Adware.Gexin.20964

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) dc.xiaojin####.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) 802b094####.cdscd####.com:80
TCP(HTTP/1.1) re####.xiaojin####.cn:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) 1####.217.17.106:443
TCP(TLS/1.0) 1####.217.19.202:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.2) 1####.217.19.202:443
TCP(TLS/1.2) 2####.58.214.10:443
TCP(TLS/1.2) md####.google####.com:443
TCP(TLS/1.2) 1####.250.179.195:443
TCP(TLS/1.2) 1####.250.179.206:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5227

Запросы DNS:

7j####.c####.z0.####.com
api.map.b####.com
av1.x####.com
c####.x####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
dc.xiaojin####.cn
instant####.google####.com
m####.go####.com
m####.xiaojin####.cn
md####.google####.com
p####.google####.com
re####.xiaojin####.cn
safebro####.google####.com
sdk-ope####.g####.com
sdk.api.o####.####.cn
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
v####.p####.cn

Запросы HTTP GET:

802b094####.cdscd####.com/rest/img/10/4638788457211193910.webp
802b094####.cdscd####.com/rest/img/12/2993698270326493612.webp
802b094####.cdscd####.com/rest/img/7/7782239120644776907.webp
802b094####.cdscd####.com/rest/img/86/5360069097378428586.webp
d####.c####.l####.####.com/config/hzv9.conf
dc.xiaojin####.cn/push.do?deviceId=####&publishid=####&vt=####&screen=##...
re####.xiaojin####.cn/qkbloc-jk/config/getRule?deviceId=####&publishid=#...
re####.xiaojin####.cn/qkbloc-jk/vip/checkVip?deviceId=####&publishid=###...
ti####.c####.l####.####.com/tdata_FhD658

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
re####.xiaojin####.cn/data/sxkreport/client
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/134d03e2e3b7b4c87d500eedcf4eb058833c5a1b64151a1....0.tmp
/data/data/####/1614184213595_3576
/data/data/####/1614184213796_3576
/data/data/####/1614184223880_3822
/data/data/####/1614184223954_3822
/data/data/####/1614184224006_3822
/data/data/####/1614184224996_3822
/data/data/####/1614184226749_3822
/data/data/####/1614184227200_3822
/data/data/####/1614184288084_3822
/data/data/####/338cf245f386728f67aeeed08fdc4e7beeed383a7cb5672....0.tmp
/data/data/####/39285EFA.dex
/data/data/####/39285EFA.dex.flock (deleted)
/data/data/####/503c16521697fd2c97247f2c864eed0ef8f9dd12456ddea....0.tmp
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/ad_auth.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/com.drive.hundred_preferences.xml
/data/data/####/com.drive.hundred_preferences.xml.bak
/data/data/####/com.newton.push.getui.NPushIntentService.xml
/data/data/####/ea45cdf95ccdbccdb863723cf9241e9bc19b20d0273b091....0.tmp
/data/data/####/getui_sp.xml
/data/data/####/hianalytics_global_v2_com.drive.hundred.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/libcuid_v3.so
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/salt
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/update.xml
/data/data/####/user_info.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.00000000000/39285EFA.dex --oat-fd=113 --oat-location=/data/user/0/<Package>/.11111111111/39285EFA.dex --compiler-filter=speed
getprop
getprop ro.build.version.emui
getprop ro.miui.ui.version.name

Использует следующие алгоритмы для шифрования данных: