Adware.Gexin.2141

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pc.suishe####.net:80
TCP(HTTP/1.1) log####.suishe####.cn:80
TCP(HTTP/1.1) clien####.r####.cn.####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v0-clie####.r####.cn:80
TCP(HTTP/1.1) 65a4####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) client####.suishe####.cn:80
TCP(HTTP/1.1) cea7####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) marke####.et####.cn:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) ssy-ima####.b0.upa####.com:80
TCP(HTTP/1.1) b####.x.jd.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) api.f####.so:80
TCP(TLS/1.0) zk####.myz####.com.####.cn:443
TCP(TLS/1.0) remi####.r####.cn:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) i####.g####.com.####.net:443

Запросы DNS:

a####.u####.com
a####.umengc####.com
a.appj####.com
amap####.cn-hang####.oss####.####.com
api.f####.so
b####.x.jd.com
cdn-pan####.suishe####.cn
clien####.r####.cn
client####.suishe####.cn
i####.g####.com
im####.st####.suishe####.net
imgc####.qq.com
l####.cc
log####.suishe####.cn
marke####.et####.cn
mi.g####.qq.com
p####.ugd####.com
pc.suishe####.net
remi####.r####.cn
res####.a####.com
s####.e.qq.com
st####.et####.cn
ust####.u####.uc####.####.cn
v0-clie####.r####.cn
zhwn####.et####.cn
zk####.myz####.com

Запросы HTTP GET:

65a4####.cdn.uc####.####.cn/apis/holiday-in-law.json
65a4####.cdn.uc####.####.cn/apps/peacock/v89/suishen_exitpage.zip
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/444f4865c825d86a23f39f...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/9b4e0e2a5e2c3a80c6ed5c...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/e4487f62408229e5d14c82...
65a4####.cdn.uc####.####.cn/imgs/upload/1491973206.1423.png
65a4####.cdn.uc####.####.cn/imgs/upload/1498208578.6246.png
65a4####.cdn.uc####.####.cn/imgs/upload/1498729172.1462.png
65a4####.cdn.uc####.####.cn/imgs/upload/1501471231.8406.png
65a4####.cdn.uc####.####.cn/imgs/upload/1501471489.5908.png
65a4####.cdn.uc####.####.cn/imgs/upload/1501471680.0097.png
65a4####.cdn.uc####.####.cn/imgs/upload/1501473382.4808.png
65a4####.cdn.uc####.####.cn/imgs/upload/1505788246.0231.png
65a4####.cdn.uc####.####.cn/imgs/upload/1511920625.363.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513567067.5481.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513655721.0876.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513750924.2502.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513754424.4658.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513756011.7435.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513758152.5611.png
65a4####.cdn.uc####.####.cn/imgs/upload/1513758443.274.png
65a4####.cdn.uc####.####.cn/imgs/upload/1522834275.6692.png
65a4####.cdn.uc####.####.cn/imgs/upload/1528958064.2219.png
65a4####.cdn.uc####.####.cn/imgs/upload/1530785495.059.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531188104.3484.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531188388.3474.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531296408.5771.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531297249.7037.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531982833.0491.png
65a4####.cdn.uc####.####.cn/imgs/upload/1531995677.4998.png
65a4####.cdn.uc####.####.cn/imgs/upload/1533017149.783.gif
65a4####.cdn.uc####.####.cn/imgs/upload/1533190422.294.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1533629560.0066.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534304408.1425.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534390486.4221.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534390913.0228.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534412854.6818.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534470972.7488.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534471192.4159.png
65a4####.cdn.uc####.####.cn/imgs/upload/1534486291.3652.png
65a4####.cdn.uc####.####.cn/imgs/upload/1535004278.3717.png
65a4####.cdn.uc####.####.cn/imgs/upload/1535337103.1227.png
65a4####.cdn.uc####.####.cn/imgs/upload/1535337229.3863.png
65a4####.cdn.uc####.####.cn/imgs/upload/1535626428.4369.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1535626524.8117.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1535956893.9106.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1535957508.1263.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1535969798.6846.jpg
65a4####.cdn.uc####.####.cn/zhwnl_v7.2.0_750_update_release.apk
b####.x.jd.com/app/config?os=####&key=####&sdkv=####
cea7####.cdn.uc####.####.cn/dmp-pandora/api/trace/list?city_key=####&app...
clien####.r####.cn.####.com/Ecalender/Horoscope?city_key=####&app_ts=###...
clien####.r####.cn.####.com/Ecalender/api/city?city_key=####&foreign=###...
clien####.r####.cn.####.com/Ecalender/api/query/fortune?birthTime=####&n...
clien####.r####.cn.####.com/lizhi/api/client-config/get?city_key=####&de...
clien####.r####.cn.####.com/lizhi/api/life/home?city_key=####&app_ts=###...
clien####.r####.cn.####.com/lizhi/api/plistenV2?city_key=####&app_ts=###...
clien####.r####.cn.####.com/lizhi/api/topic/list?city_key=####&device=##...
l####.cc/i/sdk/is_gal?sign=####&linkedme_key=####&sdk_version=####&retry...
log####.suishe####.cn/collect/pkg/switch?
marke####.et####.cn/api/ckpatchver?city_key=####&app_ts=####&ver_code=##...
marke####.et####.cn/api/ckver?city_key=####&app_ts=####&ver_code=####&de...
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
pc.suishe####.net/peacock/api/ads?&appid=####&publisher=####&dexid=####&...
pc.suishe####.net/peacock/api/adspool?&appid=####&publisher=####&dex=###...
pc.suishe####.net/peacock/api/gate?&pkg=####&appid=####&dex=####&channel...
pc.suishe####.net/peacock/api/zhwnl/v3/awake?city_key=####&app_ts=####&v...
s####.tc.qq.com/gdt/0/DAAe4CuAUAALQABgBbTAUNBgFhUVIZ.jpg/0?ck=####
ssy-ima####.b0.upa####.com/crawl/background/e0a66881-38b9-40e5-9853-f11a...
v0-clie####.r####.cn/lizhi/api/zhwnl/getHuangLiFeed?city_key=####&app_ts...
v0-clie####.r####.cn/lizhi/api/zhwnl/v1/settings/ab?city_key=####&app_ts...
v0-clie####.r####.cn/lizhi/api/zhwnl/v3.2/daily?&city_key=####&device=##...

Запросы HTTP POST:

a####.u####.com/app_logs
api.f####.so//enhancement/api/v1/ads
client####.suishe####.cn/ssy-dmp/api/app/feedback?
l####.cc/i/sdk/install
log####.suishe####.cn/collect/ce/log?
log####.suishe####.cn/collect/event/log?
marke####.et####.cn/api/client
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/DownloadMarket.db-journal
/data/data/####/ECalendarPreferences.xml
/data/data/####/Evoke.db.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/GuidePreferences.xml
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MyPreferencesJustAdUpdate.xml
/data/data/####/PreSettings-journal
/data/data/####/SuishenAd_prf.xml
/data/data/####/SuishenExitPageSDK_v79.apk
/data/data/####/SuishenExitPageSDK_v89.apk
/data/data/####/Umeng.xml
/data/data/####/Update.db.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/daemon
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/eCalendar.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/getui_sp.xml
/data/data/####/history_cache.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/linkedme_referral_shared_pref.xml.bak
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/mySP.xml
/data/data/####/pre_control.xml
/data/data/####/pref.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/serverData.db-journal
/data/data/####/suishen_ad.db-journal
/data/data/####/suishen_ad_pramas.xml
/data/data/####/tempfile
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1536036129562.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml (deleted)
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/media/####/._etouch_ecalendar.db
/data/media/####/.lm_device_id
/data/media/####/1522834275.6692.png
/data/media/####/1535956893.9106.jpg
/data/media/####/1535957508.1263.jpg
/data/media/####/1535969798.6846.jpg
/data/media/####/18e48d6ba8c67d98dfb43986126f5758_temp
/data/media/####/1d1df5650b8411591446b41400a8c9e9_temp
/data/media/####/2439664e18109a48132fe2d11a771caa_temp
/data/media/####/258b7b2597736fe09ae64bfef239dda5_temp
/data/media/####/2d989dabf41a154c3290b4bad8c04214_temp
/data/media/####/306aad910fb08757a0f392c2c0696d1c_temp
/data/media/####/307108418d85180eb58e006b15d286a8_temp
/data/media/####/32cc159f24b5bc765ae0b297de05d98f_temp
/data/media/####/40464b253d4b617383b18a731004dda2_temp
/data/media/####/44b9f6e09837e1cc5b7e870a1cd86637_temp
/data/media/####/5040f4e1a6f2be602a84c197486d2dc3_temp
/data/media/####/63858b1dfb0a3d66eba2d6ab3af42c5e_temp
/data/media/####/6c9d76577685b3904dc010b9e5c7458c_temp
/data/media/####/757211cc7723488be1d71a8dfa55792d_temp
/data/media/####/76cc464f07487ae25f3e0df944669372_temp
/data/media/####/787c1cec62b9d6ac67e20697891044f9_temp
/data/media/####/7c53b4a2e6eb678d4479e511afaf0d11_temp
/data/media/####/8100fe4da95c2aca68fab69029232bbb_temp
/data/media/####/87b0fe57fa327bfdcea51b2295d9e7c2_temp
/data/media/####/907373af708b33bd8acd421a6989ce21_temp
/data/media/####/918b61fd81ac8afb8195898884274576_temp
/data/media/####/958a6f01aed84ac7c93f10aeb0196562_temp
/data/media/####/967a90ed7c1a71cd6ff3746b2681473e_temp
/data/media/####/9fe7a24e9f7aad6f2ed49c290caf045a_temp
/data/media/####/ECSettingsV2.db-journal
/data/media/####/a1c0078b61abe11136f5694015ac44c8_temp
/data/media/####/a4055e9a1247cfccf7968d25bfcb1808_temp
/data/media/####/ade7032ba12cc1111d02161ac4ac4907_temp
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/b1f4edc830a260b12f8e6bf84bf7939b_temp
/data/media/####/b3fcd10aa498be11504a49932a186961_temp
/data/media/####/b4b61bbf4984b0314842ea3056633534_temp
/data/media/####/b4ebd680ee01fd65687c23c59065a0bb_temp
/data/media/####/blank.png
/data/media/####/btn_nav_bg.9.png
/data/media/####/btn_nav_sel.9.png
/data/media/####/c28586ef380c22eaead66f9caaedefe2_temp
/data/media/####/ca33e3c0bc7560dc0a47c3c7fb889b72_temp
/data/media/####/ca52e4154d443f03ca5bb59a36d0b34d_temp
/data/media/####/cb23dc3fc272360d96ecd0ffad769763_temp
/data/media/####/ceac65f506baf776417e864b9d7d491a_temp
/data/media/####/d177891d60080df9d5f7e04a18c65b87_temp
/data/media/####/d75262cef508cae21d3a4b23a788c00f_temp
/data/media/####/d8b2aef8bef79cab7844b276cdb052aa_temp
/data/media/####/dabca783cbad7b856d8ba63f75f9d3b3_temp
/data/media/####/db0cd45525a070c9bdfba0cb816401a7_temp
/data/media/####/dc576eb34b0e23e75eb8242f398f0d6f_temp
/data/media/####/dialog_details_bg.9.png
/data/media/####/dialog_dismiss.png
/data/media/####/dialog_dismiss_sel.png
/data/media/####/download_btn_normal.9.png
/data/media/####/ea366ab016d5e5941b5781791b5d2c81_temp
/data/media/####/ea8586a44b61c2fed31561f0b28b7046_temp
/data/media/####/ee9fa1496d175ed411e787cab5a66998_temp
/data/media/####/etouch_ecalendar.db
/data/media/####/etouch_ecalendar.db-journal
/data/media/####/f16b7757f410650e6b9189fd4e3285b9_temp
/data/media/####/f82e84ab927e1761d07c73fe30d0b168_temp
/data/media/####/fes_type_sel.9.png
/data/media/####/grid_bg.9.png
/data/media/####/grid_sel.9.png
/data/media/####/ic_btn_down.png
/data/media/####/ic_default.png
/data/media/####/info
/data/media/####/list_bg_sel.png
/data/media/####/suishen_exitpage.zip
/data/media/####/top_btn_normal.9.png
/data/media/####/top_btn_selected.9.png
/data/media/####/update_btn_normal.9.png

Другие:

Запускает следующие shell-скрипты:

cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mars_d -p <Package> -s com.igexin.sdk.PushService -p1r 45 -p1w 46 -p2r 47 -p2w 48

Загружает динамические библиотеки:

EcalendarLib
daemon_api20
libjiagu
pl_droidsonroids_gif

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней