Adware.Gexin.5491

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) m.y####.com:80
TCP(HTTP/1.1) j####.yy####.com:80
TCP(HTTP/1.1) s.3####.cn:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) nsc####.b####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) m.k####.com:80
TCP(HTTP/1.1) js.pass####.qih####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) s7.q####.com:80
TCP(HTTP/1.1) s####.jom####.com:80
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) c####.yn.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a.appj####.com
api.s####.b####.com
b####.s####.b####.com
c####.g####.ig####.com
c####.yn.com
c.c####.com
c.sz.gt.####.com
hm.b####.com
j####.yy####.com
js.pass####.qih####.com
m.k####.com
m.y####.com
nsc####.b####.com
p####.zhanz####.b####.com
s.3####.cn
s4.c####.com
s7.q####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
z11.c####.com

Запросы HTTP GET:

c.c####.com/stat.php?id=####&web_id=####&v=####
js.pass####.qih####.com/11.0.1.js?247973c####
m.k####.com/hQuotes/quotes?code=####
m.k####.com/rili
m.y####.com/
m.y####.com/Apiuser/quotes_auth
m.y####.com/hQuotes/quotes?code=####
m.y####.com/public/static/mobile/css/base.css
m.y####.com/public/static/mobile/css/base.css?v=####
m.y####.com/public/static/mobile/css/index.css
m.y####.com/public/static/mobile/css/index.css?v=####
m.y####.com/public/static/mobile/css/profile.css?v=####
m.y####.com/public/static/mobile/images/404.png
m.y####.com/public/static/mobile/images/cjtt.png
m.y####.com/public/static/mobile/images/column_btn.png
m.y####.com/public/static/mobile/images/fanhui.png
m.y####.com/public/static/mobile/images/flag/circle/hg.png
m.y####.com/public/static/mobile/images/flag/circle/mg.png
m.y####.com/public/static/mobile/images/flag/circle/rs.png
m.y####.com/public/static/mobile/images/hot.png
m.y####.com/public/static/mobile/images/index-logo.png
m.y####.com/public/static/mobile/images/index_ggclose.png
m.y####.com/public/static/mobile/images/ioc1.png
m.y####.com/public/static/mobile/images/kx_1.png
m.y####.com/public/static/mobile/images/kx_2.png
m.y####.com/public/static/mobile/images/kx_3.png
m.y####.com/public/static/mobile/images/kx_4.png
m.y####.com/public/static/mobile/images/kx_5.png
m.y####.com/public/static/mobile/images/kx_t.png
m.y####.com/public/static/mobile/images/lijidakai.png
m.y####.com/public/static/mobile/images/login_btn.png
m.y####.com/public/static/mobile/images/logo_top.png
m.y####.com/public/static/mobile/images/mj_qh.png
m.y####.com/public/static/mobile/images/naozhong.png
m.y####.com/public/static/mobile/images/nav_bom.png
m.y####.com/public/static/mobile/images/nav_j.png
m.y####.com/public/static/mobile/images/news_example.jpg
m.y####.com/public/static/mobile/images/rili_bg.png
m.y####.com/public/static/mobile/images/tc/750x400_2.jpg
m.y####.com/public/static/mobile/images/title_l.png
m.y####.com/public/static/mobile/images/top_cong.png
m.y####.com/public/static/mobile/images/zanwubaogao.png
m.y####.com/public/static/mobile/js/account.js
m.y####.com/public/static/mobile/js/account.js?v=####
m.y####.com/public/static/mobile/js/base.js?v=####
m.y####.com/public/static/mobile/js/comment.js?v=####
m.y####.com/public/static/mobile/js/index.js
m.y####.com/public/static/mobile/js/index.js?v=####
m.y####.com/public/static/mobile/js/interactive.js?v=####
m.y####.com/public/static/mobile/js/jquery-3.3.1.min.js
m.y####.com/public/static/mobile/js/jquery.lazyload.js
m.y####.com/public/static/mobile/js/kxt_hq.min.js
m.y####.com/public/static/mobile/js/layer_mobile/layer.js
m.y####.com/public/static/mobile/js/layer_mobile/need/layer.css
m.y####.com/public/static/mobile/js/layer_mobile/need/layer.css?2####
m.y####.com/public/static/mobile/js/swipe.js
m.y####.com/public/static/mobile/js/touchslider.js
m.y####.com/public/static/mobile/libs/DateSelector.css
m.y####.com/public/static/mobile/libs/DateSelector.js
m.y####.com/public/static/mobile/libs/dialog-polyfill.css
m.y####.com/public/static/mobile/libs/dialog-polyfill.js
m.y####.com/public/static/mobile/libs/jquery-3.3.1.min.js
m.y####.com/rili
nsc####.b####.com/v.gif?pid=####&type=####&sign=####&desturl=####&linkid...
s####.jom####.com/push.js
s####.jom####.com/s.gif?l=####
s####.jom####.com/s.gif?r=http://m.yn.com/hQuotes/quotes?code=####&l=####
s####.jom####.com/static/api/css/share_style0_16.css?v=####
s####.jom####.com/static/api/js/base/tangram.js?v=####
s####.jom####.com/static/api/js/share.js
s####.jom####.com/static/api/js/share/api_base.js
s####.jom####.com/static/api/js/share/share_api.js?v=####
s####.jom####.com/static/api/js/trans/logger.js?v=####
s####.jom####.com/static/api/js/view/share_view.js?v=####
s####.jom####.com/static/api/js/view/view_base.js
s####.jom####.com/v.gif
s.3####.cn/so/zz.gif?url=####&sid=####&token=####
s.3####.cn/so/zz.gif?url=http://m.yn.com/hQuotes/quotes?code=zss&sid=247...
s7.q####.com/static/ab77b6ea7f3fbf79.js
z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
z.c####.com/stat.htm?id=1255358964&r=http://m.yn.com/hQuotes/quotes?code...

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
j####.yy####.com/caches/hdp.php
j####.yy####.com/caches/menbera.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/zheshangyou.xml
/data/media/####/1.png
/data/media/####/2.png
/data/media/####/3.png
/data/media/####/4.png
/data/media/####/5.png
/data/media/####/60x60.gif
/data/media/####/Ready.js
/data/media/####/Screenshot_20161214-113919_meitu_1.png
/data/media/####/allbgss.png
/data/media/####/aodaliya.png
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/avode.html
/data/media/####/avodes.html
/data/media/####/caijing.html
/data/media/####/caijing.js
/data/media/####/cbd.jpg
/data/media/####/chatb.html
/data/media/####/cnews.html
/data/media/####/com.cn.zheshangyou.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/common.js
/data/media/####/contact.html
/data/media/####/czjy.html
/data/media/####/datanews.html
/data/media/####/deguo.png
/data/media/####/dianshi.png
/data/media/####/faguo.png
/data/media/####/feedback.css
/data/media/####/gupiao.html
/data/media/####/hanguo.png
/data/media/####/hanqing.html
/data/media/####/hdp.js
/data/media/####/http_m.yn.com_0.localstorage-journal
/data/media/####/icon_tab_find.png
/data/media/####/icon_tab_find_press.png
/data/media/####/icon_tab_index.png
/data/media/####/icon_tab_index_press.png
/data/media/####/icon_tab_mine.png
/data/media/####/icon_tab_mine_press.png
/data/media/####/icon_tab_quotation.png
/data/media/####/icon_tab_quotation_press.png
/data/media/####/icons-extra.css
/data/media/####/immersed.js
/data/media/####/important.png
/data/media/####/index.html
/data/media/####/jianada.png
/data/media/####/libg.png
/data/media/####/login-1.png
/data/media/####/login.html
/data/media/####/logo.png
/data/media/####/mabout.html
/data/media/####/main.html
/data/media/####/manifest.json
/data/media/####/meiguo.png
/data/media/####/menbera.html
/data/media/####/mgetnews.js
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.css
/data/media/####/mui.dtpicker.css
/data/media/####/mui.imageviewer.css
/data/media/####/mui.indexedlist.css
/data/media/####/mui.js
/data/media/####/mui.listpicker.css
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.all.css
/data/media/####/mui.picker.css
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.ttf
/data/media/####/muwu.jpg
/data/media/####/n1.png
/data/media/####/n10.png
/data/media/####/n11.png
/data/media/####/n2.png
/data/media/####/n3.png
/data/media/####/n4.png
/data/media/####/n5.png
/data/media/####/n6.png
/data/media/####/n7.png
/data/media/####/n8.png
/data/media/####/n9.png
/data/media/####/nan.jpg
/data/media/####/news.png
/data/media/####/nv.jpg
/data/media/####/ouyuanqu.png
/data/media/####/ps-min.js
/data/media/####/qrcode.png
/data/media/####/rc_btn_voice_hover.png
/data/media/####/reg.html
/data/media/####/riben.png
/data/media/####/ruishi.png
/data/media/####/setting.html
/data/media/####/settinga.html
/data/media/####/shortcut.js
/data/media/####/shuijiao.jpg
/data/media/####/sm_meitu.png
/data/media/####/tab-webview-main.html
/data/media/####/tab-webview-subpage-about.html
/data/media/####/tab-webview-subpage-chat.html
/data/media/####/tab-webview-subpage-contact.html
/data/media/####/tab-webview-subpage-setting.html
/data/media/####/taiwan.png
/data/media/####/to.js
/data/media/####/today.png
/data/media/####/tzmj.html
/data/media/####/update.js
/data/media/####/update.json
/data/media/####/video-js.css
/data/media/####/video-js.min.css
/data/media/####/video-js.png
/data/media/####/video-js.swf
/data/media/####/video.js
/data/media/####/video.min.js
/data/media/####/vode.html
/data/media/####/vodes.html
/data/media/####/will.png
/data/media/####/xianggang.png
/data/media/####/xibanya.png
/data/media/####/xinxilan.png
/data/media/####/yidali.png
/data/media/####/yindu.png
/data/media/####/yingguo.png
/data/media/####/yingli.html
/data/media/####/yuantiao.jpg
/data/media/####/zbtv.png
/data/media/####/zhongguo.png
/data/media/####/zhongyao.html

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней