Adware.Gexin.8868

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 1####.205.163.87:80
TCP(HTTP/1.1) s####.tinkerp####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) app.yi####.co:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP sdk.o####.t####.####.com:5224
TCP 4####.62.94.2:443
TCP c####.g####.ig####.com:5225
TCP openj####.m.ta####.com:80
TCP 1####.205.160.76:443
TCP 47.74.1####.156:5222

Запросы DNS:

a####.man.aliy####.com
a####.u####.com
ag####.m.ta####.com
amap####.cn-hang####.oss####.####.com
api.map.b####.com
api.w####.com
app.yi####.co
c####.g####.ig####.com
c.sz.gt.####.com
msg.umengc####.com
q.tinkerp####.com
regi####.xm####.xi####.com
res####.a####.com
reso####.msg.xi####.net
s####.tinkerp####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
umengj####.m.ta####.com

Запросы HTTP GET:

reso####.msg.xi####.net/gslb/?ver=3.0&type=wap&conpt=dvidpodv >>4>>4>>4...
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so

Запросы HTTP POST:

a####.u####.com/app_logs
s####.tinkerp####.com/err.php
s####.tinkerp####.com/succ.php
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
ti####.c####.l####.####.com/f522a293d17c0a20/1.1.0/file2?d=####&v=####
ti####.c####.l####.####.com/f522a293d17c0a20/1.1.0?d=####&v=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/1.1.0_2.apk
/data/data/####/ACCS_BIND.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DRLogger66803444tmp
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/XMPushServiceConfig.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/authStatus_com.ingtube.yingtu.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.ingtube.yingtu;mipush
/data/data/####/config.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/multidex.version.xml
/data/data/####/patch-8c1e03a4.apk
/data/data/####/patch.retry
/data/data/####/patch_server_config.xml
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/setting.xml
/data/data/####/temp.apk
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/version.info
/data/data/####/version.lock
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weibo_sdk_aid1
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/226587d8d9bd4d00b9bd75a0fd302c28
/data/media/####/92f84e1748cb4888a2ab9da22f2b226f
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a23904bf889449629619c027d3a2be21
/data/media/####/accs_election
/data/media/####/als.db
/data/media/####/als.db-journal
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.ingtube.yingtu.db
/data/media/####/deviceToken
/data/media/####/log.lock
/data/media/####/log1.txt

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:57e8b3dd67e58e255e001ffa","utdid":"XG4yFR5nuS8DAGdzx1EUTwTq","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
sh

Загружает динамические библиотеки: