Adware.Gexin.8863

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 5685####.com:9991
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) gy####.myca####.com:443
TCP(TLS/1.0) se####.myca####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) as####.growi####.com.####.net:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
UDP s.j####.cn:19000
TCP 1####.230.236.35:7007
TCP 1####.92.43.24:8610

Запросы DNS:

5685####.com
and####.b####.qq.com
api.growi####.com
as####.growi####.com
gy####.myca####.com
nav.cn.ron####.com
r####.my####.com.cn
s####.cn.ron####.com
s####.j####.cn
s.j####.cn
sdk.o####.p####.####.com
se####.myca####.com
t.growi####.com
up####.sdk.jig####.cn

Запросы HTTP POST:

5685####.com:9991/
and####.b####.qq.com/rqd/async?aid=####
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/1004
/data/data/####/22dd6fd3-e84e-48ba-ad52-302d21536751
/data/data/####/27f4730f-f401-4738-a2a4-ee6dd5760a04
/data/data/####/404.e7ae525b.png
/data/data/####/870a3188-db70-489b-88af-a8d8a85fdf32
/data/data/####/Bidding.12f2d9b2.min.js
/data/data/####/Bidding.min.js
/data/data/####/COUNTLY_STORE.xml
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/CobubRazor_SharedPref.xml
/data/data/####/Connection.js
/data/data/####/Contact.js
/data/data/####/ContactAddress.js
/data/data/####/ContactError.js
/data/data/####/ContactField.js
/data/data/####/ContactFieldType.js
/data/data/####/ContactFindOptions.js
/data/data/####/ContactName.js
/data/data/####/ContactOrganization.js
/data/data/####/DirectoryEntry.js
/data/data/####/DirectoryReader.js
/data/data/####/Entry.js
/data/data/####/File.js
/data/data/####/FileEntry.js
/data/data/####/FileError.js
/data/data/####/FileReader.js
/data/data/####/FileSystem.js
/data/data/####/FileUploadOptions.js
/data/data/####/FileUploadResult.js
/data/data/####/FileWriter.js
/data/data/####/Flags.js
/data/data/####/JPushSA_Config.xml
/data/data/####/LaunchMyApp.js
/data/data/####/LocalFileSystem.js
/data/data/####/MBugly.js
/data/data/####/MDownloader.js
/data/data/####/MFeedback.js
/data/data/####/MHotUpdate.js
/data/data/####/MLeakcanary.js
/data/data/####/MPhoto.js
/data/data/####/MRazor.js
/data/data/####/MRongCloudCaigou.js
/data/data/####/MUploader.js
/data/data/####/MUtils.js
/data/data/####/MWebviewLite.js
/data/data/####/MWeixin.js
/data/data/####/MZhifubao.js
/data/data/####/Metadata.js
/data/data/####/MicCore.js
/data/data/####/ProgressEvent.js
/data/data/####/RongCloudLibPlugin.js
/data/data/####/RongPush.xml
/data/data/####/SQLitePlugin.js
/data/data/####/Statistics.xml
/data/data/####/about.34f2fdb4.min.js
/data/data/####/about.min.js
/data/data/####/active-top.f2472900.png
/data/data/####/app.1e27fb7c.min.js
/data/data/####/app.1f1fd198.min.css
/data/data/####/app.c005ad0d.min.css
/data/data/####/app.js
/data/data/####/app.min.js
/data/data/####/appPackageNames_v2
/data/data/####/assets.json
/data/data/####/auth-card.b28a1ade.png
/data/data/####/auth-licence.2e9dc851.png
/data/data/####/auth-succ.04dd6329.png
/data/data/####/auth.0f3988e6.min.js
/data/data/####/auth.min.js
/data/data/####/authIndex.808063ae.min.js
/data/data/####/authIndex.min.js
/data/data/####/authSucc.2e6d2758.min.js
/data/data/####/authSucc.min.js
/data/data/####/baa88285-a8f7-474f-b10c-0ff07e5cf0f7
/data/data/####/banner.837904df.jpg
/data/data/####/bdcdb557-a0a1-4644-a0c7-bd1f68bdf9d6
/data/data/####/bg.45ef8a69.png
/data/data/####/biddingDetail.c87efdf8.min.js
/data/data/####/biddingDetail.min.js
/data/data/####/biddingList.6af62214.min.js
/data/data/####/biddingList.min.js
/data/data/####/biddingStatus.bb300b12.min.js
/data/data/####/biddingStatus.min.js
/data/data/####/browser.59c4e5f7.min.js
/data/data/####/browser.min.js
/data/data/####/bugly_db_-journal
/data/data/####/checkPhone.58650424.min.js
/data/data/####/checkPhone.min.js
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/cobub.cacheactivityInfo
/data/data/####/cobub.cacheclientData
/data/data/####/comshopvipallgood
/data/data/####/config.js
/data/data/####/confirmPassword.e1fb9d5a.min.js
/data/data/####/confirmPassword.min.js
/data/data/####/contacts.js
/data/data/####/contactsIndex.54bac179.min.js
/data/data/####/contactsIndex.min.js
/data/data/####/control.c73b2a14.min.js
/data/data/####/control.min.js
/data/data/####/convertUtils.js
/data/data/####/cordova.js
/data/data/####/cordova_plugins.js
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dcd5d640-9b09-4a51-8bec-277199e9e5a8
/data/data/####/deadline-recruit.7d75003a.jpg
/data/data/####/dev-banner.a047698f.png
/data/data/####/developer.2ed25fb8.min.js
/data/data/####/developer.min.js
/data/data/####/developerBidding.e5263ddc.min.js
/data/data/####/developerBidding.min.js
/data/data/####/developerBrief.ad00db82.min.js
/data/data/####/developerBrief.min.js
/data/data/####/developerInfo.1762ce35.min.js
/data/data/####/developerInfo.min.js
/data/data/####/developerProject.12be7986.min.js
/data/data/####/developerProject.min.js
/data/data/####/developerRecruit.7ed2f341.min.js
/data/data/####/developerRecruit.min.js
/data/data/####/device.js
/data/data/####/enquiryDetail.99bf54d0.min.js
/data/data/####/enquiryDetail.min.js
/data/data/####/enquiryIndex.88f99292.min.js
/data/data/####/enquiryIndex.min.js
/data/data/####/enterpriseAddress.94049683.min.js
/data/data/####/enterpriseAddress.min.js
/data/data/####/enterpriseCase.e2b14a2e.min.js
/data/data/####/enterpriseCase.min.js
/data/data/####/enterpriseCaseDetail.811cb88b.min.js
/data/data/####/enterpriseCaseDetail.min.js
/data/data/####/enterpriseCertificate.50c0e60b.min.js
/data/data/####/enterpriseCertificate.min.js
/data/data/####/enterpriseContact.7667bf00.min.js
/data/data/####/enterpriseContact.min.js
/data/data/####/enterpriseIndex.9844959d.min.js
/data/data/####/enterpriseIndex.min.js
/data/data/####/enterpriseInterview.9a958901.min.js
/data/data/####/enterpriseInterview.min.js
/data/data/####/enterpriseInterviewLog.b4f8abd3.min.js
/data/data/####/enterpriseInterviewLog.min.js
/data/data/####/enterpriseProDetail.02362157.min.js
/data/data/####/enterpriseProDetail.min.js
/data/data/####/enterpriseProduct.e16b38dc.min.js
/data/data/####/enterpriseProduct.min.js
/data/data/####/enterpriseStorage.ec74f9e2.min.js
/data/data/####/enterpriseStorage.min.js
/data/data/####/enterpriseWinBidding.81154083.min.js
/data/data/####/enterpriseWinBidding.min.js
/data/data/####/exec.js
/data/data/####/f_000001
/data/data/####/favicon.ico
/data/data/####/feedback.917475b9.min.js
/data/data/####/feedback.min.js
/data/data/####/fileSystemPaths.js
/data/data/####/fileSystems-roots.js
/data/data/####/fileSystems.js
/data/data/####/getui_sp.xml
/data/data/####/gold-supplier-banner.8292b5c6.jpg
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/home.5b719f44.min.js
/data/data/####/home.min.js
/data/data/####/homeEdit.194f9ac6.min.js
/data/data/####/homeEdit.min.js
/data/data/####/homeModify.fe6daa45.min.js
/data/data/####/homeModify.min.js
/data/data/####/homeProfile.c34a1353.min.js
/data/data/####/homeProfile.min.js
/data/data/####/homeTreasure.cd97173d.min.js
/data/data/####/homeTreasure.min.js
/data/data/####/hot-industry.7727352a.png
/data/data/####/icon-type.2f6bf495.png
/data/data/####/iconfont.549de350.svg
/data/data/####/iconfont.6e034455.eot
/data/data/####/iconfont.70c19a34.eot
/data/data/####/iconfont.92d7ec06.ttf
/data/data/####/iconfont.e1f19a15.woff
/data/data/####/iconfont.eb4311c0.svg
/data/data/####/iconfont.f4214251.ttf
/data/data/####/index
/data/data/####/index.f1fee6ad.min.js
/data/data/####/index.html
/data/data/####/index.min.js
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/isChrome.js
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/keyboard.js
/data/data/####/kfsProfile.fb6949b3.min.js
/data/data/####/kfsProfile.min.js
/data/data/####/libjiagu-1653217386.so
/data/data/####/libs.1e27fb7c.min.js
/data/data/####/libs.min.js
/data/data/####/local_crash_lock
/data/data/####/login-bg.63e8b563.png
/data/data/####/login.21ee2a3c.min.js
/data/data/####/login.min.js
/data/data/####/mGTPush.js
/data/data/####/manifest.min.js
/data/data/####/messageIndex.7e998403.min.js
/data/data/####/messageIndex.min.js
/data/data/####/mgrowingio.js
/data/data/####/multidex.version.xml
/data/data/####/mysoft.xml
/data/data/####/native_record_lock
/data/data/####/nativeapiprovider.js
/data/data/####/network.js
/data/data/####/nofound.58c25692.min.js
/data/data/####/nofound.min.js
/data/data/####/paySelectway.d55f0f0f.min.js
/data/data/####/paySelectway.min.js
/data/data/####/payTreasure.8b927018.min.js
/data/data/####/payTreasure.min.js
/data/data/####/platform.js
/data/data/####/projectDetail.d7ed5b8f.min.js
/data/data/####/projectDetail.min.js
/data/data/####/promptbasednativeapi.js
/data/data/####/protocol.382d99b8.min.js
/data/data/####/protocol.min.js
/data/data/####/purchase-company-top.765d9f2e.png
/data/data/####/purchase-top.f9edaab9.png
/data/data/####/r-banner.6faa874c.png
/data/data/####/rank.actsupp.4cc7e0bc.min.js
/data/data/####/rank.actsupp.min.js
/data/data/####/rank.devstorage.e03cabb9.min.js
/data/data/####/rank.devstorage.min.js
/data/data/####/rank.dlrecruit.548d5a2f.min.js
/data/data/####/rank.dlrecruit.min.js
/data/data/####/rank.goldsupp.9e21ab0f.min.js
/data/data/####/rank.goldsupp.min.js
/data/data/####/rank.purchase.bc6d1534.min.js
/data/data/####/rank.purchase.min.js
/data/data/####/rank.purcompany.0a244cf7.min.js
/data/data/####/rank.purcompany.min.js
/data/data/####/rank.suppstorage.65816b28.min.js
/data/data/####/rank.suppstorage.min.js
/data/data/####/raven.min.js
/data/data/####/recruit-know1.2898c956.png
/data/data/####/recruit-know2.5b4dd996.png
/data/data/####/recruitContact.4a46999a.min.js
/data/data/####/recruitContact.min.js
/data/data/####/recruitDetail.de47ca15.min.js
/data/data/####/recruitDetail.min.js
/data/data/####/recruitList.710208e9.min.js
/data/data/####/recruitList.min.js
/data/data/####/recruitPublisher.ea311c8f.min.js
/data/data/####/recruitPublisher.min.js
/data/data/####/recruitRecommend.1af3122e.min.js
/data/data/####/recruitRecommend.min.js
/data/data/####/recruitStatus.36615640.min.js
/data/data/####/recruitStatus.min.js
/data/data/####/register.f1c72616.min.js
/data/data/####/register.min.js
/data/data/####/requestFileSystem.js
/data/data/####/resolveLocalFileSystemURI.js
/data/data/####/searchIndex.4addfccc.min.js
/data/data/####/searchIndex.min.js
/data/data/####/security_info
/data/data/####/static-1x1.png
/data/data/####/static-chat.png
/data/data/####/static-default.png
/data/data/####/static-developer-gold.png
/data/data/####/static-header.png
/data/data/####/static-logo.png
/data/data/####/static-supplier-gold.png
/data/data/####/static-wellknown.png
/data/data/####/static-wx-bidding.png
/data/data/####/static-wx-developer.png
/data/data/####/static-wx-recruit.png
/data/data/####/static-wx-share-deadlinerecruit.png
/data/data/####/static-wx-share-developerstorage.png
/data/data/####/static-wx-share-goldsupplier.png
/data/data/####/static-wx-share-purchase-company.png
/data/data/####/static-wx-share-purchase.png
/data/data/####/static-wx-share-supplier.png
/data/data/####/static-wx-share-supplierstorage.png
/data/data/####/static-wx-supplier.png
/data/data/####/static-wx.png
/data/data/####/statusbar.js
/data/data/####/storage.b833db8f.jpg
/data/data/####/supplier-gold.7f093965.png
/data/data/####/supplier-join.feb8959f.png
/data/data/####/supplier-new.c607d68f.png
/data/data/####/supplier-top.4a4f0215.png
/data/data/####/supplier.57762d41.min.js
/data/data/####/supplier.min.js
/data/data/####/themeablebrowser.js
/data/data/####/today-recruit.6319b9e5.png
/data/data/####/top50-1.3446b30d.png
/data/data/####/top50-2.5979e66b.png
/data/data/####/unauth.e9998c78.png
/data/data/####/uncert.524c4657.min.js
/data/data/####/uncert.min.js
/data/data/####/update.8359fb15.png
/data/data/####/vConsole.6c0fe75a.min.js
/data/data/####/vConsole.min.js
/data/data/####/variable.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/zb.768277dc.min.js
/data/data/####/zb.min.js
/data/data/####/zm.46106f88.min.js
/data/data/####/zm.min.js
/data/media/####/.comshopvipallgood
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/cgzs.db
/data/media/####/cgzs.db-journal
/data/media/####/cgzs.db-shm (deleted)
/data/media/####/cgzs.db-wal

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
getprop

Загружает динамические библиотеки:

Bugly
RongIMLib
getuiext2
jcore120
libjiagu-1653217386
sqliteX

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней