Adware.Gexin.22614

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) 1####.177.15.94:443
TCP(TLS/1.0) e####.s####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 1####.250.110.138:443
TCP(TLS/1.0) u####.u####.com.####.com:443
TCP(TLS/1.2) 1####.177.15.94:443
TCP(TLS/1.2) 1####.250.110.138:443
TCP(TLS/1.2) and####.cli####.go####.com:443

Запросы DNS:

and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
api.growi####.com
e####.s####.com
log.u####.com
m####.go####.com
p####.google####.com
plb####.u####.com
safebro####.google####.com
t####.growi####.com
t.growi####.com
u####.u####.com

Запросы HTTP GET:

def####.cn.zb.####.com:443/bar/get/547429eefd98c56099000b03/?pcv=####&de...
t####.growi####.com:443/products/97063bb52e09ab98/android/<Package>/sett...
t.growi####.com:443/app/97063bb52e09ab98/android/devices?u=####&dm=####&...

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
api.growi####.com:443/v3/97063bb52e09ab98/android/pv?stm=####
e####.s####.com:443/hydra/v1/getAdvBannerList
e####.s####.com:443/hydra/v1/syncTips
e####.s####.com:443/hydra/v2/listCanWithdrawBankCards
plb####.u####.com:443/umpx_internal
u####.u####.com.####.com:443/unify_logs

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/1004
/data/data/####/LocalInfo.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a==7.5.4&&2.6.4_1645185888666_envelope.log
/data/data/####/bugly_db_-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/classes.oat.flock (deleted)
/data/data/####/crash_dump.log
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjQ1MTg1ODg1NTY1;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fft_store.dbv2.db
/data/data/####/fft_store.dbv2.db-journal
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/i==1.2.0&&2.6.4_1645185885636_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/jsb.version
/data/data/####/libjiagu.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/mipush_extra.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/native_record_lock
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/shfft_preferences.xml
/data/data/####/the-real-index
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/crash-2022-02-18-15-05-04-1645185904408.log
/data/media/####/journal
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/x86//libweexjsb.so 54 55 1 /data/user/0/<Package>/app_crash/crash_dump.log
/data/app/<Package>-1/lib/x86//libweexjsb.so 62 63 1 /data/user/0/<Package>/app_crash/crash_dump.log
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop
ls -l /system/bin/su
ls /
ls /sys/class/thermal

Загружает динамические библиотеки: