Adware.Gexin.2074

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) larg####.c####.l####.####.com:80
TCP(HTTP/1.1) 47.94.1####.48:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) 1####.190.125.86:8106
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) w####.q####.dn.####.com:80
TCP(SSL/3.0) api.map.b####.com:443
TCP(TLS/1.0) mobi####.alipa####.com:443
TCP(TLS/1.0) api-####.m####.com:443
TCP(TLS/1.0) jj####.julan####.com:443
TCP sdk.o####.t####.####.net:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

a####.u####.com
and####.b####.qq.com
api-####.m####.com
api.map.b####.com
app.julan####.com
c####.g####.ig####.com
c-h####.g####.com
dg####.julan####.com
f####.julan####.com
jj####.julan####.com
l####.tbs.qq.com
loc.map.b####.com
mobi####.al####.com
o####.map.b####.com
rs.eas####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

larg####.c####.l####.####.com/offline_pkg/a68ac88.zip
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
ti####.c####.l####.####.com/config/hz-hzv3.conf
w####.q####.dn.####.com/bubbleFirstRedPack.png
w####.q####.dn.####.com/xrhb.png

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/02d14700ce909c94ab4965cf74bb288d.0.tmp
/data/data/####/02d14700ce909c94ab4965cf74bb288d.1.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/28383d36539e238d33b1437f586ebb63.0.tmp
/data/data/####/28383d36539e238d33b1437f586ebb63.1.tmp
/data/data/####/9a34b06d8f090d935ccc84757555a677.0.tmp
/data/data/####/9a34b06d8f090d935ccc84757555a677.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/alipay_device_id_settings.xml
/data/data/####/alipay_device_id_storage.xml
/data/data/####/alipay_device_id_tags.xml
/data/data/####/authStatus_com.julanling.app;remote.xml
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.julanling.app-journal
/data/data/####/com.julanling.app.BETA_VALUES.xml
/data/data/####/com.julanling.app.BETA_VALUES.xml.bak
/data/data/####/com.julanling.app_preferences.xml
/data/data/####/com.meizu.flyme.push.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/config.json
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/device_feature_prefs_name.xml
/data/data/####/device_id.xml.xml
/data/data/####/dgq.db-journal
/data/data/####/dgq_sp.xml
/data/data/####/eb68ce51986a3d43c41af3a859b12ee5.0.tmp
/data/data/####/eb68ce51986a3d43c41af3a859b12ee5.1.tmp
/data/data/####/eeaec3976fa946bc8eff137108a47e65.0.tmp
/data/data/####/eeaec3976fa946bc8eff137108a47e65.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/getui_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jjb.db-journal
/data/data/####/journal.tmp
/data/data/####/julanling.db-journal
/data/data/####/libcuid.so
/data/data/####/libjiagu-796197802.so
/data/data/####/mobclick_agent_user_com.julanling.app.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/server.json
/data/data/####/share_prefers.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1535893891097.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/user_remind_info.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xsgjz.db-journal
/data/data/####/zhgs.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0.4c52ebbdf77dabfb7792.js
/data/media/####/0.de1bbaa3e6c75598990c.js
/data/media/####/0.png
/data/media/####/1.2b57e677a9aa663ceffe.js
/data/media/####/1.b117034.png
/data/media/####/1.bf99a616ce1420275cf1.js
/data/media/####/1.png
/data/media/####/10.94cf41ee533be649b1bc.js
/data/media/####/10.bd9f0a76e70e832a64b6.js
/data/media/####/10.fe76c9b.png
/data/media/####/11.cb22f8268c31bd7f4e2f.js
/data/media/####/11.e2f09c1bb421039aa76c.js
/data/media/####/12.db2b936f57daa66d764d.js
/data/media/####/12.eeab7279ecbb683b783a.js
/data/media/####/13.3efba31b5f51e21f2770.js
/data/media/####/14.c53abb078a39b8fcaff8.js
/data/media/####/15.2ac06d440c6f313657f1.js
/data/media/####/16.01fb81fdc4a22e69fa28.js
/data/media/####/17.88a36e9b7b163b41b339.js
/data/media/####/18.e050a3c30ae3bfb4e435.js
/data/media/####/19.41d9f312e7cc067e9023.js
/data/media/####/2.2c59d4c84f72ce36b67b.js
/data/media/####/2.57b0627.png
/data/media/####/2.94c82ce6b5f471baf30a.js
/data/media/####/2.png
/data/media/####/20.70efab6d2826cd1e4fad.js
/data/media/####/2018-09-02.log.txt
/data/media/####/21.88a0b8ebec3195ee98e5.js
/data/media/####/22.d50772dfc59c4df7556d.js
/data/media/####/23.5872fc6c3bddf8b701f8.js
/data/media/####/24.10b730158ad46a145de5.js
/data/media/####/25.9034f4e1e027c3db527a.js
/data/media/####/26.d76c05dc28db3cd35e92.js
/data/media/####/27.c0d45c116e4281368dbc.js
/data/media/####/28.0498a2a0937503e9f1f7.js
/data/media/####/29.2ffeca50a84741b94d41.js
/data/media/####/2lruvzefolc2babpbj8aa4iz60.tmp
/data/media/####/3.3fd4f19e97f1d913091c.js
/data/media/####/3.4654053.png
/data/media/####/3.a90db298d840abc69ce1.js
/data/media/####/3.png
/data/media/####/30.51098b92639f8e61830c.js
/data/media/####/4.1cb8779b6085db05f6bc.js
/data/media/####/4.4b13a6b.png
/data/media/####/4.8cbefa0d5cc67778f398.js
/data/media/####/4.png
/data/media/####/4lxavuf9cdlkw61vkgq2uw9hy0.tmp
/data/media/####/5.0a48ab85bbdf31200ae6.js
/data/media/####/5.21a6f95.png
/data/media/####/5.4555e783f5f9b241c0b8.js
/data/media/####/5.png
/data/media/####/6.1e82b8e1879f37c51f38.js
/data/media/####/6.b86e3cfafa003fb73849.js
/data/media/####/6.bcc2d2f.png
/data/media/####/6.png
/data/media/####/7.311ca9879652ea4b8359.js
/data/media/####/7.dc40dd9.png
/data/media/####/7.f2b14daccc6ff10630f3.js
/data/media/####/7.png
/data/media/####/8.1aec0fde3b5621809ff9.js
/data/media/####/8.8a1303a.png
/data/media/####/8.f3019a4462030e003d45.js
/data/media/####/8.png
/data/media/####/9.5fb97482eacba4c39a00.js
/data/media/####/9.67bc299.png
/data/media/####/9.b8ed90e33b38a7e3728a.js
/data/media/####/9.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abc.html
/data/media/####/agents-top.e3980c6.png
/data/media/####/app.a0b8c93bb7fb82d579cc.js
/data/media/####/app.a6b64561dab8e50c0e64fd834152ada5.css
/data/media/####/app.dac2f9840ad41f4481d6ac91384b147f.css
/data/media/####/app.db
/data/media/####/app.fc4e01872495201ac494.js
/data/media/####/base.css
/data/media/####/bounty-bg.108f815.png
/data/media/####/clipboard.min.js
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.julanling.app.bin
/data/media/####/com.julanling.app.db
/data/media/####/comment_pre.png
/data/media/####/conlts.dat
/data/media/####/default-skin.png
/data/media/####/default-skin.svg
/data/media/####/detail-top.7139d04.png
/data/media/####/device_feature_file_name
/data/media/####/dsbridge.js
/data/media/####/eat-stay-bg.d5414be.png
/data/media/####/flexible.min.js
/data/media/####/float-icon.099374e.png
/data/media/####/fresh-b.38a69fb.png
/data/media/####/fu-info.b37bc98.png
/data/media/####/fu-other.3d1299d.png
/data/media/####/fu-suc-1.dce376c.jpg
/data/media/####/fu-suc-2.18d87db.jpg
/data/media/####/fu-top-font-other.db48103.png
/data/media/####/fu-top-font.50cfbcb.png
/data/media/####/fu-top.0e7f8f9.png
/data/media/####/guarantee.0207ca8.png
/data/media/####/guarantee1.b6e9631.png
/data/media/####/guarantee2.cb783ff.png
/data/media/####/guarantee3.5c7a334.png
/data/media/####/guarantee4.006de8c.png
/data/media/####/holiday_list.json
/data/media/####/home-bottom-tip.ccc9520.png
/data/media/####/icon-hand.74a9199.svg
/data/media/####/index.html
/data/media/####/jjb.ico
/data/media/####/journal.tmp
/data/media/####/latest_full.zip (deleted)
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.7063d94baa552281abcb.js
/data/media/####/manifest.cf3a46bd8228f912dd6b.js
/data/media/####/new-add-icon.57ec1e8.png
/data/media/####/pkg.json
/data/media/####/pre.png
/data/media/####/preloader.gif
/data/media/####/prize.abacedf.jpg
/data/media/####/rank-banner.a1fde07.png
/data/media/####/rob-p-b.196957b.png
/data/media/####/sign-bg.b0260dd.png
/data/media/####/sign.png
/data/media/####/style.min.css
/data/media/####/swipe.min.js
/data/media/####/testIos.png
/data/media/####/toast.1d35d43.png
/data/media/####/topBg.0b55072.png
/data/media/####/vendor.397a32b66b4ced10d11a.js
/data/media/####/vendor.edf2614bb98f4c0ba7bf.js
/data/media/####/video-banner.9f14cf3.jpg
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
chmod 755 <Package Folder>/.jiagu/libjiagu-796197802.so
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version

Загружает динамические библиотеки:

Bugly
deviceid_1
getuiext2
hyphenate
libjiagu-796197802
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней