Adware.Gexin.19373

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) norepea####.d####.cn:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) gongjus####.zhijia####.cn:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) l####.tbs.qq.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.ig####.com
gongjus####.zhijia####.cn
l####.tbs.qq.com
log.u####.com
norepea####.d####.cn
plb####.u####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_SIq813
cdn-sdk####.g####.com.####.com/tdata_xEA084
norepea####.d####.cn/maiqiuzhengjianzhao/maiqiujizhang.html
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_LRe817
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jg.store.report_cf
/data/data/####/0ea212ea57bb5750f8280cf087401b9ced7e7bdaaaed132....0.tmp
/data/data/####/2f4f87966ba294d8a1182b3de15c8a38ac66a6913d649b9....0.tmp
/data/data/####/3544882400e6f8aeeeb20348734746e998b068cc1f5ebf5....0.tmp
/data/data/####/40317a554a54736361ab189fc28d4a95c862b46c08a6f87....0.tmp
/data/data/####/49ffee5f4285f0a63aafb786f743ca60d88fad89ac626d1....0.tmp
/data/data/####/6b767f46b1202e8d1bf858125e0f5bfcb669e8f3e6a9066....0.tmp
/data/data/####/7d4be2a96fa23beaeb5223bb189c5c07ab41cded34c0f05....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/a697c9a800a7ef71779df42281b13c7ef0b80bc9a986554....0.tmp
/data/data/####/ba385b24c1e707542b4f369af99b2bae.0.tmp
/data/data/####/ba385b24c1e707542b4f369af99b2bae.1.tmp
/data/data/####/config
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/d20645bb77abca985c0a74e926f3f30afaf1ed2f5ed3d43....0.tmp
/data/data/####/d528c02c4f13d0ba5fd63497f472ed18d35245a8b69d829....0.tmp
/data/data/####/d754526e1aff
/data/data/####/dW1weF9zaGFyZV8xNTc5MzU4MzE3Njcy;
/data/data/####/dW1weF9zaGFyZV8xNTc5MzU4MzE3NzE4;
/data/data/####/dd05e806fb4951e9d4f2b8158abb1099570f75b3678ee02....0.tmp
/data/data/####/e6019c5fc87a29f6b13fe5ff590295c0ca5042355f601f9....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-989906453.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/run.pid
/data/data/####/share.db-journal
/data/data/####/t==8.0.2&&1.0.2_1579358316823_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_SIq813
/data/data/####/tdata_SIq813.jar
/data/data/####/tdata_xEA084
/data/data/####/tdata_xEA084.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/x5service_umeng_common_config.xml
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/cn.maiqiu.paizhengjiancha.bin
/data/media/####/cn.maiqiu.paizhengjiancha.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_SIq813
/data/media/####/tdata_xEA084
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/cn.jiujiudai.thirdlib.service.GPushService 25519 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/cn.jiujiudai.thirdlib.service.GPushService 25519 300 0

Загружает динамические библиотеки: