Adware.Gexin.22598

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(TLS/1.0) 74.1####.140.94:443
TCP(TLS/1.0) hk.wagbr####.non####.####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) no####.u51.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) 1####.250.13.100:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 74.1####.133.95:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.2) 74.1####.140.94:443
TCP(TLS/1.2) 74.1####.71.100:443
TCP(TLS/1.2) 1####.250.13.100:443
TCP(TLS/1.2) 74.1####.133.95:443

Запросы DNS:

a####.u51.com
ab.u####.com
and####.cli####.go####.com
and####.google####.com
android####.go####.com
api.51####.com
api.51####.com.####.8
api.growi####.com
api.map.b####.com
api.w####.com
no####.u51.com
p####.google####.com
pla####.googleu####.com
redi####.network####.com
safebro####.google####.com
t####.growi####.com
t.growi####.com
w####.u51.com
y####.al####.com

Запросы HTTP GET:

api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01I####&packagename...
api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01X####&packagename...
api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01a####&packagename...
api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01c####&packagename...
api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01n####&packagename...
api.w####.com:443/oauth2/getaid.json?appkey=####&mfp=01v####&packagename...
no####.u51.com:443/1f6e0c900118177e8dee1e9cf9df5844.json
t.growi####.com:443/app/ace2c4f1ee0b9fb7/android/devices?u=####&dm=####&...

Запросы HTTP POST:

api.growi####.com:443/v3/ace2c4f1ee0b9fb7/android/cstm?stm=####
hk.wagbr####.non####.####.com:443/saveWb.json

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/135a920b7a91504b.lock
/data/data/####/21c22f492aba3de8.lock
/data/data/####/725a9ca2b85bc222.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/NBSCrashStore.xml
/data/data/####/Q0VSVC5SU0EK.txt
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/authStatus_com.enniu.footprint;remote.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/com.enniu.footprint_preferences.xml
/data/data/####/com.networkbench.agent.impl.v2_com.enniu.footprint.xml
/data/data/####/common_log.xml
/data/data/####/common_log.xml.bak (deleted)
/data/data/####/data.mdb
/data/data/####/dc374f27dd9f7231
/data/data/####/device_id.xml.xml
/data/data/####/fire-eye-db
/data/data/####/fire-eye-db-journal (deleted)
/data/data/####/fire-eye-db-shm
/data/data/####/fire-eye-db-wal
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/getui_sp.xml
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_ecsid.xml.bak
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libsgmain_1341305210000.dex
/data/data/####/libsgmain_1341305210000.dex.flock (deleted)
/data/data/####/libsgmainso-5.3.38.so
/data/data/####/libsgsecuritybody_1341305210000.dex
/data/data/####/libsgsecuritybody_1341305210000.dex.flock (deleted)
/data/data/####/libsgsecuritybodyso-5.3.27.so
/data/data/####/libweexjsb.so
/data/data/####/lock.lock
/data/data/####/lock.mdb
/data/data/####/mac.xml
/data/data/####/proc_auxv
/data/data/####/pushsdk.db-journal
/data/data/####/sp.lock
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/DeviceId
/data/media/####/com.tencent.mobileqq_connectSdk.22.02.16.23.log
/data/media/####/dd7893586a493dc3
/data/media/####/easemob.log
/data/media/####/hid.dat
/data/media/####/log.txt
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/monitor.db
/data/media/####/monitor.db-journal
/data/media/####/time.txt
/data/media/####/官网_原

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/lib/arm/houdini /data/app/<Package>-1/lib/arm/libweexjsb.so /data/app/<Package>-1/lib/arm/libweexjsb.so 63 0
chmod 777 /data/user/0/<Package>/files/dc374f27dd9f7231
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.flyme.published
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version

Загружает динамические библиотеки: