Adware.Gexin.5279

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) f####.yy.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) m####.h####.com:80
TCP(HTTP/1.1) crash-r####.yy.com:80
TCP(TLS/1.0) f####.yy.com:443
TCP(TLS/1.0) short-y####.yy.com:443
TCP ope####.m.ta####.com:443
TCP 2####.119.215.163:80

Запросы DNS:

ag####.m.ta####.com
amdc####.m.ta####.com
crash-r####.yy.com
do.yy.du####.com
f####.yy.com
m####.h####.com
norma-e####.m####.com
short-y####.yy.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

norma-e####.m####.com/android/exchange/getpublickey.do

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
crash-r####.yy.com/dau/reporting
f####.yy.com/anr/reporting
f####.yy.com/dau/reporting
m####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...
norma-e####.m####.com/push/android/external/add.do

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/ACCS_BINDumeng;57b5550467e58e036a0029be.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/ANRDB_yym35and.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/CrashPref.xml
/data/data/####/DaemonServer
/data/data/####/MakeFriends_Common.xml
/data/data/####/MakeFriends_Splash.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/com.yy.shortpushsvc.db-journal
/data/data/####/getui_sp.xml
/data/data/####/global.cfg
/data/data/####/hd_default_pref.xml
/data/data/####/hdcltid.xml
/data/data/####/hdid.bck
/data/data/####/hdid_v2
/data/data/####/hdstatis_cache_4b04df0e.db-journal
/data/data/####/hduuid_v1
/data/data/####/init_c1.pid
/data/data/####/libjiagu543564182.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/yymobile_log_files.xml
/data/media/####/.nomedia
/data/media/####/121411ff72e64c27b65f06da1f0780e3
/data/media/####/165422f8-03a4-4937-bbee-49c40020a38e.syslog
/data/media/####/2018-11-25.log.txt
/data/media/####/26f3e3ce8ad84a0b8941bb3066c574d6
/data/media/####/32ce56d20f4b41358f48332dc763dcc8
/data/media/####/33a270fd-ac29-4f89-8030-e97503b232fc.syslog
/data/media/####/3aff15570ac64cb5b3ae620bbde792fd
/data/media/####/6472f07d956d4e87afdcf5cb9d1b9b75
/data/media/####/7d014db16871456f96126396a3870e84
/data/media/####/86e111c409cd432d9041df5bf6a28ecc
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Device
/data/media/####/Device_v2
/data/media/####/Global
/data/media/####/LogPath.txt
/data/media/####/b5cc6e2f055d42c0b04c5f7ab21027d3
/data/media/####/ca0a1b78-d94e-412d-990b-694e80d85c21.syslog
/data/media/####/crashde344d6a-e9a4-45cf-a9e5-62a15ab6c768.log
/data/media/####/da667609d54145a0a7f02cd9c2955a48
/data/media/####/de344d6a-e9a4-45cf-a9e5-62a15ab6c768.zip
/data/media/####/deviceToken
/data/media/####/e0323fb4134044f1ab28b19a8a77f5ec
/data/media/####/e8979b9b-72ba-4605-a23a-bfceda920144.syslog
/data/media/####/ff13060df15d2e0ce3bab5b4f6c4ee2d.0.tmp
/data/media/####/ff13060df15d2e0ce3bab5b4f6c4ee2d.1.tmp
/data/media/####/hdcltid.ini
/data/media/####/hdstatis_20181125.log
/data/media/####/hduuid_v1
/data/media/####/info.txt
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/logs_2018_11_25_01_45.txt
/data/media/####/logs_2018_11_25_01_46.txt
/data/media/####/pushsvc_log.txt

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:57b5550467e58e036a0029be","utdid":"W/n+zxvosS4DAGdzx1FKmSS9","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu543564182.so
ls -l /system/bin/su
sh

Загружает динамические библиотеки: