Adware.Gexin.20889

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) al####.u####.com:443
TCP cm-1####.g####.com:5225
TCP sdk.o####.t####.####.net:5224

Запросы DNS:

81.66.92.####.arpa
and####.b####.qq.com
api.cva####.cn
c-h####.g####.com
cm-1####.g####.com
l####.tbs.qq.com
loc.map.b####.com
mt####.go####.com
plb####.u####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

Запросы HTTP GET:

d####.c####.l####.####.com/config/hzv9.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
l####.tbs.qq.com/ajax?c=####&k=####
loc.map.b####.com/offline_loc
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/Cva_sp.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/bugly_db_-journal
/data/data/####/calendar.db
/data/data/####/calendar.db-journal
/data/data/####/com.shwnl.calendar.BETA_VALUES.xml
/data/data/####/com.shwnl.calendar_preferences.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjA3NDI4NjYxNzAx;
/data/data/####/daemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/getui_sp.xml
/data/data/####/i==1.2.0&&1.11.6_1607428661742_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-1525707351.so
/data/data/####/local_crash_lock
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushsdk.db
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/t==8.0.0&&1.11.6_1607428663249_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.shwnl.calendar.bin
/data/media/####/com.shwnl.calendar.db
/data/media/####/cva_wd.txt
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/tbslog.txt
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
<Package Folder>/app_bin/watcher -p <Package> -b 0 -u http://47.92.66.81/api/device2?action=uninstall&device_id=852502442dc7fd59&platform=Android&sign=e33fa36f0e057f41745841dd52fcdfb7425709c2
app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/<Package>.service.DaemonService2
chmod 700 <Package Folder>/app_bin/daemon
getprop
getprop ro.product.cpu.abi
ls /
ls /sys/class/thermal
mars_d -p <Package> -s <Package>.service.DaemonService2 -p1r 47 -p1w 48 -p2r 49 -p2w 50