Adware.Gexin.20800

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) s####.57k.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) 1####.217.168.234:443
TCP(TLS/1.0) v.hu####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) s####.57k.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) 1####.217.17.138:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.2) 1####.217.17.138:443
TCP(TLS/1.2) 1####.217.168.206:443
TCP(TLS/1.2) 1####.217.19.195:443
TCP(TLS/1.2) 1####.217.17.78:443

Запросы DNS:

a####.exc.mob.com
and####.cli####.go####.com
android####.go####.com
api.s####.mob.com
i####.57k.com
instant####.google####.com
m####.go####.com
m.d####.mob.com
md####.google####.com
p####.google####.com
s####.57k.com
sdk.o####.p####.####.com
v.hu####.com

Запросы HTTP GET:

m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
s####.57k.com/upload/20200813/5f3516152d55a.png
s####.57k.com/upload/20200814/5f3602b2991ba.png
s####.57k.com/upload/20200817/5f3a5f9a335c9.png
s####.57k.com/upload/20200820/5f3e2cbfc00d4.jpg
s####.57k.com/upload/20200915/5f608b5b5fa4f.png
s####.57k.com/upload/20200929/5f729aff39319.png

Запросы HTTP POST:

a####.exc.mob.com/errconf
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/snsconf
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/.jg.store.report_cf
/data/data/####/.jgck
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.old_file_converted
/data/data/####/.statistics
/data/data/####/2459a3b0cded086e3c09e7ec3a1159c7e009bdf4c64086b....0.tmp
/data/data/####/53678c871f63d76c72597e4bc4d2301ad093d17a60be726....0.tmp
/data/data/####/6a88cace66164cf502f8914350d499940739406955c60ab....0.tmp
/data/data/####/951c517e24cc8b2078985df8a5bf9a3000880eed5e1fc46....0.tmp
/data/data/####/9c7037f027cf49ffb9619dc044c5cc38c61fd56d0415aad....0.tmp
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/Web Data
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/b85df85effe8f1bb796e61a4b4ef65a490057af81a7f203....0.tmp
/data/data/####/c40492a1ce9b2b41708f17378ac892f72444b8c31967b2f....0.tmp
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/com.liang530.control.LoginControl.xml
/data/data/####/com.zhiai.huosuapp.xml
/data/data/####/com.zhiai.huosuapp_preferences.xml
/data/data/####/f87dd4d337e2e4614add9a51b59d315f40829fed71f9130....0.tmp
/data/data/####/f8981c3b922b11c87f0ccb00a0e09504c30d5612f102549....0.tmp
/data/data/####/filedownloader.db-journal
/data/data/####/getui_sp.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mob_sdk_exception_1.xml.bak
/data/data/####/outdbName.db
/data/data/####/outdbName.db-journal
/data/data/####/proc_auxv
/data/data/####/share_sdk_1.xml
/data/data/####/share_sdk_1.xml.bak
/data/data/####/sp_rsa_public_key.xml
/data/data/####/splash.xml
/data/data/####/splash_img.jpg
/data/data/####/tasksmanager.db
/data/data/####/tasksmanager.db-journal
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.pkg_lock
/data/media/####/outdbName.db
/data/media/####/tasksmanager.db
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes4.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
cat /sys/class/net/wlan0/address

Использует следующие алгоритмы для шифрования данных: