Adware.Gexin.18308

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) cn-hang####.oss####.aliyun####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 1####.217.20.106:443
TCP(TLS/1.0) 1####.217.19.202:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 1####.217.17.110:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) app.gongma####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.2) 1####.217.19.202:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

and####.google####.com
app.gongma####.com
c-h####.g####.com
cm-1####.ig####.com
cn-hang####.oss####.aliyun####.com
instant####.google####.com
pub-####.qin####.com
res####.a####.com
safebro####.google####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

cn-hang####.oss####.aliyun####.com/amap-api/comm/upload/CoordinateSoEnhe...
qin####.com.www.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/049be22a3a39660b_0
/data/data/####/06f945f0491ee6ad_0
/data/data/####/11513e09d156def6_0
/data/data/####/148c3e6aa7ab0cad_0
/data/data/####/1bc990e666c5
/data/data/####/1d9eb310b55016a7_0
/data/data/####/219840003082f3f0_0
/data/data/####/22c2d64c8682eaf6_0
/data/data/####/2d86b3ab2f245d90_0
/data/data/####/3193824488be89a2_0
/data/data/####/3bfee759d8bfd1e7_0
/data/data/####/3dafda5d8ba5a18a_0
/data/data/####/3dc3d263dd1449f3_0
/data/data/####/4d21a622c490a6b9_0
/data/data/####/5e010b7b2ec5adbe_0
/data/data/####/63155ab32adf6835_0
/data/data/####/6d59f1303e94513b_0
/data/data/####/6eb058414d3eb6e4_0
/data/data/####/6f046b5563c9fbdd_0
/data/data/####/706ee3e598d9a794_0
/data/data/####/716eeeb20b13495b_0
/data/data/####/73bb9deeb5da0834_0
/data/data/####/7470c628fe286566_0
/data/data/####/7e1d5f71f96b421f_0
/data/data/####/8d8b851f7866ad84_0
/data/data/####/90b16dd645148c30_0
/data/data/####/91cf6b4dbb0cb3b6_0
/data/data/####/95806569f2860d84_0
/data/data/####/9729704c4cc51375_0
/data/data/####/9f853b92f7582174_0
/data/data/####/Cookies-journal
/data/data/####/H51EE80D1.xml
/data/data/####/H51EE80D1_download_dcloud.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/af2da9b4bc7d6c9e_0
/data/data/####/af6118b58701e3b8_0
/data/data/####/alsn20170807.db
/data/data/####/alsn20170807.db-journal
/data/data/####/b3f86b1907cfd6b4_0
/data/data/####/c0c2915ec374e68d_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.oat
/data/data/####/clientid_igexin.xml
/data/data/####/com.bh.gmm_preferences.xml
/data/data/####/d44c76c5d39bf6cd_0
/data/data/####/d98bd7230386b74d_0
/data/data/####/dc_ad_type_key.xml
/data/data/####/df20403d2490ed0e_0 (deleted)
/data/data/####/dfba17c4d52138281c2597d63d6b225a.0
/data/data/####/e0142be5d6305065_0
/data/data/####/e0cf634ecf35e853_0
/data/data/####/e1e2e1223e21c2fd_0
/data/data/####/e51a3093a24c9ddf_0
/data/data/####/e889635d908488bc_0
/data/data/####/ece29dc7df8223d8_0
/data/data/####/ee353fb2da13cb98_0
/data/data/####/f40a63d85c8204ff_0
/data/data/####/f7f3ce241965d499_0
/data/data/####/f97eb4c63863b62a_0
/data/data/####/ff6892c3a28f2467_0
/data/data/####/file__0.localstorage-journal
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu.so
/data/data/####/libwgs2gcj.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/metrics_guid
/data/data/####/pdr.xml
/data/data/####/pref.xml
/data/data/####/pref.xml.bak
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/the-real-index
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
cat /sys/class/net/wlan0/address
mount

Использует следующие алгоритмы для шифрования данных: