Adware.Gexin.5407

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) p####.5####.com.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(SSL/3.0) report####.58.com:443
TCP(TLS/1.0) api####.58.com.cn:443
TCP(TLS/1.0) chi####.58.com:443
TCP(TLS/1.0) report####.58.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) p####.5####.com.####.com:443
TCP c####.g####.ig####.com:5226
TCP 4####.62.94.2:443
TCP sdk.o####.t####.####.com:5224
TCP 47.74.1####.157:5222

Запросы DNS:

7j####.c####.z0.####.com
api####.58.com.cn
api.map.b####.com
api.w####.com
bindw####.58.com
c####.g####.ig####.com
c-h####.g####.com
chi####.58.com
loc.map.b####.com
mt####.go####.com
o####.map.b####.com
p####.5####.com.cn
p####.5####.com.cn
pub-####.qin####.com
regi####.xm####.xi####.com
report####.58.com
reportw####.58.com
reso####.msg.xi####.net
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

p####.5####.com.####.com/nowater/nhr/logo/n_v2cda76982ba494b819c8312f0e9...
reso####.msg.xi####.net/gslb/?ver=4.0&type=wap&conpt=dvidpodv >>4>>4>>4...
t####.c####.q####.####.com/tdata_YYn966
t####.c####.q####.####.com/tdata_eOt091
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/ChinaHR.xml
/data/data/####/MGWpgCIeEZQI0wufeCIpOqllzI4.828920558.tmp
/data/data/####/MultiDex.lock
/data/data/####/NOdk0OS47pCvbquNRIgyMWq-M3I.83018909.tmp
/data/data/####/NTtpcGuVZV-WiE075VNUqLNrPKI.-1321587970.tmp
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/Txm5k96P2ztpdCdmmMWbXi2d1R4.1713416451.tmp
/data/data/####/WBPUSH.xml
/data/data/####/WBPush.db-journal
/data/data/####/WMDALITE.xml
/data/data/####/WMDALITE.xml.bak
/data/data/####/XMPushServiceConfig.xml
/data/data/####/authStatus_com.chinahr.android.m;baidulocation.xml
/data/data/####/base_info_sp.xml
/data/data/####/bugly_db_-journal
/data/data/####/com.chinahr.android.m;pushservice
/data/data/####/crashrecord.xml
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu-1605037556.so
/data/data/####/log.db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/tiny_data.data
/data/data/####/tiny_data.lock
/data/data/####/universal_info.db-journal
/data/data/####/v31df8ixEx-6a3IkA-swszceSpU.733013819.tmp
/data/data/####/wmda.db
/data/data/####/wmda.db-journal
/data/data/####/wmdalite
/data/data/####/wmdalite-journal
/data/data/####/wuba_loginParams.xml
/data/data/####/wuba_signature.xml
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/app.db
/data/media/####/com.chinahr.android.m.bin
/data/media/####/com.chinahr.android.m.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/log.lock
/data/media/####/log.txt
/data/media/####/log1.txt
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.wuba.wbpush.service.WBPushService 25036 300 0
cat /proc/cpuinfo
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.wuba.wbpush.service.WBPushService 25036 300 0

Загружает динамические библиотеки: