Adware.Gexin.18657

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 2####.58.208.110:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
TCP(TLS/1.2) 2####.58.208.106:443
UDP s.j####.cn:19000
TCP 43.2####.88.126:7000

Запросы DNS:

a####.exc.mob.com
a####.u####.com
and####.b####.qq.com
and####.google####.com
api.s####.mob.com
apis-ho####.ta####.com
au.u####.co
au.u####.co.####.8
au.u####.com
au.u####.com.####.8
instant####.google####.com
l####.tbs.qq.com
m.d####.mob.com
m.hucu####.com
m.hucu####.com.####.8
p####.google####.com
s####.j####.cn
s.j####.cn
safebro####.google####.com
up####.sdk.jig####.cn

Запросы HTTP GET:

m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/1004
/data/data/####/1bed8a9a-a049-4b92-9e57-9d319b07709b
/data/data/####/289d0ded-ea6f-442e-8bd9-c81c525148fd
/data/data/####/2a8336e1-d3b6-45c7-b20f-8727c437288f
/data/data/####/45c5c98e-c6cf-463c-b328-28d0422d7547
/data/data/####/6119c6a6-6b9b-462d-bae6-f993f60d0824
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/JPushSA_Config.xml.bak
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/_andfix_.xml
/data/data/####/appPackageNames_v2
/data/data/####/bugly_db_-journal
/data/data/####/classes.dex
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.hucun365.app_preferences.xml
/data/data/####/com.hucun365.app_preferences.xml.bak
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/e7acb32d-f72e-41ed-93ce-f099605ef58e
/data/data/####/exchangeIdentity.json
/data/data/####/hucun.png
/data/data/####/investfriend.png
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/key.xml.xml
/data/data/####/key.xml.xml.bak
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock (deleted)
/data/data/####/mayact1.png
/data/data/####/mayact2.png
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mob_sdk_exception_1.xml.bak
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/newer.png
/data/data/####/okgo_cache.db
/data/data/####/okgo_cache.db-journal
/data/data/####/platformphone.png
/data/data/####/platformphonec.png
/data/data/####/platformphonep.png
/data/data/####/proc_auxv
/data/data/####/security_info
/data/data/####/share_sdk_1.xml
/data/data/####/share_sdk_1.xml.bak
/data/data/####/sharesdk.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.push_deviceid
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/tbslog.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=arm --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --dex-file=<Package Folder>/.jiagu/classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
getprop ro.product.cpu.abi
sh

Использует следующие алгоритмы для шифрования данных: