Adware.Gexin.20642

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) o####.c5####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) i.c5####.com:443
TCP(TLS/1.0) d####.me####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) 2####.58.214.10:443
TCP(TLS/1.2) 1####.217.168.238:443
TCP(TLS/1.2) 1####.217.19.195:443
TCP(TLS/1.2) 2####.58.214.10:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5225

Запросы DNS:

and####.google####.com
android####.go####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
eco####.me####.com
i.c5####.com
m####.go####.com
o####.c5####.com
p####.google####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

d####.c####.l####.####.com/config/hzv9.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1b1b7335ca157465333558d5583ad6733a3370788186460....0.tmp
/data/data/####/223aa111e5b3e04194fd40df7eae5dfbc40f223ddaf217f....0.tmp
/data/data/####/23139f7ec649951080c1f6eedb08829f0afa7438467c869....0.tmp
/data/data/####/337b3af59a332685151e8b9d28a176ef6c0f6da9276470b....0.tmp
/data/data/####/3f672cc00ca8d09cf07cb4ef243f213d16cd11643c0571c....0.tmp
/data/data/####/44a6ce86dde2ea372aec23857ce377575a9823d169e60e4....0.tmp
/data/data/####/4f968119d14b141d3abd631020053b16fd757c6d1ba9918....0.tmp
/data/data/####/5471a4eed125fa3716e0a05db2a20cceb32227f9ee4bb67....0.tmp
/data/data/####/5ae2d99693fc9bdcb24fd55426749588830768881d302e5....0.tmp
/data/data/####/5b4a6bd9a54282b47b0db2f8047bb421a89f87a440a6919....0.tmp
/data/data/####/61cbeab15d9b59b145438e228686ea71a0fb51f3326a123....0.tmp
/data/data/####/6a3e8e1af2e7a8d5fc64d2ddbf1210d7066d52f5d957625....0.tmp
/data/data/####/76ee346e98969ad0a2a9ccad897c86254232025f2b00e0d....0.tmp
/data/data/####/7871b6a3e6053a65e495eda2205eca36db7a2af6014db06....0.tmp
/data/data/####/93d8bb7b2aff46ea9df1b173e60030f242776f7529587fd....0.tmp
/data/data/####/96a44d2b70e886bb2778c13803423f4a7837a43b65767ee....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/Meiqia.xml
/data/data/####/a01964531c0d99e9436a5865301645e3ac96a6a6afe5ddd....0.tmp
/data/data/####/b2a1d010e32b7d16caaa0499648cffd0fdd6c09463c37ca....0.tmp
/data/data/####/b78e13f4624fed44d8035aa1d391690d6b38dd4c43d7c2d....0.tmp
/data/data/####/c707b4797c6f4c34d28bbabddfc182545d74c7439c5f1ed....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cf2c007f07faa780f7366ee018da6886458bc599f3993f4....0.tmp
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/config.xml
/data/data/####/dcb2f7102a572137f38961a9aa0592c769e2e3c060a1853....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fce4f8b5fd8f41aa22b0708cbb6d08b1737323683979d4c....0.tmp
/data/data/####/fefe90707ef4a179f5fd298bf4402f2c4865014bfaecb40....0.tmp
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jg_so_upgrade_setting.xml.bak
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/meiqia.db
/data/data/####/meiqia.db-journal
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
chmod 755 <Package Folder>/.jiagu/libjiagu.so

Использует следующие алгоритмы для шифрования данных: