Adware.Gexin.9208

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sm.51hao####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) lica####.oss-cn-####.aliy####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
l####.tbs.qq.com
lica####.oss-cn-####.aliy####.com
plb####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sm.51hao####.com
u####.u####.com
u####.umengc####.com

Запросы HTTP GET:

sm.51hao####.com/account/loanData?bookID=####&page=####&platform=####&cu...
sm.51hao####.com/account/myBook?platform=####&curVer=####&chnl=####&devc...
sm.51hao####.com/system/version?platform=####&curVer=####&chnl=####&devc...
t####.c####.q####.####.com/tdata_OPb601
t####.c####.q####.####.com/tdata_YYn966
t####.c####.q####.####.com/tdata_lOE499
t####.c####.q####.####.com/tdata_nmo636
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sm.51hao####.com/assets/statistic
sm.51hao####.com/assets/statisticDetail
sm.51hao####.com/system/ad

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/129aaf4f0a91985003dc8b1a0f44b4c9fa5d3964fa4b96e....0.tmp
/data/data/####/3b8075e8ec0776198759561d09d2dd05e7b9dfd973465ad....0.tmp
/data/data/####/5b3911ea2c251cb2728e6c1581d67541c7f952bc5d8b5cf....0.tmp
/data/data/####/6f89c0ef3daf6ac50b3b5932ec4fa501596428bcf8a3b7a....0.tmp
/data/data/####/8505149a125f1a39a00f297af48538254d4ad17bbb0903d....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/a509c1cc639ddeccc283ed614e6f213cd8cfbfbd201aed7....0.tmp
/data/data/####/a==7.5.3&&1.0_1551203307888_envelope.log
/data/data/####/b7cebd7bfb501c639584d7a89f97567c723f601ced405d8....0.tmp
/data/data/####/bab9dbc83d8008f6bb92cbbf4dc23453095c41007ed88cb....0.tmp
/data/data/####/basic_params.xml
/data/data/####/bugly_db_-journal
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMjAzMzA3MzM1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMjAzMzM5MDM4;
/data/data/####/e1deb0dee61494cbd62a9ad86a01236fcbcf0d962010cc8....0.tmp
/data/data/####/e7036ad610d179e82a46f4d1a7bf864b8cf04d8a08c7f4f....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f6cb75d5c46f429b9b88877d9651c2cf3fd43f2fa6a6e0b....0.tmp
/data/data/####/fa44ecfb39960d2900fb6d8ecd12276865ccf10c23d75fb....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&1.0_1551203307356_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu1750631961.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tbs_download_stat.xml
/data/data/####/tbslock.txt
/data/data/####/tdata_OPb601
/data/data/####/tdata_OPb601.jar
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_lOE499
/data/data/####/tdata_lOE499.jar
/data/data/####/tdata_nmo636
/data/data/####/tdata_nmo636.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/app.db
/data/media/####/com.fz.godcat.bin
/data/media/####/com.fz.godcat.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_OPb601
/data/media/####/tdata_YYn966
/data/media/####/tdata_lOE499
/data/media/####/tdata_nmo636
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GetuiPushService 24261 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1750631961.so
getprop
ls /sys/class/thermal

Загружает динамические библиотеки: