Adware.Gexin.17509

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cn-hang####.oss####.aliyun####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 1####.217.19.202:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) app.gongma####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

and####.cli####.go####.com
and####.google####.com
app.gongma####.com
c-h####.g####.com
cm-1####.ig####.com
cn-hang####.oss####.aliyun####.com
instant####.google####.com
m####.go####.com
p####.google####.com
pub-####.qin####.com
res####.a####.com
safebro####.google####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.dc####.io

Запросы HTTP GET:

cn-hang####.oss####.aliyun####.com/amap-api/comm/upload/CoordinateSoEnhe...
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm
ser####.dc####.net.cn/urd.json?v=####

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.buildPropertiesMD5.data
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/11ffbdee3f85c1d7_0
/data/data/####/14386f1e859d8c51_0
/data/data/####/176ec932cb48abe1_0
/data/data/####/1da93741cb4eb176_0
/data/data/####/1e718b7ed8816320_0
/data/data/####/20fec7a258178ae3_0
/data/data/####/24c537165b9bc7eb_0
/data/data/####/289748bdb35c8d1e_0
/data/data/####/291ff7cacaf957f3_0
/data/data/####/2b434ee2b2805eff_0 (deleted)
/data/data/####/2cf51316ed0f7e03_0
/data/data/####/2ddb3db218b7f6d5_0
/data/data/####/30cc7303954d9729_0 (deleted)
/data/data/####/40453887471b8715_0
/data/data/####/418fc13aa798bc5c_0
/data/data/####/498bc881289cd660_0
/data/data/####/4d1a1978e6498ce2_0
/data/data/####/5479259bd4ae94e5_0
/data/data/####/60ebab9ba7e647e0_0
/data/data/####/7013f9883ecbbaa3_0 (deleted)
/data/data/####/75464ea2127ae9c4_0 (deleted)
/data/data/####/7cc2ca5550350a6b_0
/data/data/####/7ffffef8a78e20ce_0
/data/data/####/886b3d755ba93316_0
/data/data/####/8b928024345ebc08_0
/data/data/####/8dd2c062ac7076be_0
/data/data/####/951f8b0cc553a606_0
/data/data/####/9f187c16c13d2b27_0
/data/data/####/Cookies-journal
/data/data/####/H51EE80D1.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a65b3f671f8124fc_0 (deleted)
/data/data/####/af86245f9df34e2c_0
/data/data/####/alsn20170807.db
/data/data/####/alsn20170807.db-journal
/data/data/####/b99365a47c6edf34_0
/data/data/####/be2719cfab3a9b85_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.oat
/data/data/####/clientid_igexin.xml
/data/data/####/com.bh.gmm_preferences.xml
/data/data/####/d3858e5b2bc3888b_0
/data/data/####/d5693401a400a281_0
/data/data/####/d648b0ac6237d160_0
/data/data/####/dba8e8ab66186f40_0
/data/data/####/dc_ad_type_key.xml
/data/data/####/dd4b58709f3d0ebd_0
/data/data/####/dfba17c4d52138281c2597d63d6b225a.0
/data/data/####/e88b656c27d38c29_0
/data/data/####/eje3cnc
/data/data/####/f3304b1cbd6ab7ae_0
/data/data/####/f906b7dc7253bf00_0
/data/data/####/file__0.localstorage-journal
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu.so
/data/data/####/libwgs2gcj.so
/data/data/####/loctemp.so (deleted)
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/metrics_guid
/data/data/####/pdr.xml
/data/data/####/pref.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/the-real-index
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
cat /sys/class/net/wlan0/address
mount

Использует следующие алгоритмы для шифрования данных: