Adware.Gexin.14014

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) 1####.205.143.143:80
TCP(HTTP/1.1) www.p####.com:80
TCP(HTTP/1.1) 2####.119.213.145:80
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(TLS/1.0) c####.im.ta####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
ada####.m.ta####.com
c####.g####.ig####.com
c####.im.ta####.com
c-h####.g####.com
i####.ww.ta####.com
nbsdk-b####.al####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wb.110.ta####.com
www.p####.com
y####.al####.com

Запросы HTTP GET:

hk.wagbr####.non####.####.com/m/um.htm?c=####
hk.wagbr####.non####.####.com/m/um.htm?c={"ser####
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_PPW543
t####.c####.q####.####.com/tdata_qHR433
t####.c####.q####.####.com/tdata_xwL307

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
c-h####.g####.com/api.php?format=####&t=####
hk.wagbr####.non####.####.com/saveWb.json
na61-####.wagbr####.ali####.####.com/api/update.do
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
www.p####.com/apiv1/sdkstat/install
www.p####.com/apiv1/sdkstat/launch

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1558310056933.pluginlist
/data/data/####/1d77ea041509fe06.lock
/data/data/####/382ac78b7b23bb787dc0f5c47639081f.0.tmp
/data/data/####/382ac78b7b23bb787dc0f5c47639081f.1.tmp
/data/data/####/49814c4f5ac2f2f9.lock
/data/data/####/94bdd64b508e9efeb3f9ef2363908bb7.0.tmp
/data/data/####/94bdd64b508e9efeb3f9ef2363908bb7.1.tmp
/data/data/####/ALIBABA_SDK_DYNAMIC_CONFIG.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/SGMANAGER_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/a000d97f40a11801a1c0e9daed931b42.0.tmp
/data/data/####/a000d97f40a11801a1c0e9daed931b42.1
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/c8195a488edf7e0a9d2f44ba8242137f.0.tmp
/data/data/####/c8195a488edf7e0a9d2f44ba8242137f.1.tmp
/data/data/####/disk_entries_list_image_cache_-2025392252.xml
/data/data/####/e06b39e27427
/data/data/####/gdaemon_20161017
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/libsecuritysdkx-3.1.27.so.tmp
/data/data/####/onesdk_device.xml
/data/data/####/pgyersdk.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sp.lock
/data/data/####/tdata_PPW543
/data/data/####/tdata_PPW543.jar
/data/data/####/tdata_qHR433
/data/data/####/tdata_qHR433.jar
/data/data/####/tdata_xwL307
/data/data/####/tdata_xwL307.jar
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/ywPrefsTools.xml
/data/media/####/2019-05-19.log
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xpple.sheep.db
/data/media/####/dd7893586a493dc3
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/hid.dat
/data/media/####/tdata_PPW543
/data/media/####/tdata_qHR433
/data/media/####/tdata_xwL307
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24497 300 0
cat /proc/cpuinfo | grep Serial
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/files/libjiagu.so
ls -l /system/xbin/su
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24497 300 0

Загружает динамические библиотеки: