Adware.Gexin.6562

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) 61.55.1####.26:8088
TCP(HTTP/1.1) f####.f####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) img.f####.com.####.net:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 61.55.1####.34:8088
TCP(HTTP/1.1) 2####.192.139.100:8088
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
and####.b####.qq.com
api.s####.mob.com
c####.g####.ig####.com
c-h####.g####.com
c.d####.mob.com
c.sz.gt.####.com
d####.d####.mob.com
f####.f####.com
img.f####.com
m.d####.mob.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

f####.f####.com/Flux4AdData.aspx?id=####
img.f####.com.####.net/Novel/166x235/0/184/000184169.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207731.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207972.jpg
img.f####.com.####.net/Novel/166x235/0/211/000211031.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212744.jpg
img.f####.com.####.net/Novel/166x235/0/215/000215032.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220523.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220575.jpg
img.f####.com.####.net/Novel/166x235/0/221/000221401.jpg
img.f####.com.####.net/Novel/166x235/0/221/000221446.jpg
img.f####.com.####.net/Novel/166x235/0/222/000222293.jpg
img.f####.com.####.net/Novel/166x235/0/223/000223133.jpg
img.f####.com.####.net/Novel/166x235/0/223/000223796.jpg
img.f####.com.####.net/Novel/166x235/0/224/000224691.jpg
img.f####.com.####.net/Novel/166x235/0/225/000225966.jpg
img.f####.com.####.net/Novel/166x235/0/226/000226661.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227148.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227239.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227906.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227938.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227956.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227983.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228260.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228447.jpg
img.f####.com.####.net/Novel/166x235/0/229/000229302.jpg
img.f####.com.####.net/Novel/166x235/0/229/000229514.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231300.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231355.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231522.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231939.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232005.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232014.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232560.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232595.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232784.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232835.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232927.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232987.jpg
img.f####.com.####.net/Novel/166x235/0/233/000233875.jpg
img.f####.com.####.net/Novel/166x235/0/234/000234087.jpg
img.f####.com.####.net/Novel/166x235/0/234/000234177.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235181.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235431.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235559.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235570.jpg
img.f####.com.####.net/hpic/2018/11/30/37b1885f-6a2e-4708-b07b-0423ff4fa...
img.f####.com.####.net/hpic/2018/11/30/ce6a9df8-68c3-4158-8a0e-c0c8586ae...
img.f####.com.####.net/hpic/2018/11/30/de1139d4-2554-477c-8bb6-b21a27fdb...
img.f####.com.####.net/hpic/2018/11/30/f830b8aa-2299-4c2f-8e08-61aae0c67...
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c-h####.g####.com/api.php?format=####&t=####
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dgen
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-297331408
/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/1004
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/config.xml
/data/data/####/crashrecord.xml
/data/data/####/faloodb.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-1635079018.so
/data/data/####/local_crash_lock
/data/data/####/mfbook.db
/data/data/####/mfbook.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/native_record_lock
/data/data/####/okgo.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/media/####/.al
/data/media/####/.artc_lock
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/0105db47a9f31f54b5abe67aa81553df599741ba589ea8....0.tmp
/data/media/####/0edd808f29a70c64d8517e8b95df9a847719e5f9e58c40....0.tmp
/data/media/####/1b2d54191afda55d172297c58f259dcedb962bec26fb81....0.tmp
/data/media/####/1d9a32c4c1e1d39a9e5d27a3182e7a6768663a2b84ed67....0.tmp
/data/media/####/1df65943e9ca859ec5d28edddec13994cf187c3450c6a6....0.tmp
/data/media/####/249d403d7a12fe93c2ce7b86e25e10321ad11da7dd82ec....0.tmp
/data/media/####/27f5ad6f7d1c2b8cfb4b6d21b61a66e95c2b88c6b66e93....0.tmp
/data/media/####/28c8e247a0cf60dc5aac33fb8a164ef2d802eb9ae9645b....0.tmp
/data/media/####/2b89c170009fc3eb6c403e588bd7718974fee0cb1c01ec....0.tmp
/data/media/####/341176154b5f2ecdb5ffeae9b8b6ffc01e386a2dd513dd....0.tmp
/data/media/####/34da0de0fa7f1f496c33b3b70675dcae4c4a53684c70f6....0.tmp
/data/media/####/39399d6c1b854043ef93fe9664b6f77f3d7c7db9ba275b....0.tmp
/data/media/####/3c5b99b032efe249544cdc930c01fdb851c069bffd402a....0.tmp
/data/media/####/486a70705c1cbd2ac208040cfeaa4d44cb6a4b6adeea80....0.tmp
/data/media/####/492cf0d4a0d2fff614701e812c58cb187cc20edd3c0243....0.tmp
/data/media/####/498d756f1168dc42ce375268d6061a521cd6e6151c3189....0.tmp
/data/media/####/4e10c00226c027398893a86e94910d65d033d58206367a....0.tmp
/data/media/####/4f19776cf5711465df657b6958b9eee70b38e93f8712f6....0.tmp
/data/media/####/600b7f4a80a0b83630367178c69f88b845b1121872dafe....0.tmp
/data/media/####/61749ec650cbc439f5a62fcf94bfaad5d52ffe30e4535c....0.tmp
/data/media/####/6ccc7fb4dc14220e98b3381f3c098cf7493366fc442b3b....0.tmp
/data/media/####/76d7e7c210ee8fa02fd2a64748845fc070fc648e115a9b....0.tmp
/data/media/####/77570c7c38c31bbb7c5b4d78507e1ef89dc9e0978d7f26....0.tmp
/data/media/####/795d8b81e3184d11c5a3bf73318b42a49374595db8767f....0.tmp
/data/media/####/7ab19ac8610c96cb76e383e11f235a508764901adbac59....0.tmp
/data/media/####/84abae649737688612db5ac70d3dc204f11dce8d93b7c9....0.tmp
/data/media/####/8f73c4008b04c12f671a364b5ad606e7a1801ee09f681f....0.tmp
/data/media/####/96369eaf88e5260e276f1ba72729d126b4f0a139cb6dff....0.tmp
/data/media/####/97c7fcd65e5656a403000aed1d721737fc4c8656533804....0.tmp
/data/media/####/a09848585ecabae1a1948333552065f38929fde3c549c3....0.tmp
/data/media/####/a483a3696bc28c63872c47e36570ca3b8a451486c5d222....0.tmp
/data/media/####/a637a045c915ec3857e03e005b52ec162e27ee48ae7357....0.tmp
/data/media/####/a88199134298122062683e94f9ed0ac030e1871610025b....0.tmp
/data/media/####/app.db
/data/media/####/b66efda14e2af9de8a9afa6c6e39462c06afc870296998....0.tmp
/data/media/####/be8c0e32198740b0e17036d72e9d33a51ad503b6c64302....0.tmp
/data/media/####/c1e658484fd3931755cf164ee1b0d9cccaa3b3d03c7b96....0.tmp
/data/media/####/c29d496934aa8a4db0daa863a3a386dd9bcf7999963bea....0.tmp
/data/media/####/c731088253454b55c6367bc460c901873f2dd38f795395....0.tmp
/data/media/####/cfb9c75467208eb561bc2d3e803640b3203e77b26a8476....0.tmp
/data/media/####/com.faloo.MFXSDaquan.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d075b96bf04416dec0c6cda73da2b6d8b72f85f042f63a....0.tmp
/data/media/####/db4ae95cfe7cac5f16276671826bdcfe2137799a3c1d15....0.tmp
/data/media/####/dbfe4c2c5e7e8313f2881afe1ca6674be42ba620272c6b....0.tmp
/data/media/####/e1b95d52b7699d9c56f4cb10bc8acbf8657fff92ae52ae....0.tmp
/data/media/####/e22ce1e52aff084378ea80030097273a63d20134f4c137....0.tmp
/data/media/####/eca6545b1866ba9f222f46257cbf970af008988577a020....0.tmp
/data/media/####/f209a0aedb52bee7cd82c285fc8c00fe504e483d41e903....0.tmp
/data/media/####/f24fc9461bc8cabd5b5fe6b5ec0e2a9ebf84655760a9f5....0.tmp
/data/media/####/f87b5fbe25fbcd501da689d23610089052f315ad37ab3f....0.tmp
/data/media/####/fe0eca895bcfd1c55d526d4ea3132c0d5c56318f97fc10....0.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24860 300 0
app_process /system/bin com.android.commands.pm.Pm list packages
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1635079018.so
getprop
grep -E -v root|shell|system
logcat *:e *:i | grep (2296)
logcat *:e *:i | grep (2350)
pm list packages
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24860 300 0
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
getuiext2
libjiagu-1635079018

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней