Adware.Gexin.17888

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) ip.adi####.net:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ip.adi####.net:443
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sf1-ttc####.ps####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) sf6-ttc####.ps####.com.####.com:443
TCP(TLS/1.2) 1####.217.20.74:443
TCP(TLS/1.2) 2####.58.208.106:443
TCP(TLS/1.2) and####.google####.com:443

Запросы DNS:

and####.google####.com
api.map.b####.com
instant####.google####.com
ip.adi####.net
ip.ta####.com
is.sn####.com
plb####.u####.com
s####.adi####.net
sdk.ipad####.com
sf1-ttc####.ps####.com
sf3-ttc####.ps####.com
sf6-ttc####.ps####.com
u####.u####.com

Запросы HTTP GET:

ip.adi####.net/api/ad/ad/sendDeviceInfo
ip.adi####.net/extra/information/list?acc=####
ip.ta####.com/service/getIpInfo2.php?ip=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-5998622401067643521
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/Alvin2.xml
/data/data/####/AndroidAria.db-journal
/data/data/####/AriaApp.cfg
/data/data/####/ContextData.xml
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/SP_AROUTER_CACHE.xml.bak
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/authStatus_com.rd.bizhuan.xml
/data/data/####/basic_params.xml
/data/data/####/bizhuan_db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY4ODIwMDc2OTk2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY4ODIwMDgyNjE3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY4ODIwMDk1NTM2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY4ODIwMTAxODQ4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY4ODIwMTE1ODEw;
/data/data/####/downloader.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&V2.0.1_1568820076957_envelope.log
/data/data/####/i==1.2.0&&V2.0.1_1568820095678_envelope.log
/data/data/####/i==1.2.0&&V2.0.1_1568820115847_envelope.log
/data/data/####/ibkad_config.xml
/data/data/####/ibkad_config.xml.bak
/data/data/####/info.xml
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/mac.xml
/data/data/####/proc_auxv
/data/data/####/t==8.0.0&&V2.0.1_1568820077538_envelope.log
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopenadsdk.xml.bak
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
busybox ifconfig
cat /sys/class/net/wlan0/address
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id
ls /
ls /sys/class/thermal