Adware.Gexin.14481

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) 2####.130.43.40:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) sdk.o####.amp.####.com:80
TCP(HTTP/1.1) m.im####.com:80
TCP(TLS/1.0) 36####.edges####.net:443
TCP(TLS/1.0) m.im####.com:443
TCP(TLS/1.0) mr####.pc####.com.cn:443
TCP(TLS/1.0) img.pcon####.com.####.cn:443
TCP(TLS/1.0) c.im####.com:443
TCP(TLS/1.0) v.im####.com:443
TCP(TLS/1.0) c####.im####.com:443
TCP(TLS/1.0) i####.j####.com:443
TCP(TLS/1.0) ur####.jd.com:443
TCP(TLS/1.0) h####.m.jd.com:443
TCP(TLS/1.0) wl.jd.com.####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

7j####.c####.z0.####.com
c####.g####.ig####.com
c####.g####.ig####.com
c####.im####.com
c-h####.g####.com
c.im####.com
h####.m.jd.com
img.pc####.com.cn
loc.map.b####.com
m####.m.jd.com
m.360bu####.com
m.im####.com
mr####.pc####.com.cn
mr####.pc####.com.cn
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.amp.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sto####.360bu####.com
ur####.jd.com
v.im####.com
w####.jd.com
w####.jd.com
wq.360bu####.com

Запросы HTTP GET:

m.im####.com/online_config/?app_key=####
sdk.o####.amp.####.com/api.htm?format=####&t=####
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
t####.c####.q####.####.com/tdata_aBz764

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/5df346373056d5d1c2b53877f2c9b7808a378cdbd7c205f....0.tmp
/data/data/####/ApplicationCache.db-journal
/data/data/####/QALConfigStore.dat
/data/data/####/TLS_DEVICE_INFO.xml
/data/data/####/WLOGIN_DEVICE_INFO.xml
/data/data/####/app_first_in400.xml
/data/data/####/cdn.db-journal
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/firll.dat
/data/data/####/framwork.xml
/data/data/####/gdaemon_20161017
/data/data/####/imei
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/location.xml
/data/data/####/match_time.xml
/data/data/####/mofang_data_analysis.db-journal
/data/data/####/mofang_data_analysis.xml
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/report_v5.msgstore-journal
/data/data/####/run.pid
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_aBz764
/data/data/####/tdata_aBz764.jar
/data/data/####/tls_device.dat
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wlogin_device.dat
/data/media/####/.cuid
/data/media/####/25d2c37a8eb1e323a5e85b963110e033.0.tmp
/data/media/####/25d2c37a8eb1e323a5e85b963110e033.1.tmp
/data/media/####/44ded32a13bd1984fb987e7327808806.0.tmp
/data/media/####/44ded32a13bd1984fb987e7327808806.1.tmp
/data/media/####/54d4a165c8cbc32d3fd73f680efb7418.0.tmp
/data/media/####/54d4a165c8cbc32d3fd73f680efb7418.1.tmp
/data/media/####/5678b9ae594814db206fe86f1b845714.0.tmp
/data/media/####/5678b9ae594814db206fe86f1b845714.1.tmp
/data/media/####/60d28d1d7e5605f6b235fe428a6bee05.0.tmp
/data/media/####/60d28d1d7e5605f6b235fe428a6bee05.1.tmp
/data/media/####/805bcc988a9b824d63a4b2ec0d1c6fec.0.tmp
/data/media/####/805bcc988a9b824d63a4b2ec0d1c6fec.1.tmp
/data/media/####/app.19.05.30.13.log
/data/media/####/app.db
/data/media/####/c86a16243c54242b0c3d79447c2fdb04.0.tmp
/data/media/####/c86a16243c54242b0c3d79447c2fdb04.1.tmp
/data/media/####/cn.com.pclady.modern.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/imsdk_20190530.log
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/sdk.19.05.30.13.log
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/tdata_aBz764
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24948 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24948 300 0

Загружает динамические библиотеки: