Adware.Gexin.10163

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) 61.55.1####.26:8088
TCP(HTTP/1.1) 2####.192.139.100:8088
TCP(HTTP/1.1) f####.f####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) img.f####.com.####.net:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
c####.g####.ig####.com
c-h####.g####.com
d####.opensp####.cn
f####.f####.com
h####.opensp####.cn
img.f####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

f####.f####.com/Flux4AdData.aspx?id=####
h####.opensp####.cn/launchconfig?t=####&p=####
img.f####.com.####.net/Novel/166x235/0/184/000184169.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207731.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207972.jpg
img.f####.com.####.net/Novel/166x235/0/211/000211031.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212744.jpg
img.f####.com.####.net/Novel/166x235/0/215/000215032.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220523.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220575.jpg
img.f####.com.####.net/Novel/166x235/0/221/000221401.jpg
img.f####.com.####.net/Novel/166x235/0/221/000221446.jpg
img.f####.com.####.net/Novel/166x235/0/222/000222293.jpg
img.f####.com.####.net/Novel/166x235/0/223/000223133.jpg
img.f####.com.####.net/Novel/166x235/0/223/000223796.jpg
img.f####.com.####.net/Novel/166x235/0/224/000224691.jpg
img.f####.com.####.net/Novel/166x235/0/225/000225966.jpg
img.f####.com.####.net/Novel/166x235/0/226/000226661.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227148.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227239.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227906.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227938.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227956.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227983.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228260.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228447.jpg
img.f####.com.####.net/Novel/166x235/0/229/000229302.jpg
img.f####.com.####.net/Novel/166x235/0/229/000229514.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231300.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231355.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231522.jpg
img.f####.com.####.net/Novel/166x235/0/231/000231939.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232005.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232014.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232560.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232595.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232784.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232835.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232927.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232987.jpg
img.f####.com.####.net/Novel/166x235/0/233/000233875.jpg
img.f####.com.####.net/Novel/166x235/0/234/000234087.jpg
img.f####.com.####.net/Novel/166x235/0/234/000234177.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235181.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235431.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235559.jpg
img.f####.com.####.net/Novel/166x235/0/235/000235570.jpg
img.f####.com.####.net/Novel/166x235/0/247/000247216.jpg
img.f####.com.####.net/hpic/2018/11/30/37b1885f-6a2e-4708-b07b-0423ff4fa...
img.f####.com.####.net/hpic/2018/11/30/ce6a9df8-68c3-4158-8a0e-c0c8586ae...
img.f####.com.####.net/hpic/2018/11/30/de1139d4-2554-477c-8bb6-b21a27fdb...
img.f####.com.####.net/hpic/2018/11/30/f830b8aa-2299-4c2f-8e08-61aae0c67...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_ZCi456
t####.c####.q####.####.com/tdata_xms651
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/384416aec342
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/config.xml
/data/data/####/gdaemon_20161017
/data/data/####/gx_sp.xml
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.faloo.BookReader4Android.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libDexHelper_mmb-x86.so
/data/data/####/libjiagu.so
/data/data/####/mfbook.db
/data/data/####/mfbook.db-journal
/data/data/####/mmbclasses.dve
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_xms651
/data/data/####/tdata_xms651.jar
/data/media/####/-1059724140.tmp
/data/media/####/-1212215146.tmp
/data/media/####/-1874659290.tmp
/data/media/####/.nomedia
/data/media/####/1783687709.tmp
/data/media/####/app.db
/data/media/####/com.faloo.BookReader4Android.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/http+img+faloo+com+Novel+166x235+0+184+000184169+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+207+000207731+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+207+000207972+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+211+000211031+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+212+000212744+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+215+000215032+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+220+000220523+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+220+000220575+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+221+000221446+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+222+000222293+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+223+000223133+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+223+000223796+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+224+000224691+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+225+000225966+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227148+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227239+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227906+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227938+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227956+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+227+000227983+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+228+000228260+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+228+000228447+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+229+000229302+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+229+000229514+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+231+000231300+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+231+000231355+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+231+000231522+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+231+000231939+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232005+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232014+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232560+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232595+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232784+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232835+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232927+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+232+000232987+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+233+000233875+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+234+000234087+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+234+000234177+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+235+000235181+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+235+000235431+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+235+000235559+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+235+000235570+jpg
/data/media/####/http+img+faloo+com+Novel+166x235+0+247+000247216+jpg
/data/media/####/iflyworkdir_test
/data/media/####/tdata_ZCi456
/data/media/####/tdata_xms651
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
logcat *:e *:i | grep (2281)
logcat *:e *:i | grep "(2281)"
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0

Загружает динамические библиотеки:

DexHelper_mmb
getuiext2
libDexHelper_mmb-x86
libjiagu
msc

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней