Adware.Gexin.20981

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) 1####.215.47.46:8080
TCP(TLS/1.0) di####.b####.net:443
TCP(TLS/1.0) 64.2####.163.95:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) 64.2####.165.95:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) 64.2####.162.95:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) 64.2####.165.95:443
TCP(TLS/1.2) 1####.194.221.138:443
TCP(TLS/1.2) 64.2####.163.95:443
TCP(TLS/1.2) 64.2####.162.95:443

Запросы DNS:

81.66.92.####.arpa
and####.b####.qq.com
android####.go####.com
api.map.b####.com
dig.b####.net
dm.byted####.com
dm.ps####.com
dm.tou####.com
instant####.google####.com
l####.tbs.qq.com
loc.map.b####.com
md####.google####.com
pang####.sn####.com
plb####.u####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
to####.ctobsn####.com
u####.u####.com

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/1002
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/BDLocConfigManager_com.feisukj.calendarBDLocConfig.xml
/data/data/####/ContextData.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/calendar.db
/data/data/####/calendar.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.oat
/data/data/####/com.feisukj.calendar.BETA_VALUES.xml
/data/data/####/com.feisukj.calendar.xml
/data/data/####/com.feisukj.calendar.xml.bak
/data/data/####/com.feisukj.calendar_preferences.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjE0NzM5NzgxODY0;
/data/data/####/daemon
/data/data/####/downloader.db-journal
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/grtcfrsa.dat
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&1.3_1614739781870_envelope.log
/data/data/####/info.xml
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock (deleted)
/data/data/####/native_record_lock (deleted)
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/proc_auxv
/data/data/####/security_info
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_push_time.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall.watch
/data/data/####/watcher
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes4.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes5.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/lib/arm/houdini /data/user/0/<Package>/app_bin/watcher /data/user/0/<Package>/app_bin/watcher -p <Package> -b 0 -u http://47.92.66.81/api/device2?action=uninstall&device_id=4aa72613deabcac2&platform=Android&sign=829b12804be07711514bc29ec4792e7d4ab629e6
chmod 0755 /data/user/0/<Package>/app_bin/watcher
chmod 700 /data/user/0/<Package>/app_bin/daemon
chmod 777 /data/user/0/<Package>/cache/Download
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.sv.version
getprop ro.lenovo.lvp.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls /
ls /sys/class/thermal
mount