Adware.Gexin.19252

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) aliyun-####.al####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(SSL/3.0) g####.gxnin####.com:443
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) g####.gxnin####.com:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP zb-cent####.m.ta####.com:443

Запросы DNS:

a####.man.aliy####.com
accscdn####.m.ta####.com
acs4pu####.m.ta####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
ag####.m.ta####.com
amdc####.m.ta####.com
beacon####.aliy####.com
g####.gxnin####.com
mpush####.al####.com

Запросы HTTP POST:

aliyun-####.al####.com/config
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
beacon####.aliy####.com/beacon/fetch/config/byappkey
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/146149221_1577702887792.stacktrace
/data/data/####/146149221_1577702898694.stacktrace
/data/data/####/146149221_1577702899537.stacktrace
/data/data/####/146149221_1577702900359.stacktrace
/data/data/####/146149221_1577702907852.stacktrace
/data/data/####/146149221_1577702908802.stacktrace
/data/data/####/146149221_1577702909800.stacktrace
/data/data/####/146149221_1577702917204.stacktrace
/data/data/####/146149221_1577702918104.stacktrace
/data/data/####/146149221_1577702919101.stacktrace
/data/data/####/146149221_1577702926384.stacktrace
/data/data/####/146149221_1577702927555.stacktrace
/data/data/####/146149221_1577702928396.stacktrace
/data/data/####/146149221_1577702938141.stacktrace
/data/data/####/146149221_1577702939566.stacktrace
/data/data/####/146149221_1577702940760.stacktrace
/data/data/####/146149221_1577702948897.stacktrace
/data/data/####/ACCS_BIND26049048.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Agoo_AppStore.xml (deleted)
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/UTCommon.xml
/data/data/####/XSSchool.db-journal
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ap.Lock
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/crashreporter.base
/data/data/####/eudemon
/data/data/####/libjiagu1921067643.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/ninghao.xinsheng.xsschool_preferences.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/media/####/.nomedia
/data/media/####/13fbe612c91d425ca1a917041214a4ae
/data/media/####/256f37a5461141a4ab0a503304090c10
/data/media/####/745cc30a6c9f445ab951e5c762ce8e2d
/data/media/####/7be4a15330964330a2004bcfb7beb51c
/data/media/####/7eb7744dac6d4e11b2feed9d492c205c
/data/media/####/8d19aa312220451593616f44bd915642
/data/media/####/97154c53237c4c1e98307475ce827f1d
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a3c09d29105e473297d8e7d1fe94b355
/data/media/####/a9651f2151fe450a89bf1fe68c36d201
/data/media/####/b7766d1bf13f4714b70722ebfcba45c0
/data/media/####/ba533f21169741a08c13a875d81a1ca9
/data/media/####/daa9fe2a03eb4b6d924dcc245b1adc9d
/data/media/####/e1451d4faf4d407fa6715bfb75e44cf2
/data/media/####/f6468096ef374a0a9a0a8226d1e24739
/data/media/####/f9c33913fa964d2db55f02b368b6a681
/data/media/####/f9ec67d6fc0a4619bbf5b61476f86555

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"26049048","utdid":"XgnV4N8S0VUDAGdzx1F8nfHS","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: