Adware.Gexin.2351

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) api.j####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) img.j####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) ws.j####.com:80
TCP(TLS/1.0) 1####.217.17.46:443
TCP(TLS/1.0) img.j####.com:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
and####.b####.qq.com
api.j####.com
c####.g####.ig####.com
c-h####.g####.com
dc1.network####.com
dxp.b####.com
h####.b####.com
img.j####.com
redi####.network####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ws.j####.com
www.ethe####.org

Запросы HTTP GET:

api.j####.com/v2/ad/slide_list?position=####&source=####&version=####
api.j####.com/v2/app/new/nowActivityList?source=####&version=####
api.j####.com/v3/coin/detail?slugs=####&currency=####&source=####&versio...
api.j####.com/v3/coin/news?limit=####&slugs=####&source=####&version=####
api.j####.com/v3/topic/by_tag_list?tag=####&limit=####&topic_id=####&fla...
api.j####.com/v4/user/follow/recommends?page=####&limit=####&source=####...
api.j####.com/v6/app/marketConfigs?source=####&version=####
api.j####.com/v6/catalogue/list?source=####&version=####
api.j####.com/v6/coin/chance/catagolues?source=####&version=####
api.j####.com/v6/global/getBubble?source=####&version=####
api.j####.com/v6/information/list?catelogue_key=####&limit=####&informat...
api.j####.com/v6/market/catalogue/list?source=####&version=####
api.j####.com/v6/market/getMarketCapList?page=####&limit=####&sortby=###...
api.j####.com/v6/user/follow/tag/status?tag_id=####&source=####&version=...
api.j####.com/v6/user/get_push_setting?clientId=####&source=####&version...
img.j####.com/v3/coin/market?offset=####&limit=####&currency=####&slugs=...
img.j####.com/v3/coin/news?limit=####&slugs=####&source=####&version=####
img.j####.com/v3/coin/trend?slugs=####&start_time=####&end_time=####&sou...
img.j####.com/v3/user/market/getList?currency=####&source=####&version=#...
img.j####.com/v6/coin/chance/catagolues?source=####&version=####
img.j####.com/v6/coin/chance/hotSearch?sortby=####&order=####&currency=#...
img.j####.com/v6/market/catalogue/list?source=####&version=####
t####.c####.q####.####.com/tdata_YYn966
t####.c####.q####.####.com/tdata_eOt091
ti####.c####.l####.####.com/config/hz-hzv3.conf
ws.j####.com/ws

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/01f27391d1e6a83c50c295f89afeb8ced892c7460492687....0.tmp
/data/data/####/01f927256cb09131e7494ecde188f92fab786c42a53573f....0.tmp
/data/data/####/037ecf6ab67227cc5697df4238975e953d633ba41c151ee....0.tmp
/data/data/####/06240b4d9e4f96381bc200e0e8edc3010e8912057b41e26....0.tmp
/data/data/####/0755df64da153cd9b6d4e027e5ef4cd1afec85bb4036699....0.tmp
/data/data/####/0a74e14de7065c255882b2045bd388e558a70cee7f4756c....0.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/126f8bb2fd35bb27ea2e08ce4c85f272.0.tmp
/data/data/####/126f8bb2fd35bb27ea2e08ce4c85f272.1.tmp
/data/data/####/2787b2493a7bfd28fb26e3c20e8f2ced3db0a2e308242be....0.tmp
/data/data/####/2cf7369b4d8ae0eb5004c5d930f24f76b5d903600a29eb8....0.tmp
/data/data/####/314019d113810906f8556b92fb29571d.0.tmp
/data/data/####/314019d113810906f8556b92fb29571d.1.tmp
/data/data/####/381ee89b2bfbd970b5d3240bd61e4ca090ac6454f4a3c98....0.tmp
/data/data/####/3c3722dd2ce47bb277427aceab4916718999f6fb9a13f99....0.tmp
/data/data/####/3f28db3afe06bca9e1a5cdafc29a7cea6a90c36df598d9f....0.tmp
/data/data/####/4132d66d57b030e1449d4142d4043f0a.0.tmp
/data/data/####/4132d66d57b030e1449d4142d4043f0a.1.tmp
/data/data/####/48c6fa2bcf1f2df34e7237e53eced648.0.tmp
/data/data/####/48c6fa2bcf1f2df34e7237e53eced648.1.tmp
/data/data/####/56da1cb407276c967650e8b7b952633c1146c67b9bf491b....0.tmp
/data/data/####/5ec129c6baa9c181c59cb17538beb04be6e1b47149e2b7b....0.tmp
/data/data/####/65d8c1d7e3c1baa5a0e0cff9c5c26d674f3783433303711....0.tmp
/data/data/####/65da0185ee4050631f8ff3d9ff1abb1e00301c3a257e575....0.tmp
/data/data/####/7c8ad01e8b274421034825b0b5d91844ef373127524df05....0.tmp
/data/data/####/7fda5b2c0a08c61392b827be12f7213c.0.tmp
/data/data/####/7fda5b2c0a08c61392b827be12f7213c.1.tmp
/data/data/####/8edbcf2aabe62d5f367ca76019ac1285b731cda3cf57c66....0.tmp
/data/data/####/944c76c70925d76aea19485e91ace1f1.0.tmp
/data/data/####/944c76c70925d76aea19485e91ace1f1.1.tmp
/data/data/####/99e2f9f563581b6eccc20f49ee5a7d55.0.tmp
/data/data/####/99e2f9f563581b6eccc20f49ee5a7d55.1.tmp
/data/data/####/MultiDex.lock
/data/data/####/NBSAnrStore.xml
/data/data/####/NBSCrashStore.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1536559687929
/data/data/####/a2e5c6f72dc89a63d886719878d797188cb4760dc9bf14f....0.tmp
/data/data/####/a89bad37bf42a460ff5b10816d80128b48d47b65b2ca270....0.tmp
/data/data/####/a9fd277893bc1a755a84037c07ddcbeafde3ab70f1e263c....0.tmp
/data/data/####/acf8c5b83c72d3e28ada968a4c11d91b4f27e6fea76fba2....0.tmp
/data/data/####/b0f104dac37450a49d58aa75285b222e.0.tmp
/data/data/####/b0f104dac37450a49d58aa75285b222e.1.tmp
/data/data/####/b673042d349fb9fe8dc252302b36f3c514285ad0bc22190....0.tmp
/data/data/####/b8dd084fc6f6eccf97ddadd38c998326.0.tmp
/data/data/####/b8dd084fc6f6eccf97ddadd38c998326.1.tmp
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bf22e8f6fb9aa409d0ff3db359a2ae3b6f1d302055df88c....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/cb263cf886b8ad8b0e48257aea35b9ff.0.tmp
/data/data/####/cb263cf886b8ad8b0e48257aea35b9ff.1.tmp
/data/data/####/cb8f1b851ce7dacdf477e77b3d507affc5d3bda6819f7d3....0.tmp
/data/data/####/cf1bfedaa210029b1243768df34d8c96c2100397020cdbd....0.tmp
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.jinse.app.BETA_VALUES.xml
/data/data/####/com.networkbench.agent.impl.v2_com.jinse.app.xml
/data/data/####/crashrecord.xml
/data/data/####/d516cdce6b0b7479277064259ed071cb155f63c0e2add23....0.tmp
/data/data/####/d88322c9a470b20ca9259a339f1580879205801c2597f25....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/e2ac35799d1004bf6690567405afe7e7.0.tmp
/data/data/####/e2ac35799d1004bf6690567405afe7e7.1.tmp
/data/data/####/e8dcc1ef7cdfd04eb086be0df60831c8.0.tmp
/data/data/####/e8dcc1ef7cdfd04eb086be0df60831c8.1.tmp
/data/data/####/f3bd46acef4c8258e6b3d605661ae93a369835f33fae7d0....0.tmp
/data/data/####/f757e002096405906f533926a9c2f4eb09e0b2446de5470....0.tmp
/data/data/####/f7ddb6690bf8f058c9ca8936e05c9d73705d8d0630f3536....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jinse.xml
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu258041337.so
/data/data/####/local_crash_lock
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/mtj_autoTracker.js
/data/data/####/multidex.version.xml
/data/data/####/notes-db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/trace_circle.data
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.artc_lock
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.timestamp
/data/media/####/2cb3e708683e5b93ae49fb5be73bdf6b.0.tmp
/data/media/####/2cb3e708683e5b93ae49fb5be73bdf6b.1.tmp
/data/media/####/314019d113810906f8556b92fb29571d.0.tmp
/data/media/####/314019d113810906f8556b92fb29571d.1.tmp
/data/media/####/33e97c3a14f804790623aac707993152.0.tmp
/data/media/####/33e97c3a14f804790623aac707993152.1.tmp
/data/media/####/99e2f9f563581b6eccc20f49ee5a7d55.0.tmp
/data/media/####/99e2f9f563581b6eccc20f49ee5a7d55.1.tmp
/data/media/####/app.db
/data/media/####/b65e27b2d49eefdee258db0ab17a4736.0.tmp
/data/media/####/b65e27b2d49eefdee258db0ab17a4736.1.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jinse.app.bin
/data/media/####/com.jinse.app.db
/data/media/####/d19afcb544c34da748fad61cc2c9e854.0.tmp
/data/media/####/d19afcb544c34da748fad61cc2c9e854.1.tmp
/data/media/####/fa808efab50141e5447761a2571941a8.0.tmp
/data/media/####/fa808efab50141e5447761a2571941a8.1.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.JinSePushService 24269 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu258041337.so
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.JinSePushService 24269 300 0

Загружает динамические библиотеки:

Bugly
crash_analysis
getuiext2
libjiagu258041337

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней