Adware.Gexin.4025

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) 4####.95.95.131:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) larg####.c####.l####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 1####.190.125.86:8106
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) 1####.217.17.46:443
TCP(TLS/1.0) jj####.julan####.com:443
TCP(TLS/1.0) dg####.julan####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
and####.b####.qq.com
api.map.b####.com
app.julan####.com
c####.g####.ig####.com
c-h####.g####.com
dg####.julan####.com
dg####.julan####.com
jj####.julan####.com
l####.tbs.qq.com
loc.map.b####.com
o####.map.b####.com
rs.eas####.com
s.b####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

larg####.c####.l####.####.com/offline_pkg/9e54708.zip
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_vxj811

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/authStatus_com.julanling.app;remote.xml
/data/data/####/bc01d7d5-81d2-40f9-9293-c75032602ba9.zip
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.julanling.app-journal
/data/data/####/com.julanling.app.BETA_VALUES.xml
/data/data/####/com.julanling.app.BETA_VALUES.xml.bak
/data/data/####/com.julanling.app_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/config.json
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/debug.conf
/data/data/####/device_id.xml.xml
/data/data/####/dgq.db-journal
/data/data/####/dgq_sp.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/info.lock
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jjb.db-journal
/data/data/####/julanling.db-journal
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/mobclick_agent_user_com.julanling.app.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/patch-1e1d1625.apk
/data/data/####/patch.apk
/data/data/####/patch.retry
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/server.json
/data/data/####/share_prefers.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/temp.apk
/data/data/####/tmpPatch.apk
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1540730327161.env
/data/data/####/um_cache_1540730339395.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/user_remind_info.xml
/data/data/####/webview.db-journal
/data/data/####/xsgjz.db-journal
/data/data/####/zhgs.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0.6ceb822f19dfaa95a382.js
/data/media/####/0.e2bac0a880f52ad773d9.js
/data/media/####/0.png
/data/media/####/1.b117034.png
/data/media/####/1.e8c52b4ec22b376cf208.js
/data/media/####/1.f674b55a4c8e4a2aeb5f.js
/data/media/####/1.png
/data/media/####/10.303d4fdf7c6163b452be.js
/data/media/####/10.bd9f0a76e70e832a64b6.js
/data/media/####/10.fe76c9b.png
/data/media/####/11.080e10d053fe53e7418c.js
/data/media/####/11.2cfecc88f46bf515c543.js
/data/media/####/12.db2b936f57daa66d764d.js
/data/media/####/12.eeab7279ecbb683b783a.js
/data/media/####/13.4f4ff04eeaabcb33fca0.js
/data/media/####/14.1f128d7e7014dcb07f89.js
/data/media/####/15.2ac06d440c6f313657f1.js
/data/media/####/16.01fb81fdc4a22e69fa28.js
/data/media/####/17.f94eb04c51da0a4d9818.js
/data/media/####/18.e050a3c30ae3bfb4e435.js
/data/media/####/19.a436bbc5ab0b8606ab74.js
/data/media/####/2.57b0627.png
/data/media/####/2.630c4d1a677ba42cd680.js
/data/media/####/2.d5a0cf14f92e9e9ef582.js
/data/media/####/2.png
/data/media/####/20.70efab6d2826cd1e4fad.js
/data/media/####/21.88a0b8ebec3195ee98e5.js
/data/media/####/22.d50772dfc59c4df7556d.js
/data/media/####/23.4292b6ea882d742007fb.js
/data/media/####/24.06fabc10b4dc8c1f4ca1.js
/data/media/####/25.952c1954fa082ed5789c.js
/data/media/####/26.d76c05dc28db3cd35e92.js
/data/media/####/27.e2275ae1c8a98947d396.js
/data/media/####/28.44cfe70245e24b1cf1a8.js
/data/media/####/29.f9732b0f0325c418be15.js
/data/media/####/3.4654053.png
/data/media/####/3.4d380f9905dd22795c85.js
/data/media/####/3.ad76219323a9c7125da7.js
/data/media/####/3.png
/data/media/####/30.ea4e3609d290daa61e6e.js
/data/media/####/31.5c5ee74aafe0f352470a.js
/data/media/####/32.80d5e980825dd4c726b9.js
/data/media/####/4.4b13a6b.png
/data/media/####/4.f5bbaf5238376c641973.js
/data/media/####/4.f82de9786253ff4cfc05.js
/data/media/####/4.png
/data/media/####/5.21a6f95.png
/data/media/####/5.573f6f0a955dce2c8c53.js
/data/media/####/5.f75053ee2cd89b00fc59.js
/data/media/####/5.png
/data/media/####/6.75cc1f15751ad54807e2.js
/data/media/####/6.893ba16075e881287c6b.js
/data/media/####/6.bcc2d2f.png
/data/media/####/6.png
/data/media/####/7.1c19b3ad9beae163754b.js
/data/media/####/7.419cad15e1b053295eb8.js
/data/media/####/7.dc40dd9.png
/data/media/####/7.png
/data/media/####/8.3499f9ee0cc3899f87f1.js
/data/media/####/8.8a1303a.png
/data/media/####/8.d6d479ed1f145a5f6048.js
/data/media/####/8.png
/data/media/####/9.5fb97482eacba4c39a00.js
/data/media/####/9.67bc299.png
/data/media/####/9.b8ed90e33b38a7e3728a.js
/data/media/####/9.png
/data/media/####/9e54708.zip
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abc.html
/data/media/####/agents-top.2fe3763.png
/data/media/####/app.0a4684b5c6b33a3e886b.js
/data/media/####/app.a6b64561dab8e50c0e64fd834152ada5.css
/data/media/####/app.dac2f9840ad41f4481d6ac91384b147f.css
/data/media/####/app.db
/data/media/####/app.f63607e45e8000d0048a.js
/data/media/####/base.css
/data/media/####/bc-center-2.54ddd37.png
/data/media/####/bc-center.efae332.png
/data/media/####/bc.a6389c6.png
/data/media/####/bounty-bg.108f815.png
/data/media/####/clipboard.min.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.julanling.app.bin
/data/media/####/com.julanling.app.db
/data/media/####/comment_pre.png
/data/media/####/conlts.dat
/data/media/####/default-skin.png
/data/media/####/default-skin.svg
/data/media/####/detail-top.7139d04.png
/data/media/####/dsbridge.js
/data/media/####/eat-stay-bg.d5414be.png
/data/media/####/finish-center.5d4c05a.png
/data/media/####/flexible.min.js
/data/media/####/float-icon.099374e.png
/data/media/####/fresh-b.38a69fb.png
/data/media/####/fu-info.b37bc98.png
/data/media/####/fu-other.3d1299d.png
/data/media/####/fu-suc-1.dce376c.jpg
/data/media/####/fu-suc-2.18d87db.jpg
/data/media/####/fu-top-font-other.db48103.png
/data/media/####/fu-top-font.50cfbcb.png
/data/media/####/fu-top.0e7f8f9.png
/data/media/####/guarantee.0207ca8.png
/data/media/####/guarantee1.b6e9631.png
/data/media/####/guarantee2.cb783ff.png
/data/media/####/guarantee3.5c7a334.png
/data/media/####/guarantee4.006de8c.png
/data/media/####/holiday_list.json
/data/media/####/home-bottom-tip.ccc9520.png
/data/media/####/icon-hand.74a9199.svg
/data/media/####/index.html
/data/media/####/jjb.ico
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.425965b77fd40b8f91c5.js
/data/media/####/manifest.5a1a927ab556edc1618a.js
/data/media/####/new-add-icon.57ec1e8.png
/data/media/####/pkg.json
/data/media/####/pre.png
/data/media/####/preloader.gif
/data/media/####/prize.abacedf.jpg
/data/media/####/rank-banner.a1fde07.png
/data/media/####/rob-p-b.196957b.png
/data/media/####/rule-top.957725d.png
/data/media/####/sign-bg.70b0e75.png
/data/media/####/sign.png
/data/media/####/style.min.css
/data/media/####/swipe.min.js
/data/media/####/sysid.dat
/data/media/####/tbslog.txt
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/test.log
/data/media/####/testIos.png
/data/media/####/toast.1d35d43.png
/data/media/####/topBg.0b55072.png
/data/media/####/vendor.397a32b66b4ced10d11a.js
/data/media/####/vendor.beb34f9b90889f1b8e77.js
/data/media/####/video-banner.9f14cf3.jpg
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
getprop ro.product.cpu.abi
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
hyphenate
libjiagu
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней