Adware.Gexin.8948

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.leanc####.cn:443
TCP(TLS/1.0) app-ro####.leanc####.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
api.leanc####.cn
app-ro####.leanc####.cn
c####.g####.ig####.com
c-h####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ntt510
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/17bb9fbee03d1092e28dec1210172225
/data/data/####/1c19b172d9aaacd9d977151e66af03a4
/data/data/####/1d4dd88aab4e38f068870e04d00e04a6
/data/data/####/38e37fa9402272e804ef65dc7e5c90c7
/data/data/####/44c7491fc74bea9b6520df19cddc5164
/data/data/####/4fffdb7b46151a014f76f617f1104c94
/data/data/####/65ea6929dbc410e5ec289c94520c38af
/data/data/####/6c82d232621de540f2d1897329e6688e
/data/data/####/8faca97648a6a363948d9448e3bbf7e2
/data/data/####/92425d2e0cfeb0b936fc30c346a244e8
/data/data/####/938c265dfd566c3a04a3365d8cbae411
/data/data/####/AVOSCloud-SDK.xml
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/acd16de37c70eb4115695477cc67a1d0
/data/data/####/avoscloud-analysis
/data/data/####/b0fe50d96fe001c50034cf009a556852
/data/data/####/books.db
/data/data/####/books.db-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.analysis.xml
/data/data/####/com.avos.avoscloud.approuter.kRaehv7O8LaNCMOwLq...sz.xml
/data/data/####/ef1847b6d5f53d5fc040362da4b3ea53
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu.so
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.zqhaicheng.pdfreader.bin
/data/media/####/com.zqhaicheng.pdfreader.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ntt510
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.zqhaicheng.reader.service.PushService 25410 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
dumpsys meminfo 2274
dumpsys meminfo 2380
dumpsys meminfo 2477
dumpsys meminfo 2557
dumpsys meminfo 2641
dumpsys meminfo 2707
dumpsys meminfo 2786
dumpsys meminfo 2857
dumpsys meminfo 2932
dumpsys meminfo 2998
dumpsys meminfo 3064
dumpsys meminfo 3139
dumpsys meminfo 3207