Adware.Gexin.8839

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) img.newairc####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a.a####.qq.com:80
TCP(HTTP/1.1) h5.newairc####.com:80
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) isds####.qq.com:443
TCP(TLS/1.0) ping####.qq.com:443
TCP(TLS/1.0) a.a####.qq.com:443
TCP(TLS/1.0) oss.newairc####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) eb####.boc.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

3####.qq.com
7j####.c####.z0.####.com
a####.u####.com
a.a####.qq.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
c.sz.gt.####.com
cms.g####.com
d####.opensp####.cn
eb####.boc.cn
h####.opensp####.cn
h5.newairc####.com
img.newairc####.com
isds####.qq.com
oss.newairc####.com
ping####.qq.com
pp.m####.com
sdk.c####.ig####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

a.a####.qq.com/o/simple.jsp?pkgname=com.chinamworld.bocmbci&android_sche...
h####.opensp####.cn/launchconfig?t=####&p=####
h5.newairc####.com/adv_detail?aid=####&sid=####&app=####
h5.newairc####.com/api/getArticles?sid=####&cid=####&lastFileID=####&row...
h5.newairc####.com/api/getColumns?sid=####&cid=####
h5.newairc####.com/api/getConfig?sid=####
img.newairc####.com/ycxw/pic/201811/30/6385e3d4-6ed4-4818-8eec-238879bab...
oss.newairc####.com/ycxw/pic/201607/13/7e9f3779-bee4-46fa-8119-0b1e0397f...
oss.newairc####.com/ycxw/pic/201607/13/95daa62e-239b-4f39-ac20-5cbe6284c...
oss.newairc####.com/ycxw/pic/201607/13/bdbe339c-356e-4222-a53a-feaab92c3...
oss.newairc####.com/ycxw/pic/201607/13/ca2f6ced-67c3-40f6-a446-9e0e225e6...
oss.newairc####.com/ycxw/pic/201607/13/e2a7b2cb-546d-4783-9b38-f3ad2a5fa...
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-113815114
/data/data/####/-114026959
/data/data/####/-1312716470
/data/data/####/-1382182559
/data/data/####/-1382182560
/data/data/####/-1382182561
/data/data/####/-1382182562
/data/data/####/-1382182563
/data/data/####/-1382182564
/data/data/####/-1382182565
/data/data/####/-1382182566
/data/data/####/-1382182567
/data/data/####/-1382182589
/data/data/####/-1382182590
/data/data/####/-1382182591
/data/data/####/-1382182592
/data/data/####/-1382182593
/data/data/####/-1383020680
/data/data/####/-1384033514
/data/data/####/-1384087291
/data/data/####/-1384091077
/data/data/####/-1384091078
/data/data/####/-1384091079
/data/data/####/-1384091080
/data/data/####/-1384091081
/data/data/####/-1384091082
/data/data/####/-1384091104
/data/data/####/-1384091105
/data/data/####/-1384091106
/data/data/####/-1384091107
/data/data/####/-1384091108
/data/data/####/-144834921
/data/data/####/-145046766
/data/data/####/-175854728
/data/data/####/-176066573
/data/data/####/-2032335697
/data/data/####/-207086380
/data/data/####/-238106187
/data/data/####/-327485506
/data/data/####/-51775500
/data/data/####/-82795307
/data/data/####/-98052708
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/1389023919
/data/data/####/1695857311
/data/data/####/2014086026
/data/data/####/2072244671
/data/data/####/386967948
/data/data/####/492024288
/data/data/####/568408795
/data/data/####/599428602
/data/data/####/630448409
/data/data/####/630660254
/data/data/####/661468216
/data/data/####/661680061
/data/data/####/692488023
/data/data/####/692699868
/data/data/####/722431815
/data/data/####/723507830
/data/data/####/723719675
/data/data/####/754527637
/data/data/####/754739482
/data/data/####/785547444
/data/data/####/785759289
/data/data/####/816567251
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/base.css
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/client_share_code_qrcode.png
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder0-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/helpMsg.xml
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.founder.huanghechenbao.xml
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.min.js
/data/data/####/libjiagu.so
/data/data/####/loading.png
/data/data/####/news_detail.html
/data/data/####/play.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/tbs_download_config.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/072ded9ef6a044481a328e3fbf6672fa0d9fa72a4efc0e....0.tmp
/data/media/####/0d98ab2c3e4b6ef6ec429ff7a933e0f97e45e686d051b3....0.tmp
/data/media/####/1b75e08e30d7651efd4752e1df61c3dd506878b0993b06....0.tmp
/data/media/####/252876a47fedecf13fb6a55a170a75192851d0d4b12260....0.tmp
/data/media/####/268bbbeca7be17ee8caea60e0095e17f53b2525c827bc6....0.tmp
/data/media/####/328ad5b730ad265b2c1d67ca0b66532089c6b752bf718e....0.tmp
/data/media/####/37b8a5a0947f6057696a440da75ba8e548501b3b0e706b....0.tmp
/data/media/####/39bfaa26e4545c284f678d6f6d629c7be382b771d32e1c....0.tmp
/data/media/####/3c7438834f012438de8afe05d5927d6ad02904378d8a20....0.tmp
/data/media/####/4082aa5a74e2eb73df53cb278322cb13d84c71b808c629....0.tmp
/data/media/####/53951956eb2175a821e130a0aeb215549f5fa387a0599a....0.tmp
/data/media/####/539f4aee798d91a55d292bdcbca51faed12f2d87fb70b0....0.tmp
/data/media/####/53e4883954376a3b8a005d621904d85a4788b43f430289....0.tmp
/data/media/####/5825b73c479a68976f77798e353c0ce4cf555d64ac2bee....0.tmp
/data/media/####/7663ea5d0dcb579d58fc63a1f3bb96b55e65b3db21673d....0.tmp
/data/media/####/8b065885eaaa784f188a2179d5e94fcf92e039d72a08c0....0.tmp
/data/media/####/97a5b00b8ee708f78829400a7ea6fcf481c7806215aef8....0.tmp
/data/media/####/9ae5d19ef48f8aa10465fd46204a9b00a2b69f2dbc98cc....0.tmp
/data/media/####/a0d04d70cb4a7d42ba16e331577c36c5e1d4ba599c50a7....0.tmp
/data/media/####/app.db
/data/media/####/c79243462c73d488e4cded483d53d2f897640ed44c01b3....0.tmp
/data/media/####/cd1c6ba141debdde2da44495ff01b12865ce630f12b956....0.tmp
/data/media/####/cd50e32060d39ae7d244117ba3e4bd34e7cb84ed0e1aa8....0.tmp
/data/media/####/com.founder.huanghechenbao.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/e7fd9bd6a454140b3d6be6fd4c6dfe315612d032cd3dd4....0.tmp
/data/media/####/e8328077d8a9f73d22bffa98d29b1cdb9d9150f3539808....0.tmp
/data/media/####/e8e90a016c0d93be27cbe7e11a7d025ae653d1fa969454....0.tmp
/data/media/####/ea7b2866b79333ae569c9adf71a17a587f30ad862c220c....0.tmp
/data/media/####/fbfca9f8a0bcef086245b87e1689aed7c8723b97645790....0.tmp
/data/media/####/iflyworkdir_test
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25622 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25622 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu
msc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней