Adware.Gexin.2064

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) api.j####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) img.j####.com:80
TCP(HTTP/1.1) ws.j####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) 1####.217.17.46:443
TCP(TLS/1.0) img.j####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) www.go####.nl:443
TCP(TLS/1.0) adser####.go####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
adser####.go####.com
and####.b####.qq.com
api.j####.com
c####.g####.ig####.com
c-h####.g####.com
dc1.network####.com
dxp.b####.com
h####.b####.com
img.j####.com
m.j####.com
pub-####.qin####.com
r####.wx.qq.com
redi####.network####.com
reso####.j####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
ws.j####.com
www.go####.com
www.go####.nl
www.gst####.com

Запросы HTTP GET:

api.j####.com/v2/ad/slide_list?position=####&source=####&version=####
api.j####.com/v2/app/new/nowActivityList?source=####&version=####
api.j####.com/v3/user/market/getList?currency=####&source=####&version=#...
api.j####.com/v4/user/follow/recommends?page=####&limit=####&source=####...
api.j####.com/v6/app/marketConfigs?source=####&version=####
api.j####.com/v6/catalogue/list?source=####&version=####
api.j####.com/v6/coin/chance/capitalFlow?page=####&limit=####&sortby=###...
api.j####.com/v6/coin/chance/catagolues?source=####&version=####
api.j####.com/v6/global/getBubble?source=####&version=####
api.j####.com/v6/information/list?catelogue_key=####&limit=####&informat...
api.j####.com/v6/market/catalogue/list?source=####&version=####
api.j####.com/v6/user/get_push_setting?clientId=####&source=####&version...
img.j####.com/v2/ad/slide_list?position=####&source=####&version=####
img.j####.com/v3/topic/by_tag_list?tag=####&limit=####&topic_id=####&fla...
img.j####.com/v6/coin/chance/catagolues?source=####&version=####
img.j####.com/v6/coin/chance/hotSearch?sortby=####&order=####&currency=#...
img.j####.com/v6/information/list?catelogue_key=####&limit=####&informat...
img.j####.com/v6/market/getMarketCapList?page=####&limit=####&sortby=###...
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_YYn966
t####.c####.q####.####.com/tdata_eOt091
ti####.c####.l####.####.com/config/hz-hzv3.conf
ws.j####.com/ws

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/01f927256cb09131e7494ecde188f92fab786c42a53573f....0.tmp
/data/data/####/037ecf6ab67227cc5697df4238975e953d633ba41c151ee....0.tmp
/data/data/####/0d0e7629dae8bfd551ba6b673a35a075fc208aafc2fedc0....0.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/1044615a7c52a098d1c8cd64f243f0d72efe75c4bb4d2ea....0.tmp
/data/data/####/14e783fd48fff0dfad18a6b71aedff2e.0.tmp
/data/data/####/14e783fd48fff0dfad18a6b71aedff2e.1.tmp
/data/data/####/1674241a36d22878a62248446545dab540e4b770b4c2f50....0.tmp
/data/data/####/1ef5ecf995bcefd03b2dc2a9f0a75d769a80d41d6516802....0.tmp
/data/data/####/24c921bad27a1cfbd73e2b555f27d714bb0fa42ee73d43e....0.tmp
/data/data/####/291d65f70f73927adf3664ce13c8ec0bdb4e953e8b3bc03....0.tmp
/data/data/####/2c39c82b95d404c7bab93a0852204fced3620011e4e72c9....0.tmp
/data/data/####/314019d113810906f8556b92fb29571d.0.tmp
/data/data/####/314019d113810906f8556b92fb29571d.1.tmp
/data/data/####/31aaccde7469983e0659c188a3c770f30ee09cda073641c....0.tmp
/data/data/####/389cf9657cb1fe73363df2e6f7a77e8e.0.tmp
/data/data/####/389cf9657cb1fe73363df2e6f7a77e8e.1.tmp
/data/data/####/3de61996f158188942086ffec75f04b14bbe3b50d76b8da....0.tmp
/data/data/####/3f28db3afe06bca9e1a5cdafc29a7cea6a90c36df598d9f....0.tmp
/data/data/####/3fe12fa7d632c6af69dfc4917e9ed116530d5f8a18a88f8....0.tmp
/data/data/####/416ae53b814a1988d8822ffac1d671bbbb250763df37ecb....0.tmp
/data/data/####/48c6fa2bcf1f2df34e7237e53eced648.0.tmp
/data/data/####/48c6fa2bcf1f2df34e7237e53eced648.1.tmp
/data/data/####/56c93ea5463bf252d418305753a5209d0f5504989244cf5....0.tmp
/data/data/####/56da1cb407276c967650e8b7b952633c1146c67b9bf491b....0.tmp
/data/data/####/59648c03ffb2b90256edbb3768a9839dc3d40e1ca859b56....0.tmp
/data/data/####/5a1274949012881527b31259c1a32d1e68de008ca3ff147....0.tmp
/data/data/####/5c771a57bb11344750179d2de317ed7d2f18e5502eb85e0....0.tmp
/data/data/####/5ec129c6baa9c181c59cb17538beb04be6e1b47149e2b7b....0.tmp
/data/data/####/6237292979e52906e8e6c86bf802952f696335d3c077f35....0.tmp
/data/data/####/65da0185ee4050631f8ff3d9ff1abb1e00301c3a257e575....0.tmp
/data/data/####/671b8c9e34d9b30101360141b0fa2e415e6237803e715ce....0.tmp
/data/data/####/6af8c3f27aea0a9b35721fde863e0c26d8a1f631e47b3b1....0.tmp
/data/data/####/6da39fa1d3ecab563c840504990acf523a778d43bfec465....0.tmp
/data/data/####/6e622e7e59fa9a0cef65d4efaf8db801.0.tmp
/data/data/####/6e622e7e59fa9a0cef65d4efaf8db801.1.tmp
/data/data/####/70ccece950e2abe97e2820866f982c2fe2e4c3dc949a363....0.tmp
/data/data/####/7d02c4caf660e4d6e75bf5ca2390c8ec19dbe6bb2ab0dda....0.tmp
/data/data/####/7fda5b2c0a08c61392b827be12f7213c.0.tmp
/data/data/####/7fda5b2c0a08c61392b827be12f7213c.1.tmp
/data/data/####/80c3b37ce00f026e7bdcb2ccecf444bf3badc8a4c9a9bc0....0.tmp
/data/data/####/863455a8bf3e3e8fcb4c63f18abf782e.0.tmp
/data/data/####/863455a8bf3e3e8fcb4c63f18abf782e.1.tmp
/data/data/####/916815238126b24837f60beeeac54b91112eaa1035b43e8....0.tmp
/data/data/####/99e2f9f563581b6eccc20f49ee5a7d55.0.tmp
/data/data/####/99e2f9f563581b6eccc20f49ee5a7d55.1
/data/data/####/9d22634afdd0df65d72f5ca416637d75b96f8b6677f83c1....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/NBSAnrStore.xml
/data/data/####/NBSCrashStore.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1535879230814
/data/data/####/ac9400c54140603eb6fc4f7659a82507.0.tmp
/data/data/####/ac9400c54140603eb6fc4f7659a82507.1.tmp
/data/data/####/acd4485298fa0065e0375f3eda6484921290660529dcf08....0.tmp
/data/data/####/ae18f441f34a6004050470637c990d056474d4d2652a71f....0.tmp
/data/data/####/b0f104dac37450a49d58aa75285b222e.0.tmp
/data/data/####/b0f104dac37450a49d58aa75285b222e.1.tmp
/data/data/####/b475a5c9b5e0085baa3ce2a52ebdd791105c4725f087c47....0.tmp
/data/data/####/b8e2bafe02bfb4ce391ca164560634615f2b42d620c3ae9....0.tmp
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bf22e8f6fb9aa409d0ff3db359a2ae3b6f1d302055df88c....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/c2986fb597b23a8e33d583bca157ede703ce558f32282b6....0.tmp
/data/data/####/c8ea1627988b8a14d8ed505447ef177c29cc86e704272b2....0.tmp
/data/data/####/cb263cf886b8ad8b0e48257aea35b9ff.0.tmp
/data/data/####/cb263cf886b8ad8b0e48257aea35b9ff.1.tmp
/data/data/####/cb34089f90676dbe816048298fe16486.0.tmp
/data/data/####/cb34089f90676dbe816048298fe16486.1.tmp
/data/data/####/ccde953ec24fa0b8ff77a33ecb519daac4e0c0dc0c438dc....0.tmp
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.jinse.app.BETA_VALUES.xml
/data/data/####/com.networkbench.agent.impl.v2_com.jinse.app.xm...leted)
/data/data/####/com.networkbench.agent.impl.v2_com.jinse.app.xml
/data/data/####/com.networkbench.agent.impl.v2_com.jinse.app.xml (deleted)
/data/data/####/com.networkbench.agent.impl.v2_com.jinse.app.xml.bak
/data/data/####/crashrecord.xml
/data/data/####/d0fcf07c127e936fa0ef6c1d4d830bfc4f179b4c1d6fdab....0.tmp
/data/data/####/d6eb6381f2f87a0a32092321a9615d41609af991dd143b7....0.tmp
/data/data/####/d96715f91e793e942c04592471324bb4daf6e81c49e1fec....0.tmp
/data/data/####/da9fc2abdf6836d273699ab23b73bf13.0.tmp
/data/data/####/da9fc2abdf6836d273699ab23b73bf13.1.tmp
/data/data/####/dab979fde04466aad9dc7692aae77c7a.0.tmp
/data/data/####/dab979fde04466aad9dc7692aae77c7a.1.tmp
/data/data/####/dad5da32af59636fdab4c35d3c7ec1659d08555dee5de4d....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc2528b441de7b39ab0719b894b58d30e84dc61c16eb5ab....0.tmp
/data/data/####/e2ac35799d1004bf6690567405afe7e7.0.tmp
/data/data/####/e2ac35799d1004bf6690567405afe7e7.1.tmp
/data/data/####/e56d2cf2efe01f22190dde20a532addb.0.tmp
/data/data/####/e56d2cf2efe01f22190dde20a532addb.1.tmp
/data/data/####/e5f8a75413b769f64cced97fb3906943c717a5a5b73d9e8....0.tmp
/data/data/####/e8b34e8f758ff9834e06075fd10f7398357c580452e33e9....0.tmp
/data/data/####/e8dcc1ef7cdfd04eb086be0df60831c8.0.tmp
/data/data/####/e8dcc1ef7cdfd04eb086be0df60831c8.1.tmp
/data/data/####/eb52e44a98648650ceb6b854fc091c5af65ea53c018e7eb....0.tmp
/data/data/####/f1b697f3968b9d77dea083ee9d2ec6f050a3c1eeb04a829....0.tmp
/data/data/####/f3bd46acef4c8258e6b3d605661ae93a369835f33fae7d0....0.tmp
/data/data/####/f561d03d07f6a3388482c8dcafb6ae642cf227310847742....0.tmp
/data/data/####/f82331456dd97e567c336751da3b221d6d9b48bfa35da4d....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/fc1865114347
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jinse.xml
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu258041337.so
/data/data/####/local_crash_lock
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/mtj_autoTracker.js
/data/data/####/multidex.version.xml
/data/data/####/notes-db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/trace_circle.data
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.artc_lock
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.timestamp
/data/media/####/2cb3e708683e5b93ae49fb5be73bdf6b.0.tmp
/data/media/####/2cb3e708683e5b93ae49fb5be73bdf6b.1.tmp
/data/media/####/314019d113810906f8556b92fb29571d.0.tmp
/data/media/####/314019d113810906f8556b92fb29571d.1.tmp
/data/media/####/33e97c3a14f804790623aac707993152.0.tmp
/data/media/####/33e97c3a14f804790623aac707993152.1.tmp
/data/media/####/99e2f9f563581b6eccc20f49ee5a7d55.0.tmp
/data/media/####/99e2f9f563581b6eccc20f49ee5a7d55.1.tmp
/data/media/####/app.db
/data/media/####/b65e27b2d49eefdee258db0ab17a4736.0.tmp
/data/media/####/b65e27b2d49eefdee258db0ab17a4736.1.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jinse.app.bin
/data/media/####/com.jinse.app.db
/data/media/####/d19afcb544c34da748fad61cc2c9e854.0.tmp
/data/media/####/d19afcb544c34da748fad61cc2c9e854.1.tmp
/data/media/####/fa808efab50141e5447761a2571941a8.0.tmp
/data/media/####/fa808efab50141e5447761a2571941a8.1.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.JinSePushService 24269 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu258041337.so
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.JinSePushService 24269 300 0

Загружает динамические библиотеки:

Bugly
crash_analysis
getuiext2
libjiagu258041337

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней