Adware.Gexin.18663

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) api.huay####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) hd.a####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) ce3e####.j####.cn:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) 1####.217.17.74:443
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.2) 2####.58.208.106:443
TCP cm-1####.ig####.com:5225
TCP 1####.232.25.175:21000
TCP sdk.o####.t####.####.com:5224
UDP s.j####.cn:19000
TCP cm-1####.ig####.com:5226
TCP 1####.25.50.81:7008

Запросы DNS:

7j####.c####.z0.####.com
and####.google####.com
api.huay####.com
bj####.j####.cn
c-h####.g####.com
ce3e####.j####.cn
cm-1####.ig####.com
cm-1####.ig####.com
cm-1####.ig####.com
easytom####.com
f####.gst####.com
instant####.google####.com
log.u####.com
plb####.u####.com
s.j####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sdkfi####.jig####.cn
sis.j####.io
u####.u####.com

Запросы HTTP GET:

api.huay####.com/api/getPictureURl?adType=####&appType=####
api.huay####.com/fileResources//attachment/2019/10/16/4ff4b39d-5ac0-4229...
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_MkX219
q####.c####.l####.####.com/tdata_RTc910
q####.c####.l####.####.com/tdata_XeE960
q####.c####.l####.####.com/tdata_mtl581

Запросы HTTP POST:

api.huay####.com/api/setPushId
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.2a094960eaff2119dbc42a25f494fa64
/data/data/####/.extConfig.xml
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/254e8e0d-0e39-42a0-a16d-a2df953567fc
/data/data/####/34eb6168-c2ef-4ce5-ad04-316d56e1fc03
/data/data/####/891040fe-1032-4b00-8002-2b41a66e30e4
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DB_NAME_CLIENT-journal
/data/data/####/IpInfos.xml
/data/data/####/Push_Page_Config.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a6edcbad099f6f9263318f83e70700c9ad0c46be359e35d....0.tmp
/data/data/####/b671241e-85cf-4f20-b4f2-2892b170f1bf
/data/data/####/b671241e-85cf-4f20-b4f2-2892b170f1bf (deleted)
/data/data/####/bal.catch
/data/data/####/bwc.catch
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.common.xml.bak
/data/data/####/cn.jiguang.prefs.xml
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.share.profile.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jmessage.preferences.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.config.xml
/data/data/####/cn.jpush.config.xml.bak
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/cn.jpush.preferences.v2.xml.bak
/data/data/####/d71ea1f5-6bd8-4d5b-abe4-5fbe0ab11755
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc0MTc5OTI3MzI3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc0MTc5OTM0MzU5;
/data/data/####/dW1weF9zaGFyZV8xNTc0MTc5OTM4NjI5;
/data/data/####/dW1weF9zaGFyZV8xNTc0MTc5OTQwODc0;
/data/data/####/disk_entries_list_image_cache_-783296518.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/getui_sp.xml
/data/data/####/gtpushservice_umeng_common_config.xml
/data/data/####/i==1.2.0&&4.2.1_1574179927283_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/push_stat_cache.json
/data/data/####/pushcore_umeng_common_config.xml
/data/data/####/pushsdk.db-journal
/data/data/####/rl.catch
/data/data/####/run.pid
/data/data/####/share.db-journal
/data/data/####/shared_preferences_client.xml
/data/data/####/t==8.0.0&&4.2.1_1574179934361_envelope.log
/data/data/####/tray.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
ls /
ls /sys/class/thermal
ps

Использует следующие алгоритмы для шифрования данных: