Adware.Gexin.10001

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) 1####.76.99.124:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) ws-oss-####.syrn####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) p####.aotuban####.com:80
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) t####.j####.cn:443
UDP s.j####.cn:19000
TCP 3####.98.67.99:7000

Запросы DNS:

124.99.76.####.arpa
a####.b####.qq.com
aexcep####.b####.qq.com
ali-s####.j####.cn
and####.b####.qq.com
gd-s####.j####.cn
l####.tbs.qq.com
p####.aotuban####.com
s.j####.cn
t####.j####.cn
ws-oss-####.syrn####.com

Запросы HTTP GET:

p####.aotuban####.com/index.php/appApi/request/ac/getUrlInfo?ac=####&app...
ws-oss-####.syrn####.com/bxvip/androidres/plugin/a.b.c.d.e.boot.json

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-106815946
/data/data/####/-1256049348
/data/data/####/-1548376672
/data/data/####/-1578142395
/data/data/####/-1795434967
/data/data/####/-1813379398
/data/data/####/-894512560
/data/data/####/0c5d3522-11a1-4ee2-9a8d-eb8e01ea106c
/data/data/####/1256040752
/data/data/####/1391917710
/data/data/####/17195168
/data/data/####/2110136299
/data/data/####/46695e45-bec2-41d8-ab1c-c1842322521e
/data/data/####/66c8f774-e1b2-49bb-aef8-c3f6826c8687
/data/data/####/JPushSA_Config.xml
/data/data/####/a.b.c.d.e-10-10-146.jar
/data/data/####/a.b.c.d.e.cache-10-10-100.jar
/data/data/####/aaebe3ca-3543-4af0-a311-f39b41886c74
/data/data/####/appPackageNames_v2
/data/data/####/bd440342-4721-429d-92fa-12622c7dc35a
/data/data/####/bugly_db_legu-journal
/data/data/####/calendar.db
/data/data/####/calendar.db-journal
/data/data/####/cba07ca9-109e-4cb6-88b3-4409b1598863
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.android.user.profile.xml.bak
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.wannianli.yearli_preferences.xml
/data/data/####/com.wannianli.yearli_preferences.xml.bak
/data/data/####/core_info
/data/data/####/daemon
/data/data/####/imei.xml
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/native_record_lock
/data/data/####/p.l
/data/data/####/plugin_376d44695d5a674865.xml
/data/data/####/plugin_376d4a67614865.xml
/data/data/####/plugin_com.wannianli.yearli_preferences.xml
/data/data/####/plugin_v3_a.b.c.d.e-10-10-146.jar.lock
/data/data/####/plugin_v3_a.b.c.d.e.cache-10-10-100.jar.lock
/data/data/####/security_info
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/ormlite-db-date.db-journal

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/app_bin/watcher -p <Package> -b 0 -u http://180.76.99.124/api/device2?action=uninstall&device_id=885cfc14b56d4f62&platform=Android&sign=3abcd99aaaefa9ab72b94e3c821bbaf2cde42c13
chmod 700 /data/user/0/<Package>/app_bin/daemon
chmod 700 /data/user/0/<Package>/tx_shell/libnfix.so
chmod 700 /data/user/0/<Package>/tx_shell/libshella-3.0.0.0.so
chmod 700 /data/user/0/<Package>/tx_shell/libufix.so
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ps