Adware.Gexin.4294

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.com:80
TCP(HTTP/1.1) aliyun-####.al####.com:80
TCP(HTTP/1.1) pili-qo####.qini####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(SSL/3.0) 7b85e39####.bug####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) 7b85e39####.bug####.com:443
TCP(TLS/1.0) sni.c####.q####.####.com:443
TCP(TLS/1.0) st####.meiy####.com:443
TCP(TLS/1.0) a####.a####.m.####.com:443
TCP(TLS/1.0) api.pro.meiy####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP openj####.m.ta####.com:80

Запросы DNS:

7b85e39####.bug####.com
a####.m.ta####.com
a####.man.aliy####.com
a####.u####.com
accscdn####.m.ta####.com
ag####.m.ta####.com
api.growi####.com
api.pro.meiy####.com
mpush####.al####.com
mt####.go####.com
play-pi####.qini####.com
st####.meiy####.com
st0.meiy####.com
t####.growi####.com
t.growi####.com

Запросы HTTP GET:

sni.c####.q####.####.com/app/201708161515/H5PackageMap.json

Запросы HTTP POST:

a####.u####.com/app_logs
aliyun-####.al####.com/config
pili-qo####.qini####.com/raw/log/play-v5
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0.app.js
/data/data/####/0@2x.png
/data/data/####/0@3x.png
/data/data/####/1.app.js
/data/data/####/10@2x.png
/data/data/####/10@3x.png
/data/data/####/12@2x.png
/data/data/####/12@3x.png
/data/data/####/13@2x.png
/data/data/####/13@3x.png
/data/data/####/14@2x.png
/data/data/####/14@3x.png
/data/data/####/17@2x.png
/data/data/####/17@3x.png
/data/data/####/2.app.js
/data/data/####/29553ee819bddd086f46.zip?t=201708011458
/data/data/####/29@2x.png
/data/data/####/29@3x.png
/data/data/####/3.app.js
/data/data/####/31@2x.png
/data/data/####/31@3x.png
/data/data/####/32@2x.png
/data/data/####/32@3x.png
/data/data/####/33@2x.png
/data/data/####/33@3x.png
/data/data/####/34@2x.png
/data/data/####/34@3x.png
/data/data/####/404.css
/data/data/####/404.html
/data/data/####/650506cb992b46c9dc8f.zip?t=201708161515
/data/data/####/8322e1fcd3850bc8fbee.zip?t=201706081843
/data/data/####/9@2x.png
/data/data/####/9@3x.png
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/H5PackageMap.json
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/app.js
/data/data/####/app.xml
/data/data/####/base.css
/data/data/####/base.js
/data/data/####/bg-avatar.png
/data/data/####/bg-cart-empty.b5dff63.png
/data/data/####/bg-empty.10743f0.png
/data/data/####/bg-line.png
/data/data/####/bg-mask-small.png
/data/data/####/bg-mask.png
/data/data/####/bg-pop-center.png
/data/data/####/bg-pop-left.png
/data/data/####/bg-pop-right.png
/data/data/####/bg-toolbar-mask.png
/data/data/####/bg-try.jpg
/data/data/####/bg_back_image.6931803.png
/data/data/####/bg_front_image.b10ea46.png
/data/data/####/bower.json
/data/data/####/btn-back.e1d0748.png
/data/data/####/btn-close.png
/data/data/####/btn-like.png
/data/data/####/btn-liked.png
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.meiyaapp.meiya;GeTuiPushService.growing.db
/data/data/####/com.meiyaapp.meiya;GeTuiPushService.growing.db-journal
/data/data/####/com.meiyaapp.meiya;channel.growing.db
/data/data/####/com.meiyaapp.meiya;channel.growing.db-journal
/data/data/####/com.meiyaapp.meiya_preferences.xml
/data/data/####/comment.css
/data/data/####/comment.html
/data/data/####/comment.js
/data/data/####/content.png
/data/data/####/coupon-bg.c34c2e2.png
/data/data/####/coupon-bg.png
/data/data/####/coupon-grey-bg.f5c2b3d.png
/data/data/####/coupon-grey-bg.png
/data/data/####/coupon-list.css
/data/data/####/coupon-list.html
/data/data/####/coupon-list.js
/data/data/####/coupon-question.css
/data/data/####/coupon-question.html
/data/data/####/default-avatar.png
/data/data/####/default.png
/data/data/####/detail.css
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/detail_v2.html
/data/data/####/device_id.xml.xml
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/function.css
/data/data/####/getui_sp.xml
/data/data/####/good.css
/data/data/####/good.html
/data/data/####/good.js
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/help.css
/data/data/####/help.html
/data/data/####/help.js
/data/data/####/httpdns_config_cache.xml
/data/data/####/icon-a.png
/data/data/####/icon-arrow-right.png
/data/data/####/icon-arrow.png
/data/data/####/icon-back.png
/data/data/####/icon-bag.png
/data/data/####/icon-card.94750aa.png
/data/data/####/icon-cart.3908541.png
/data/data/####/icon-cart.png
/data/data/####/icon-checked.43da057.png
/data/data/####/icon-checked.png
/data/data/####/icon-comment.png
/data/data/####/icon-common.png
/data/data/####/icon-delete.png
/data/data/####/icon-image.png
/data/data/####/icon-info-small-pink.73c6ba2.png
/data/data/####/icon-info-small.44fbd56.png
/data/data/####/icon-info.e474442.png
/data/data/####/icon-like.png
/data/data/####/icon-liked.png
/data/data/####/icon-live-big.png
/data/data/####/icon-live-small.png
/data/data/####/icon-loading.afadea8.png
/data/data/####/icon-local.0dfa1ca.png
/data/data/####/icon-m-big.png
/data/data/####/icon-m.png
/data/data/####/icon-q.png
/data/data/####/icon-question.png
/data/data/####/icon-replay-small.png
/data/data/####/icon-select-fill.4878530.png
/data/data/####/icon-share.png
/data/data/####/icon-sort-active.png
/data/data/####/icon-sort.png
/data/data/####/icon-star.png
/data/data/####/icon-style-active.png
/data/data/####/icon-style.png
/data/data/####/icon-success.png
/data/data/####/icon-time.93a8916.png
/data/data/####/icon-time.png
/data/data/####/icon-user.be9913a.png
/data/data/####/icon-v-big.png
/data/data/####/icon-v-blue.png
/data/data/####/icon-v.png
/data/data/####/icon-view.png
/data/data/####/icons@2x.png
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/journal.tmp
/data/data/####/lazy-bg-small.png
/data/data/####/lazy-bg.png
/data/data/####/libjiagu.so
/data/data/####/list.css
/data/data/####/list.html
/data/data/####/list.js
/data/data/####/list_v2.html
/data/data/####/media.css
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/offline.xml
/data/data/####/pili_qos_index.json
/data/data/####/pili_qos_log.0
/data/data/####/playing.png
/data/data/####/privacy.html
/data/data/####/public.css
/data/data/####/public.js
/data/data/####/qos.xml
/data/data/####/report-type.js
/data/data/####/reported.css
/data/data/####/reported.html
/data/data/####/reported.js
/data/data/####/rules.08bd3d2.png
/data/data/####/settings.xml
/data/data/####/sms-help.html
/data/data/####/star-o.png
/data/data/####/star.png
/data/data/####/stats.xml
/data/data/####/stop.png
/data/data/####/tips.js
/data/data/####/title-1.png
/data/data/####/title-2.png
/data/data/####/title-3.png
/data/data/####/title-4.png
/data/data/####/tos.html
/data/data/####/try.html
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/user.png
/data/data/####/v2.html
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.nomedia
/data/media/####/07ESnyJej04PNyCSDxciBJJCYBY.-1246040125.tmp
/data/media/####/0kfAL-J1Cr2KzCiQyb2FVKB7DOw.1964800706.tmp
/data/media/####/3ZdIQL5WZPdWIvtu96DNUlbHCu4.-561732352.tmp
/data/media/####/4TNoWL4KAYfm3Y1gwn5kFz438Dc.-1141165886.tmp
/data/media/####/79c15ea9bd234f7a8cc70ae4511a5d12
/data/media/####/7CubtXrLIJp7DskOG56Lq8UiEBo.2037911911.tmp
/data/media/####/Alvin2.xml
/data/media/####/B-YkAUuZpt8zj98qpwrcQ6nUGEA.-469900534.tmp
/data/media/####/B7nOGIh14Usgcd9Dra7e5Z3S9R8.-1438750571.tmp
/data/media/####/ContextData.xml
/data/media/####/GIgpwqFgffj7TNEdz8jBaznRIm0.692593043.tmp
/data/media/####/IcqB6s9QHrpfeu_IGt2McyjSCwI.2009889413.tmp
/data/media/####/JAcsDwg1cYaOMqmGgrx4M-IIcyM.895946693.tmp
/data/media/####/LNLRU0zyu_PHSIUNI304wKkpiYI.-1192709816.tmp
/data/media/####/QAKHMuZ5-c0IWm1vJ58Z94oMr4s.507184072.tmp
/data/media/####/QRbZA_nmzpNn8fYgLEaSw9gFVuw.-1809252590.tmp
/data/media/####/V9vwBlm2gYRqb8zZxHHwzF1H1Lw.-715815647.tmp
/data/media/####/_GwU2900CG6eYhRHynFRf7thROs.2071705584.tmp
/data/media/####/dXJlnXQjhCZkareGicUjhauPY-Q.2007056742.tmp
/data/media/####/drJPDFoMhHJgOt2x8dbdkJ4vCs0.-1380349525.tmp
/data/media/####/jvs02DdQulo8OiiaKFBDcfWllKU.458792648.tmp
/data/media/####/kw5NyX-sE8nEjUhvAuWzTkq2UjE.-834645888.tmp
/data/media/####/n3OpY5_iLnDoFwFNSdYDXaL-s-8.-106273718.tmp
/data/media/####/ng6ojgo2uKuMGrNLvEG3L-A2YOU.-2013266477.tmp
/data/media/####/nxVJ1YNV6EJfyfhnVdZZwlXwZhQ.-1927106161.tmp
/data/media/####/oybb-O_1wfEF_PNUmwhtXWaz3KU.-230664297.tmp
/data/media/####/qjDVH6wJh2TldVmFBhneLBkNI6Q.-1541625264.tmp
/data/media/####/sWH3GDt3NnvZguS0e6kWHhtoJgg.-1908723288.tmp
/data/media/####/ytgvDzIZpF5tNTJenCUBnCloL2w.1199422120.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"23624264","utdid":"W9/ffhffurQDAGdzx1E3hWdb","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
sh

Загружает динамические библиотеки:

Bugtags
getuiext2
imagepipeline
libjiagu
pldroidplayer
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней