Adware.Gexin.10329

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/0d551843b5e15311d55ab747436c6c87.0.tmp
/data/data/####/0d551843b5e15311d55ab747436c6c87.1.tmp
/data/data/####/11448761cd321ba3698663b171058986.0.tmp
/data/data/####/11448761cd321ba3698663b171058986.1.tmp
/data/data/####/25591077.1365602
/data/data/####/25591077.1365602 (deleted)
/data/data/####/25591077.8969295
/data/data/####/25591077.8969295 (deleted)
/data/data/####/25591081.5979251
/data/data/####/25591081.5979251 (deleted)
/data/data/####/25591082.9870231
/data/data/####/25591082.9870231 (deleted)
/data/data/####/563d5d320e4a4279881ce5478f6a59ed.0.tmp
/data/data/####/563d5d320e4a4279881ce5478f6a59ed.1
/data/data/####/563d5d320e4a4279881ce5478f6a59ed.1.tmp
/data/data/####/7e31b0b2d4bf8531b114294bb36d4e08.0.tmp
/data/data/####/7e31b0b2d4bf8531b114294bb36d4e08.1.tmp
/data/data/####/99f01a09421548a91bc8c372b69c854f.0.tmp
/data/data/####/99f01a09421548a91bc8c372b69c854f.1
/data/data/####/99f01a09421548a91bc8c372b69c854f.1.tmp
/data/data/####/aeae71c027efb2d4d0e925c7a842f292.0.tmp
/data/data/####/aeae71c027efb2d4d0e925c7a842f292.1.tmp
/data/data/####/b7b0f0087f9689e2d79dce5730cd21d0.0.tmp
/data/data/####/b7b0f0087f9689e2d79dce5730cd21d0.1.tmp
/data/data/####/bb44e4bb2827a664ffa36f924f3bc31c.0.tmp
/data/data/####/bb44e4bb2827a664ffa36f924f3bc31c.1.tmp
/data/data/####/d4f80cc561cf2671d723c4ff20f98d77.0.tmp
/data/data/####/d4f80cc561cf2671d723c4ff20f98d77.1.tmp
/data/data/####/e0988b5c405f
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-799048266.so
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/user_data.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nomedia
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/66_1513561449361.jpg.tmp
/data/media/####/67_1513561471854.jpg.tmp
/data/media/####/70_1513577872078.jpg.tmp
/data/media/####/72_1513580526254.jpg.tmp
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/net.zdsoft.zerobook_android.bin
/data/media/####/net.zdsoft.zerobook_android.db
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/test.log
/data/media/####/zerobook-release-2.2.3-2019022118.apk

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/net.zdsoft.zerobook.common.business.service.getui.GeTuiPushService 25792 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-799048266.so
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/net.zdsoft.zerobook.common.business.service.getui.GeTuiPushService 25792 300 0

Загружает динамические библиотеки: