Adware.Gexin.11914

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) css.k####.cn.####.net:80
TCP(HTTP/1.1) m####.k####.cn:80
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) a####.a####.m.####.com:443
TCP ope####.m.ta####.com:443
TCP openj####.m.ta####.com:80

Запросы DNS:

a####.m.ta####.com
a####.u####.com
ag####.m.ta####.com
css.k####.cn
m####.k####.cn
m####.k####.cn
mobi####.k####.cn
mobilei####.k####.cn
msg.umengc####.com
n####.k####.cn
umen####.m.ta####.com
umengj####.m.ta####.com
v####.k####.cn

Запросы HTTP GET:

css.k####.cn.####.net/kwappconf/switch/config.html
m####.k####.cn/MobileAdServer/GetMobileAd.do?isNew=####&ver=####&appuid=...
m####.k####.cn/MobileAdServer/getIsHideAd.do?ver=####&src=####&appuid=##...
m####.k####.cn/er.s?deviceid=####&prod=####&corp=####&vipver=####&source...
m####.k####.cn/mobi.s?f=####&q=####
m####.k####.cn/mobi.s?f=####&q=XWGUx####
m####.k####.cn/regsvr.auth?1####&XwgED1R####
m####.k####.cn/vip/v2/sysinfo?op=####&platform=####&isShowNewPayConfig=#...

Запросы HTTP POST:

a####.u####.com/app_logs

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/ACCS_BINDumeng;50cfd4e752701564a4000019.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cn.kuwo.tingshu_preferences.xml
/data/data/####/cn_kuwo_skin_pref.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/flow.xml
/data/data/####/kw_tingshu.db-journal
/data/data/####/kwplayer.db-journal
/data/data/####/libjiagu-1404811113.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/reomte_shared_prefence.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/-325211977.62037_2019_04_08_00_00_00.dat
/data/media/####/-948018651.4438_2019_04_07_08_00_00.dat
/data/media/####/.nomedia
/data/media/####/1789521732.4438_2019_04_07_08_00_00.dat
/data/media/####/361042674.61974_2019_04_08_00_00_00.dat
/data/media/####/53cb8546b1d946ec9489791c908911c1
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/White.skin
/data/media/####/ae_eq_2016.dat
/data/media/####/deviceToken
/data/media/####/gameConf
/data/media/####/info
/data/media/####/server.dat
/data/media/####/uid.text
/data/media/####/upgrade.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:50cfd4e752701564a4000019","utdid":"XKmcqEu+YYIDAGdzx1Gokh49","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: