Adware.Gexin.17215

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) res####.a####.com:80
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
amap####.cn-hang####.oss####.####.com
c-h####.g####.com
cm-1####.ig####.com
co####.shankep####.com
log.u####.com
pl####.pan####.com.cn
plb####.u####.com
pub-####.qin####.com
q####.shankep####.com
res####.a####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t.shankep####.com
www.shankep####.com

Запросы HTTP GET:

q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_BAI450
q####.c####.l####.####.com/tdata_Cye094
q####.c####.l####.####.com/tdata_EDT369
q####.c####.l####.####.com/tdata_vGW305
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
res####.a####.com/v3/geocode/geo
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/2d8516f5046d187c7c740f235b2349a3072e7942135e205....0.tmp
/data/data/####/60b81cad0dc2b81d3ef1044c3cb80479eef43a5a90e7b94....0.tmp
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/app_shared_data.xml
/data/data/####/com.cssweb.shankephone.xml
/data/data/####/com.cssweb.shankephone_preferences.xml
/data/data/####/crash.log
/data/data/####/d6308cfadd22
/data/data/####/dW1weF9zaGFyZV8xNTY1ODk4MDgwNjIw;
/data/data/####/dW1weF9zaGFyZV8xNTY1ODk4MDgwODEw;
/data/data/####/dafile.db
/data/data/####/dafile.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu-1632116192.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/shankephone.db-journal
/data/data/####/share.db-journal
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_Cye094
/data/data/####/tdata_Cye094.jar
/data/data/####/tdata_vGW305
/data/data/####/tdata_vGW305.jar
/data/data/####/temp.log
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/version
/data/media/####/CssLog0.txt
/data/media/####/CssLog0.txt.lck
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/app.db
/data/media/####/com.cssweb.shankephone.bin
/data/media/####/com.cssweb.shankephone.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_BAI450
/data/media/####/tdata_Cye094
/data/media/####/tdata_vGW305
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiService 25230 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1632116192.so
chmod 777 <Package Folder>/cache/CssWeb
chmod 777 <Package Folder>/cache/Metro
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiService 25230 300 0

Загружает динамические библиотеки: