Adware.Gexin.21208

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sh####.360t####.com.####.com:80
TCP(HTTP/1.1) ope####.mob####.360.cn:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s.3####.cn:80
TCP(HTTP/1.1) mir####.cos-be####.net:80
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) mir####.cos-be####.net:443
TCP(TLS/1.0) 2####.58.211.106:443
TCP(TLS/1.0) dcs.iden####.cn:8106
TCP(TLS/1.0) 1####.217.168.206:443
TCP(TLS/1.0) jie####.iden####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.2) 2####.58.211.106:443
TCP(TLS/1.2) 1####.250.179.163:443

Запросы DNS:

a####.u####.com
and####.b####.qq.com
and####.cli####.go####.com
android####.go####.com
dcs.iden####.cn
jie####.iden####.com
l####.tbs.qq.com
mir####.cos-be####.net
ope####.mob####.360.cn
p####.google####.com
s.3####.cn
sh####.360t####.com

Запросы HTTP GET:

ope####.mob####.360.cn/index/upgrade?package=####&version=####&apk_versi...
s.3####.cn/appstore/info.htm?package=####&apkversion=####&apk_version=##...
sh####.360t####.com.####.com/160422/57b92647917cce029e2634ba82d77e69/lib...
sh####.360t####.com.####.com/160422/7bcec7e7c45683a01b4ffc5c68c66f94/lib...

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
l####.tbs.qq.com/ajax?c=####&k=####
mir####.cos-be####.net/mirror/api/user/sdk/bind
mir####.cos-be####.net/mirror/api/user/update

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/1002
/data/data/####/1004
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/PREF_UNIQUE_ID.xml
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/com.dengyun.dianshang-journal
/data/data/####/com.dengyun.dianshang.BETA_VALUES.xml
/data/data/####/com.dengyun.dianshang.BETA_VALUES.xml.bak
/data/data/####/com.dengyun.dianshang.newretail.firmware.Firmwa...te.xml
/data/data/####/com.dengyun.dianshang_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/crashrecord.xml.bak
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/libjiagu.so
/data/data/####/libpatch
/data/data/####/libpatch.so
/data/data/####/libpatch1
/data/data/####/libpatch1.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/mainconfig.xml
/data/data/####/mtmy_litepal.db-journal
/data/data/####/new_retail.xml
/data/data/####/okhttputils_cache.db
/data/data/####/okhttputils_cache.db-journal
/data/data/####/proc_auxv
/data/data/####/sdkConf.xml
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/share_data_updatesdk.xml
/data/data/####/spUtils.xml
/data/data/####/start.xml
/data/data/####/start.xml.bak
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp.tmp~ (deleted)
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update.qh

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes2.dex --dex-file=<Package Folder>/.jiagu/classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/sh -c type su
chmod 755 /data/user/0/<Package>/cache/360Download
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
ping -c 1 223.5.5.5
sh

Использует следующие алгоритмы для шифрования данных: