Adware.Gexin.20944

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) wanp####.127.net:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) api.t####.com:80
TCP(HTTP/1.1) amap####.cn-hang####.oss####.####.com:80
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) 1####.217.20.106:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) c####.163.com:443
TCP(TLS/1.0) ser####.hh####.com:8009
TCP(TLS/1.0) wanp####.127.net:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.2) 1####.250.179.195:443
TCP(TLS/1.2) 1####.217.17.46:443
TCP(TLS/1.2) 1####.217.20.106:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5226

Запросы DNS:

amap####.cn-hang####.oss####.####.com
android####.go####.com
api.t####.com
c####.163.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
instant####.google####.com
lbs.net####.im
md####.google####.com
p####.google####.com
res####.a####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.hh####.com
wanp####.127.net

Запросы HTTP GET:

amap####.cn-hang####.oss####.####.com/sdkcoor/android/armeabi-v7a/libJni...
d####.c####.l####.####.com/config/hzv9.conf
wanp####.127.net/lbs?version=####

Запросы HTTP POST:

api.t####.com/api/app/authorize?hash=####&t=####&app=####
api.t####.com/api/put?hash=####&t=####&app=####
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/11102674321900.0
/data/data/####/12117401214825.0
/data/data/####/20137403679090.0
/data/data/####/2695240576090.0
/data/data/####/29102670335428.0
/data/data/####/31113741031731.0
/data/data/####/33113743399951.0
/data/data/####/35110557709643.0
/data/data/####/39125455348365.0
/data/data/####/43133407876435.0
/data/data/####/44129441148817.0
/data/data/####/44133410499380.0
/data/data/####/6137401793246.0
/data/data/####/62117403569502.0
/data/data/####/79121424563001.0
/data/data/####/8195237773703.0
/data/data/####/84110547159088.0
/data/data/####/90121426922558.0
/data/data/####/94141411397825.0
/data/data/####/94141413295137.0
/data/data/####/97125451517541.0
/data/data/####/97129445816588.0
/data/data/####/NIMSDK_Config_fcee3adedd52744c6930bab90291568a.xml
/data/data/####/TUSDK_Shared_Cache.xml
/data/data/####/TUSDK_Shared_Cache.xml.bak
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/config.xml
/data/data/####/getui_sp.xml
/data/data/####/hk.hhw.huanxin_preferences.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/libwgs2gcj.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/okhttputils_cookie.xml
/data/data/####/pref.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/topic_ad.db-journal
/data/data/####/umeng_general_config.xml
/data/media/####/.nomedia
/data/media/####/als.db
/data/media/####/als.db-journal
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/global.keystore
/data/media/####/hk.hhw.huanxin.bin
/data/media/####/hk.hhw.huanxin.db
/data/media/####/nim_sdk.log
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --dex-file=<Package Folder>/.jiagu/classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so

Использует следующие алгоритмы для шифрования данных: