Adware.Gexin.21106

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) 1####.250.179.202:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.2) 1####.250.179.202:443
TCP(TLS/1.2) 1####.250.179.195:443
TCP(TLS/1.2) 1####.250.179.174:443
TCP sdk.o####.t####.####.net:5224
TCP l####.net####.im:8080
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.exc.mob.com
and####.google####.com
api.s####.mob.com
cm-1####.g####.com
cm-10####.g####.com
dxp.b####.com
h####.b####.com
l####.net####.im
lbs.net####.im
m####.go####.com
m.d####.mob.com
nim.qi####.com
p####.google####.com
qy-swa####.qi####.com
safebro####.google####.com
sdk.c####.g####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wfd.net####.im
wfd.net####.im.####.8

Запросы HTTP GET:

d####.c####.l####.####.com/config/hzv9.conf

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.artc_lock
/data/data/####/.dic_lock
/data/data/####/.duid
/data/data/####/.globalLock
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/.lesd_lock
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/.pkg_lock
/data/data/####/.slw
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/MySp.xml
/data/data/####/NIMSDK_Config_2a616f7a002a98cd9cfb3167bda9a80e.xml
/data/data/####/NIMSDK_Config_2a616f7a002a98cd9cfb3167bda9a80e_...0c.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/Unicorn.2a616f7a002a98cd9cfb3167bda9a80e.xml
/data/data/####/Unicorn.2a616f7a002a98cd9cfb3167bda9a80e.xml.bak
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1619881477580
/data/data/####/__send_data_1619881487196
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/baidu_mtj_sdk_record.xml.bak
/data/data/####/ccc26d215e0a3f3e1ddccbe120da88a2c2c6ca995b4700d....0.tmp
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/com.qiyukf.analytics.xml.bak
/data/data/####/core_info
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/mob_commons_1
/data/data/####/msg.db-journal
/data/data/####/mtj_autoTracker.js
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qiyu_save_2a616f7a002a98cd9cfb3167bda9a80e.xml
/data/data/####/run.pid
/data/data/####/share_sdk_1
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/trace_circle.data
/data/data/####/umeng_general_config.xml
/data/data/####/unicorn#cheese#
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
cat /sys/class/net/wlan0/address
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version

Использует следующие алгоритмы для шифрования данных: