Adware.Gexin.19511

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) 1####.217.17.110:443
TCP(TLS/1.0) 1####.217.17.42:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 2####.58.211.106:443
TCP(TLS/1.0) w####.cas####.cn:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 1####.217.19.202:443
TCP(TLS/1.0) playato####.google####.com:443
TCP(TLS/1.0) cryptau####.google####.com:443
TCP(TLS/1.0) voledev####.google####.com:443
TCP(TLS/1.2) 1####.217.17.106:443
TCP(TLS/1.2) 2####.58.211.106:443
TCP(TLS/1.2) 1####.217.17.130:443
TCP(TLS/1.2) 1####.217.168.195:443
TCP(TLS/1.2) 2####.58.208.106:443
TCP(TLS/1.2) 1####.217.168.234:443
TCP(TLS/1.2) p####.google####.com:443
TCP(TLS/1.2) 1####.217.17.110:443

Запросы DNS:

a####.u####.com
and####.b####.qq.com
android####.go####.com
cryptau####.google####.com
log.u####.com
p####.google####.com
playato####.google####.com
voledev####.google####.com
w####.cas####.cn

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/20bd0df726765ee5_0
/data/data/####/9486d0b3a4ab9c69_0
/data/data/####/A3AEECD8.dex
/data/data/####/A3AEECD8.dex.flock (deleted)
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/CookiePersistence.xml
/data/data/####/Cookies-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/app_configuration_xml.xml
/data/data/####/bugly_db_-journal
/data/data/####/cache_datasp_no_user_company_global_currencys
/data/data/####/cache_datasp_no_user_company_global_funcRescs
/data/data/####/cache_datasp_no_user_company_global_taxRates
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/cn.cash360.wolf_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/index
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/sp_model_version.xml
/data/data/####/sp_no_user_company.xml
/data/data/####/the-real-index
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update.xml
/data/data/####/wolf_sp.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.00000000000/A3AEECD8.dex --oat-fd=33 --oat-location=/data/user/0/<Package>/.11111111111/A3AEECD8.dex --compiler-filter=speed
getprop

Использует следующие алгоритмы для шифрования данных: