data/data/####/AdDex.3.2.1.dex
/data/data/####/HalleyServicePreferences_100.xml
/data/data/####/HalleyServicePreferences_100_.xml
/data/data/####/MultiDex.lock
/data/data/####/adsp.xml
/data/data/####/bc1dd10586d1c08c94baa3d47a8a70eed2999eb93e012af....0.tmp
/data/data/####/cc_c_t_m_l_txsdk.xml
/data/data/####/duomi.xml
/data/data/####/ed60e191ec4e3c705797c7cc5a0d444d07225d2627c3b1e....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/halley_schedule_100__HttpSchedulerClient.db-journal
/data/data/####/halley_schedule_100__HttpSchedulerHandler.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-4147309.so
/data/data/####/multidex.version.xml
/data/data/####/permission-2072051733test
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_SBh025
/data/data/####/tdata_SBh025.jar
/data/data/####/tdata_ZKm258
/data/data/####/tdata_ZKm258.jar
/data/data/####/webview.db-journal
/data/media/####/app.db
/data/media/####/com.duomi.ky.bin
/data/media/####/com.duomi.ky.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_SBh025
/data/media/####/tdata_ZKm258
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24181 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount

Загружает динамические библиотеки: