Adware.Gexin.22320

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(TLS/1.0) ve####.baid####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.2) 2####.58.208.99:443
TCP(TLS/1.2) www.google####.com:443
TCP cm-1####.g####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.u####.com
and####.google####.com
c-h####.g####.com
cm-1####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
ve####.baid####.com
www.google####.com

Запросы HTTP GET:

d####.c####.l####.####.com/config/hzv9.conf
sdk.o####.p####.####.com/api/addr.htm
ser####.dc####.net.cn:443/collect/plusapp/action?appid=####&at=####&ie=#...

Запросы HTTP POST:

a####.u####.com.####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn:443/advert/splash
ser####.dc####.net.cn:443/collect/plusapp/startup
ve####.baid####.com:443/verify/1.0/token/sk?sdkVersion=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies
/data/data/####/Cookies-journal
/data/data/####/H54A702E2.xml
/data/data/####/H54A702E2_storages.xml
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/clientid_igexin.xml
/data/data/####/com.baidu.ocr.sdk.xml
/data/data/####/crash_dump.log
/data/data/####/dc_ad_type_key.xml
/data/data/####/disk_entries_list_image_cache_-904934708.xml
/data/data/####/exchangeIdentity.json
/data/data/####/getui_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/io.dcloud.H54A702E2_preferences.xml
/data/data/####/jsb.version
/data/data/####/libjiagu.so
/data/data/####/libweexjsb.so
/data/data/####/metrics_guid
/data/data/####/ocr_sdk_uuid.xml
/data/data/####/pdr.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/the-real-index
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/-377470389
/data/media/####/1611123146
/data/media/####/AdEnable.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H54A702E2.bin
/data/media/####/io.dcloud.H54A702E2.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/arm//libweexjsb.so 91 92 1 /data/user/0/<Package>/app_crash/crash_dump.log
/system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so /data/app/<Package>-1/lib/arm//libweexjsb.so 50 51 1 /data/user/0/<Package>/app_crash/crash_dump.log

Использует следующие алгоритмы для шифрования данных: