Adware.Gexin.1615

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) app.tianx####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
amap####.cn-hang####.oss####.####.com
app.tianx####.com
c####.g####.ig####.com
c-h####.g####.com
log.u####.com
res####.a####.com
s####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

app.tianx####.com/app/v3/goods/mobileview?goods_ids=####&user_ids=####&l...
app.tianx####.com/files/background/20180206/ae85594df83a43349d601cbd1102...
app.tianx####.com/files/crop/20161107/1752b9be41d641af8b25d99884a9e0ad.png
app.tianx####.com/files/crop/20161107/7cbab4cac8314ca1adfaaee90e554859.png
app.tianx####.com/files/crop/20161107/d05fb264835d478fb99173282feb5dd0.png
app.tianx####.com/files/goods/20170929/1014342e9d1f4f44ab782e48d3804d2f....
app.tianx####.com/files/goods/20170929/64853973cd194fbab36a256061576793....
app.tianx####.com/files/goods/20170929/8f9b1259d5764c319a15488b53296796....
app.tianx####.com/files/goods/20170929/dcc87c4bbcd84c9185fd8abfc47a332b....
app.tianx####.com/files/news/20170524/2f2afc162d3142ff9e18d87801c9e9dc.jpg
app.tianx####.com/files/news/20170524/be548b2f266047c0a7214ccd2ba75021.jpg
app.tianx####.com/files/news/20170524/c5901545f7334dc1ac7bf4a284e5b15b.jpg
app.tianx####.com/files/news/20180331/655c2f7893424117a854ba5d12fd3d44.jpg
app.tianx####.com/files/ueditor/image/20170929/1506675946286081639.jpg
app.tianx####.com/statics/css/css1.css?1####
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_Soq141
sni.c####.q####.####.net/tdata_vxj811

Запросы HTTP POST:

a####.u####.com/app_logs
app.tianx####.com/app/v3/agri/keyword
app.tianx####.com/app/v3/background
app.tianx####.com/app/v3/cityweather
app.tianx####.com/app/v3/distance
app.tianx####.com/app/v3/download/latest
app.tianx####.com/app/v3/goods
app.tianx####.com/app/v3/goods/recommend
app.tianx####.com/app/v3/news
app.tianx####.com/app/v3/news/homepage
app.tianx####.com/app/v3/notice/winlist
app.tianx####.com/app/v3/region
app.tianx####.com/app/v3/takesoil/myorders
app.tianx####.com/app/v3/usercrop
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1535018344702.log
/data/data/####/204864728400.569
/data/data/####/204864728400.569 (deleted)
/data/data/####/204864728512.869
/data/data/####/204864728512.869 (deleted)
/data/data/####/204864728705.917
/data/data/####/204864728705.917 (deleted)
/data/data/####/204864728941.762
/data/data/####/204864728941.762 (deleted)
/data/data/####/204864729144.792
/data/data/####/204864729144.792 (deleted)
/data/data/####/204864729416.235
/data/data/####/204864729416.235 (deleted)
/data/data/####/204864730058.81
/data/data/####/204864730058.81 (deleted)
/data/data/####/204864730501.318
/data/data/####/204864730501.318 (deleted)
/data/data/####/204864730688.028
/data/data/####/204864730688.028 (deleted)
/data/data/####/204864731110.512
/data/data/####/204864731110.512 (deleted)
/data/data/####/204864732213.901
/data/data/####/204864732213.901 (deleted)
/data/data/####/333033233499.863
/data/data/####/333033233499.863 (deleted)
/data/data/####/333033233539.872
/data/data/####/333033233539.872 (deleted)
/data/data/####/333033233676.169
/data/data/####/333033233676.169 (deleted)
/data/data/####/333033233863.041
/data/data/####/333033233863.041 (deleted)
/data/data/####/333033233868.17
/data/data/####/333033233868.17 (deleted)
/data/data/####/333033233979.771
/data/data/####/333033233979.771 (deleted)
/data/data/####/333033234001.411
/data/data/####/333033234001.411 (deleted)
/data/data/####/333033234006.905
/data/data/####/333033234006.905 (deleted)
/data/data/####/333033234056.501
/data/data/####/333033234056.501 (deleted)
/data/data/####/333033234084.469
/data/data/####/333033234084.469 (deleted)
/data/data/####/333033234113.19
/data/data/####/333033234113.19 (deleted)
/data/data/####/333033234160.415
/data/data/####/333033234160.415 (deleted)
/data/data/####/333033234161.73
/data/data/####/333033234161.73 (deleted)
/data/data/####/333033234436.241
/data/data/####/333033234436.241 (deleted)
/data/data/####/53016296.7292517
/data/data/####/53016296.7292517 (deleted)
/data/data/####/690268597049.884
/data/data/####/690268597049.884 (deleted)
/data/data/####/690268597428.265
/data/data/####/690268597428.265 (deleted)
/data/data/####/690268598078.719
/data/data/####/690268598078.719 (deleted)
/data/data/####/690268598873.371
/data/data/####/690268598873.371 (deleted)
/data/data/####/690268599557.458
/data/data/####/690268599557.458 (deleted)
/data/data/####/690268600472.056
/data/data/####/690268600472.056 (deleted)
/data/data/####/690268602637.14
/data/data/####/690268602637.14 (deleted)
/data/data/####/690268604128.12
/data/data/####/690268604128.12 (deleted)
/data/data/####/690268604757.22
/data/data/####/690268604757.22 (deleted)
/data/data/####/690268606180.731
/data/data/####/690268606180.731 (deleted)
/data/data/####/690268609898.475
/data/data/####/690268609898.475 (deleted)
/data/data/####/77522264999.7554
/data/data/####/77522264999.7554 (deleted)
/data/data/####/77522265042.2503
/data/data/####/77522265042.2503 (deleted)
/data/data/####/77522265115.3012
/data/data/####/77522265115.3012 (deleted)
/data/data/####/77522265204.5465
/data/data/####/77522265204.5465 (deleted)
/data/data/####/77522265281.3745
/data/data/####/77522265281.3745 (deleted)
/data/data/####/77522265384.0906
/data/data/####/77522265384.0906 (deleted)
/data/data/####/77522265627.2455
/data/data/####/77522265627.2455 (deleted)
/data/data/####/77522265794.6936
/data/data/####/77522265794.6936 (deleted)
/data/data/####/77522265865.3462
/data/data/####/77522265865.3462 (deleted)
/data/data/####/77522266025.217
/data/data/####/77522266025.217 (deleted)
/data/data/####/77522266442.7471
/data/data/####/77522266442.7471 (deleted)
/data/data/####/880092486059.903
/data/data/####/880092486059.903 (deleted)
/data/data/####/880092486165.634
/data/data/####/880092486165.634 (deleted)
/data/data/####/880092486525.819
/data/data/####/880092486525.819 (deleted)
/data/data/####/880092487019.657
/data/data/####/880092487019.657 (deleted)
/data/data/####/880092487033.214
/data/data/####/880092487033.214 (deleted)
/data/data/####/880092487328.136
/data/data/####/880092487328.136 (deleted)
/data/data/####/880092487385.324
/data/data/####/880092487385.324 (deleted)
/data/data/####/880092487399.843
/data/data/####/880092487399.843 (deleted)
/data/data/####/880092487530.906
/data/data/####/880092487530.906 (deleted)
/data/data/####/880092487604.815
/data/data/####/880092487604.815 (deleted)
/data/data/####/880092487680.717
/data/data/####/880092487680.717 (deleted)
/data/data/####/880092487805.515
/data/data/####/880092487805.515 (deleted)
/data/data/####/880092487808.99
/data/data/####/880092487808.99 (deleted)
/data/data/####/880092488534.429
/data/data/####/880092488534.429 (deleted)
/data/data/####/MapboxSharedPreferences.xml
/data/data/####/MultiDex.lock
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/config.xml
/data/data/####/dafile.db
/data/data/####/dafile.db-journal
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/tianxiaoer-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xUtils_http_cache.db
/data/data/####/xUtils_http_cache.db-journal
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/media/####/1295c19bcdd712ee0cd3aeebfc073800
/data/media/####/48032a10e178b3fb1e35b14e0c067a93
/data/media/####/4ab2197b6b38b5ce74a607430ce46508
/data/media/####/4d75b44667e337962525215cd2af02f1
/data/media/####/55524d1757aab6ed8d791a6320c128c0
/data/media/####/600b43cf48e9d523cad84163fd16d8dd
/data/media/####/61c5293579d1449e40d0bd84d5d7bc53
/data/media/####/630bfe216e42eb3a43da1a1b1d3f9e1f
/data/media/####/8487f3c0133b10c8ebdc5dcfe94af356
/data/media/####/88fe13d5b54b5215ac945a90839f8966
/data/media/####/8a198401eb421f0b6123b3908c8e3110
/data/media/####/8ed19a0c7192b13e7e3d20397202da51
/data/media/####/ApplicationCache.db-journal
/data/media/####/a1c995fb859af0f2cc15ad08681fc2cd
/data/media/####/a3d6d4e8c08474d0b93f2d6e79214bde
/data/media/####/ac3048e35a9a54a4d8b5545ab01c0dc3
/data/media/####/ae85594df83a43349d601cbd1102a715.png.tmp
/data/media/####/aeca9df97b2afbfd5f4578735bc7874f
/data/media/####/af1e674ffc08ae8735c30ea16ca5fc13
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/app.db
/data/media/####/c38cd97a5f30c5b2a0453110b9e0d5e4
/data/media/####/c503ee64b03fcd2ece9242d0e762786d
/data/media/####/c8d9135564b8f7e5a67b6cb8b1adabc9
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.heda.tianxiao2.bin
/data/media/####/com.heda.tianxiao2.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/dba5370237b260102fceec5d91b47225
/data/media/####/e751b0ea30eaa15d8275fcfe6d08ee08
/data/media/####/ee85678c65ba124116f38de69a3aa76b
/data/media/####/f3f5bcacad619644f94a57248f2f274e
/data/media/####/f72dc2d50d1f48cd93ac042d40e1b5e0
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.DemoPushService 24724 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.DemoPushService 24724 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu
mapbox-gl

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней