Adware.Gexin.10254

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) 1####.190.125.86:8106
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) larg####.c####.l####.####.com:80
TCP(HTTP/1.1) www.anxinda####.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) ping####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) dg####.julan####.com:80
TCP(HTTP/1.1) 3####.97.9.213:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(TLS/1.0) jj####.julan####.com:443
TCP(TLS/1.0) dg####.julan####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) 1####.217.17.110:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
and####.b####.qq.com
api.map.b####.com
app.julan####.com
c####.g####.ig####.com
c-h####.g####.com
dg####.julan####.com
dg####.julan####.com
jj####.julan####.com
l####.tbs.qq.com
loc.map.b####.com
o####.map.b####.com
pi####.qq.com
ping####.qq.com
pub-####.qin####.com
rs.eas####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.anxinda####.com

Запросы HTTP GET:

dg####.julan####.com/jll_param/jjbparam?is_jjb=####&version=####&system_...
larg####.c####.l####.####.com/offline_pkg/060b840.zip
ping####.qq.com/pingd?dm=www.anxindagong.com&pvi=582301552675644257&si=s...
qin####.com.www.####.com/tdata_EDT369
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
s####.tc.qq.com/h5/stats.js?v2####
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.anxinda####.com/zp/index.html?channel=####
www.anxinda####.com/zp/static/assets/base.css
www.anxinda####.com/zp/static/assets/clipboard.min.js
www.anxinda####.com/zp/static/assets/flexible.min.js
www.anxinda####.com/zp/static/assets/jsencrypt.min.js
www.anxinda####.com/zp/static/assets/md5.min.js
www.anxinda####.com/zp/static/assets/photo/style.min.css
www.anxinda####.com/zp/static/assets/photo/swipe.min.js
www.anxinda####.com/zp/static/assets/xBridge.js?v=####
www.anxinda####.com/zp/static/css/app.595bf0f2590292f48fe296d048e53542.css
www.anxinda####.com/zp/static/js/app.26c9ed5053ba70cc907b.js
www.anxinda####.com/zp/static/js/manifest.973030a1b9a310f6a78e.js
www.anxinda####.com/zp/static/js/vendor.733c6c818e1342033e45.js

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
dg####.julan####.com/jll_users_device/add
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0aa63e9a379c
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/authStatus_com.julanling.app;remote.xml
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.julanling.app-journal
/data/data/####/com.julanling.app_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/config.json
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/device_id.xml.xml
/data/data/####/dgq.db-journal
/data/data/####/dgq_sp.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jjb.db-journal
/data/data/####/julanling.db-journal
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/mobclick_agent_user_com.julanling.app.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/server.json
/data/data/####/share_prefers.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1552675591978.env
/data/data/####/um_cache_1552675612421.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml (deleted)
/data/data/####/umeng_it.cache
/data/data/####/user_remind_info.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xsgjz.db-journal
/data/data/####/zhgs.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0.4607b49793946b7ba3e5.js
/data/media/####/0.dea607cb579d37925698.js
/data/media/####/0.png
/data/media/####/060b840.zip
/data/media/####/1.3de635b93daf037b2f20.js
/data/media/####/1.b117034.png
/data/media/####/1.b4ba04be8552e9419c5b.js
/data/media/####/1.png
/data/media/####/10.303d4fdf7c6163b452be.js
/data/media/####/10.7191a2eaf883cbe3a855.js
/data/media/####/10.fe76c9b.png
/data/media/####/11.608100b6fed4b3a96ade.js
/data/media/####/11.fdf4bf2b5a6e9752f0a6.js
/data/media/####/12.2916fd2370133cbb8a96.js
/data/media/####/12.d64c0f1be787392de342.js
/data/media/####/13.48ccec4382355032d897.js
/data/media/####/13.e88ea597d1dd0c40aa32.js
/data/media/####/14.1e967acfc35cc9966bf4.js
/data/media/####/14.1f128d7e7014dcb07f89.js
/data/media/####/15.2ac06d440c6f313657f1.js
/data/media/####/15.a6909fea6a309f10a8d1.js
/data/media/####/16.2a148f5335751425e333.js
/data/media/####/16.7aeeceacb0ca3ff40fd5.js
/data/media/####/17.86621b5e71d5ccbe834f.js
/data/media/####/18.20209547c61ee8a26053.js
/data/media/####/19.4e17b43a6491c9e4706d.js
/data/media/####/2.3e495a1d314a8a9dc91f.js
/data/media/####/2.57b0627.png
/data/media/####/2.b23443abb5c2201112ba.js
/data/media/####/2.png
/data/media/####/20.5560b1990a99c6ffe108.js
/data/media/####/21.8b7cf4dbd8cf443b8266.js
/data/media/####/22.d50772dfc59c4df7556d.js
/data/media/####/23.f52cf452cc48d4ebdafb.js
/data/media/####/24.1ad210b12b8bf60ac074.js
/data/media/####/25.1f06684e072a068734c9.js
/data/media/####/26.745ecac6f1a9e6779222.js
/data/media/####/27.ee83c91f1dcc28109f5d.js
/data/media/####/28.e68cf7f987a872243a1d.js
/data/media/####/29.8fe53f7f0abfacb510c7.js
/data/media/####/3.0345a2534ef08434dd4a.js
/data/media/####/3.4654053.png
/data/media/####/3.53869286ad9448d82017.js
/data/media/####/3.png
/data/media/####/30.cd62a22a0753dafc1a3c.js
/data/media/####/31.3cf1dc0ed82c4b88889e.js
/data/media/####/32.6dd60535f12dbb4dec81.js
/data/media/####/33.6e029a1689e3da0b9c36.js
/data/media/####/34.29048e965b1354d11415.js
/data/media/####/35.b9b00d6daf30b3d8c2ba.js
/data/media/####/36.80f24b192b43a96ef7e8.js
/data/media/####/37.63a9c0ec90dd44bd8103.js
/data/media/####/38.6ae4c16a045318d85cab.js
/data/media/####/39.8b2f0ff3b48cba4d1a6f.js
/data/media/####/4.02b821eacb42b7117bd1.js
/data/media/####/4.4b13a6b.png
/data/media/####/4.e9f7b9d0711adc184ec5.js
/data/media/####/4.png
/data/media/####/40.eb3d99032bbb938816b2.js
/data/media/####/41.7289b8dcf3d8d1b331c8.js
/data/media/####/5.21a6f95.png
/data/media/####/5.7d7e1d5f49b3f8c44c16.js
/data/media/####/5.ec64c418075a9ad50bd8.js
/data/media/####/5.png
/data/media/####/6.5173a27c1c94461a5149.js
/data/media/####/6.a2bd5cd4c332cd077a72.js
/data/media/####/6.bcc2d2f.png
/data/media/####/6.png
/data/media/####/7.542c8584d5f224e414f0.js
/data/media/####/7.5fc53111ce50df39ab08.js
/data/media/####/7.dc40dd9.png
/data/media/####/7.png
/data/media/####/8.02b0ca7468fd0a260afa.js
/data/media/####/8.69c11f5740cd67c1ff63.js
/data/media/####/8.8a1303a.png
/data/media/####/8.png
/data/media/####/9.2b0aba84ab9e1a38888a.js
/data/media/####/9.67bc299.png
/data/media/####/9.b9673e70fc6257915060.js
/data/media/####/9.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abc.html
/data/media/####/agents-top.2fe3763.png
/data/media/####/app.26c9ed5053ba70cc907b.js
/data/media/####/app.4bc3dd7132c0496d7c07.js
/data/media/####/app.595bf0f2590292f48fe296d048e53542.css
/data/media/####/app.a6b64561dab8e50c0e64fd834152ada5.css
/data/media/####/app.db
/data/media/####/base.css
/data/media/####/bc-center-2.54ddd37.png
/data/media/####/bc-center.efae332.png
/data/media/####/bc.a6389c6.png
/data/media/####/bounty-bg.108f815.png
/data/media/####/clipboard.min.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.julanling.app.bin
/data/media/####/com.julanling.app.db
/data/media/####/comment_pre.png
/data/media/####/conlts.dat
/data/media/####/crash.txt
/data/media/####/default-skin.png
/data/media/####/default-skin.svg
/data/media/####/detail-top.7139d04.png
/data/media/####/dsbridge.js
/data/media/####/eat-stay-bg.d5414be.png
/data/media/####/face-look.5882750.png
/data/media/####/finish-center.5d4c05a.png
/data/media/####/flexible.min.js
/data/media/####/float-icon.099374e.png
/data/media/####/fresh-b.38a69fb.png
/data/media/####/fu-info.b37bc98.png
/data/media/####/fu-other.3d1299d.png
/data/media/####/fu-suc-1.dce376c.jpg
/data/media/####/fu-suc-2.18d87db.jpg
/data/media/####/fu-top-font-other.db48103.png
/data/media/####/fu-top-font.50cfbcb.png
/data/media/####/fu-top.0e7f8f9.png
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/good-factory-icon.5861f8a.gif
/data/media/####/guarantee.0207ca8.png
/data/media/####/guarantee1.b6e9631.png
/data/media/####/guarantee2.cb783ff.png
/data/media/####/guarantee3.5c7a334.png
/data/media/####/guarantee4.006de8c.png
/data/media/####/holiday_list.json
/data/media/####/home-bottom-tip.ccc9520.png
/data/media/####/icon-hand.dc48cda.svg
/data/media/####/index.html
/data/media/####/jjb.ico
/data/media/####/journal.tmp
/data/media/####/jsencrypt.min.js
/data/media/####/lookFaceUp.a81b012.png
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.973030a1b9a310f6a78e.js
/data/media/####/manifest.cadce6c67e24dc7c6368.js
/data/media/####/md5.min.js
/data/media/####/new-add-icon.57ec1e8.png
/data/media/####/pkg.json
/data/media/####/pre.png
/data/media/####/preloader.gif
/data/media/####/prize.abacedf.jpg
/data/media/####/rank-banner.a1fde07.png
/data/media/####/rob-p-b.196957b.png
/data/media/####/rule-top.957725d.png
/data/media/####/sign-bg.70b0e75.png
/data/media/####/sign.png
/data/media/####/style.min.css
/data/media/####/swipe.min.js
/data/media/####/sysid.dat
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/test.log
/data/media/####/testIos.png
/data/media/####/toast.1d35d43.png
/data/media/####/topBg.0b55072.png
/data/media/####/vendor.6df45944da833706c126.js
/data/media/####/vendor.733c6c818e1342033e45.js
/data/media/####/video-banner.9f14cf3.jpg
/data/media/####/xBridge.js
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
getprop ro.product.cpu.abi
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
hyphenate
libjiagu
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней