Adware.Gexin.10812

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(TLS/1.0) i####.xing####.cn:443
TCP(TLS/1.0) and####.xing####.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

and####.xing####.cn
c####.g####.ig####.com
c-h####.g####.com
i####.xing####.cn
i####.xing####.cn
log.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/5b67b501a40fa33d25000013/...
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/029c132eaabceebe1bcf86be8c19432e81509d1342c40ae....0.tmp
/data/data/####/17b37baa914a8fa6c23fded468f5ca5c6526d49bc11c672....0.tmp
/data/data/####/201f576c88d2ccebb6386c45c7a3e132fc61a1bbe4c5ff5....0.tmp
/data/data/####/2595c7e5ff3cc753f5649a7409226a5089fccebab79cae9....0.tmp
/data/data/####/27e55572ddc254ded44d33b40ee8bbd17b19381d4a583de....0.tmp
/data/data/####/37d8dd987e0a4e75c73e08c4e02c2bd11d1834c141d0648....0.tmp
/data/data/####/4bf99d3c6960ba93207b102857918087972cf77523c5587....0.tmp
/data/data/####/4ceb470b5b44da65d52718a69a67518bc04e06e30781c13....0.tmp
/data/data/####/4f42992e5f883eb706acdf9987311613a42a65152cb2b9d....0.tmp
/data/data/####/5167df218ae754699f046e9db26bfb118897369d4903709....0.tmp
/data/data/####/582bd706fbc72bcc8e954017a613d06f9222c3fb0dae420....0.tmp
/data/data/####/5ac3b0bcb8e8cbd3036a9df4cea591eeed261dddf429f0b....0.tmp
/data/data/####/604fa98e524f1c933de1230af32ac2b58d2e4b1dc5de4db....0.tmp
/data/data/####/6af96a6c992a9a8b5958eeea1355a96af8f53731d98d275....0.tmp
/data/data/####/9535336fbfd53e79eec681146ce0b7764004bcab2cdb50c....0.tmp
/data/data/####/95e20ed7c756262676a28bcc662fd206adef93b7285c945....0.tmp
/data/data/####/9774c0311ec5a605ac96ea5443e71fa6ea64061f7cf7fc1....0.tmp
/data/data/####/9b0ca326ed4aec164dce7ff803eded188ed312fbd88b248....0.tmp
/data/data/####/FavDATA.xml
/data/data/####/MiscDATA.xml
/data/data/####/ReadSetting.xml
/data/data/####/UserDATA.xml
/data/data/####/a2cd0f2d0df15585e03204608a940852808bc07ccfcb43e....0.tmp
/data/data/####/b627f11573cfa604912e8d8bd1ab267244d10c051bc8684....0.tmp
/data/data/####/core_info
/data/data/####/d0f37479eec6d65e0ac52b29bda44d7ef59870441ba351a....0.tmp
/data/data/####/d81f4edd0b5ddb07209717144b807b5dc57eb03c68ac9c7....0.tmp
/data/data/####/e4f00e52ba02a4315a455bb58b7b215cdb4c5a99f4f4a2e....0.tmp
/data/data/####/fistInstall.xml
/data/data/####/gdaemon_20161017
/data/data/####/gdt_ad_info.xml
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hong.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-1939308213.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sex_flag_name.xml
/data/data/####/umeng_socialize.xml
/data/media/####/-549026594
/data/media/####/.nomedia
/data/media/####/2001355347
/data/media/####/231857.sht
/data/media/####/231858.sht
/data/media/####/231859.sht
/data/media/####/231860.sht
/data/media/####/231861.sht
/data/media/####/231862.sht
/data/media/####/231863.sht
/data/media/####/231864.sht
/data/media/####/231865.sht
/data/media/####/231866.sht
/data/media/####/235378.sht
/data/media/####/235379.sht
/data/media/####/235380.sht
/data/media/####/235381.sht
/data/media/####/235382.sht
/data/media/####/235383.sht
/data/media/####/235384.sht
/data/media/####/235385.sht
/data/media/####/235386.sht
/data/media/####/235387.sht
/data/media/####/245022.sht
/data/media/####/245023.sht
/data/media/####/245024.sht
/data/media/####/245025.sht
/data/media/####/245026.sht
/data/media/####/245027.sht
/data/media/####/245028.sht
/data/media/####/245029.sht
/data/media/####/245030.sht
/data/media/####/245031.sht
/data/media/####/272903436
/data/media/####/app.db
/data/media/####/cn.xingread.free.bin
/data/media/####/cn.xingread.free.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/store_cache_grilzh_TW
/data/media/####/store_category_grilzh_TW
/data/media/####/store_rank_grilzh_TW
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.PushService 24569 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1939308213.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.PushService 24569 300 0

Загружает динамические библиотеки: