Adware.Gexin.10549

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 3####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) 3####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

3####.com
3####.com
7j####.c####.z0.####.com
a####.man.aliy####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
and####.b####.qq.com
and####.cli####.go####.com
c####.g####.ig####.com
c-h####.g####.com
l####.cc
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

l####.cc/i/sdk/is_gal?sign=####&linkedme_key=####&sdk_version=####&retry...
qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_SBh025
t####.c####.q####.####.com/tdata_ZKm258
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

3####.com/global/sensors/sa?project=####&token=####
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.cc/i/sdk/install
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/._CHANGES.md
/data/data/####/._LICENSE
/data/data/####/._LICENSE.md
/data/data/####/._LICENSE.txt
/data/data/####/._README.md
/data/data/####/._abstracttoolbarmodifier.js
/data/data/####/._ajax-loader.c5cd7f53.gif
/data/data/####/._ajax.html
/data/data/####/._api.html
/data/data/####/._appendto.html
/data/data/####/._arrow.png
/data/data/####/._assets
/data/data/####/._btn_bbs_close@3x.858f3710.png
/data/data/####/._btn_bbs_comment@3x.a77878fe.png
/data/data/####/._btn_bbs_jubao@3x.6653411c.png
/data/data/####/._btn_bbs_submit@3x.8e82795d.png
/data/data/####/._build-config.js
/data/data/####/._ckeditor
/data/data/####/._ckeditor.js
/data/data/####/._clipboard
/data/data/####/._close-3.2b1b9589.png
/data/data/####/._close.png
/data/data/####/._codemirror
/data/data/####/._codemirror.css
/data/data/####/._codemirror.js
/data/data/####/._config.js
/data/data/####/._config.json
/data/data/####/._contents.css
/data/data/####/._create.b65ac99c.chunk.js
/data/data/####/._css
/data/data/####/._datafiltering.html
/data/data/####/._detail.1c7fa96c.chunk.js
/data/data/####/._dialog
/data/data/####/._dialog.css
/data/data/####/._dialog.html
/data/data/####/._dialogDefinition.js
/data/data/####/._dialog_ie.css
/data/data/####/._dialog_ie7.css
/data/data/####/._dialog_ie8.css
/data/data/####/._dialog_iequirks.css
/data/data/####/._dialogs
/data/data/####/._divreplace.html
/data/data/####/._docs
/data/data/####/._editor.css
/data/data/####/._editor_gecko.css
/data/data/####/._editor_ie.css
/data/data/####/._editor_ie7.css
/data/data/####/._editor_ie8.css
/data/data/####/._editor_iequirks.css
/data/data/####/._en.js
/data/data/####/._enterkey
/data/data/####/._enterkey.html
/data/data/####/._favicon.png
/data/data/####/._font
/data/data/####/._fontello.css
/data/data/####/._fontello.eot
/data/data/####/._fontello.svg
/data/data/####/._fontello.ttf
/data/data/####/._fontello.woff
/data/data/####/._fullpage.html
/data/data/####/._fulltoolbareditor.js
/data/data/####/._github-top.png
/data/data/####/._header-bg.png
/data/data/####/._header-separator.png
/data/data/####/._hidpi
/data/data/####/._home.38eee4a5.chunk.js
/data/data/####/._icomoon.2cc34b95.svg
/data/data/####/._icomoon.3d8a1f1f.eot
/data/data/####/._icomoon.52aa6ff2.woff
/data/data/####/._icomoon.5668406d.ttf
/data/data/####/._icon_arrow@3x.d84b5f0d.png
/data/data/####/._icon_bbs_addpic@3x.309a5669.png
/data/data/####/._icon_bbs_comment@3x.d2ff3f3a.png
/data/data/####/._icon_bbs_hot@3x.445d8c6a.png
/data/data/####/._icon_bbs_mix@3x.c6c82b4c.png
/data/data/####/._icon_bbs_project@3x.bb8a45ea.png
/data/data/####/._icon_comment@3x.71a7274a.png
/data/data/####/._icon_message_ring_bbs_unread@3x.d766c9a4.png
/data/data/####/._icon_message_ring_sel@3x.9d3f4816.png
/data/data/####/._icon_message_ring_unread@3x.5191e48f.png
/data/data/####/._icons.png
/data/data/####/._icons_hidpi.png
/data/data/####/._images
/data/data/####/._img
/data/data/####/._index.html
/data/data/####/._inlineall
/data/data/####/._inlineall.html
/data/data/####/._inlinebycode.html
/data/data/####/._inlinetextarea.html
/data/data/####/._install.html
/data/data/####/._javascript.js
/data/data/####/._jquery.html
/data/data/####/._js
/data/data/####/._lang
/data/data/####/._languages.js
/data/data/####/._lib
/data/data/####/._list.bd65a65e.chunk.js
/data/data/####/._lock-open.png
/data/data/####/._lock.png
/data/data/####/._logo.png
/data/data/####/._main.35e48345.js
/data/data/####/._main.8f5297e9.css
/data/data/####/._media
/data/data/####/._message.ef427d44.chunk.js
/data/data/####/._moonocolor
/data/data/####/._my_dialog.js
/data/data/####/._navigation-tip.png
/data/data/####/._neo.css
/data/data/####/._old
/data/data/####/._onchange
/data/data/####/._outputxhtml
/data/data/####/._outputxhtml.css
/data/data/####/._paste.js
/data/data/####/._pic_blank@3x.0839cf5a.png
/data/data/####/._plugin.js
/data/data/####/._plugins
/data/data/####/._posteddata.php
/data/data/####/._readme.md
/data/data/####/._readonly.html
/data/data/####/._refresh.png
/data/data/####/._replacebyclass.html
/data/data/####/._replacebycode.html
/data/data/####/._sample.css
/data/data/####/._sample.jpg
/data/data/####/._sample.js
/data/data/####/._sample_posteddata.php
/data/data/####/._samples
/data/data/####/._samples.css
/data/data/####/._sf.js
/data/data/####/._show-hint.css
/data/data/####/._show-hint.js
/data/data/####/._skins
/data/data/####/._slick.b7c9e1e4.woff
/data/data/####/._slick.ced611da.eot
/data/data/####/._slick.d41f55a7.ttf
/data/data/####/._slick.f97e3bbf.svg
/data/data/####/._spinner.gif
/data/data/####/._stat.js
/data/data/####/._static
/data/data/####/._styles.css
/data/data/####/._styles.js
/data/data/####/._tabindex.html
/data/data/####/._toolbarconfigurator
/data/data/####/._toolbarmodifier.js
/data/data/####/._toolbartextmodifier.js
/data/data/####/._uicolor.html
/data/data/####/._uilanguages
/data/data/####/._uilanguages.html
/data/data/####/._wysiwygarea
/data/data/####/._xhtmlstyle.html
/data/data/####/._zepto.min.js
/data/data/####/._zh-cn.js
/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/CHANGES.md
/data/data/####/ContextData.xml
/data/data/####/LICENSE
/data/data/####/LICENSE.md
/data/data/####/LICENSE.txt
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/README.md
/data/data/####/UTCommon.xml
/data/data/####/abstracttoolbarmodifier.js
/data/data/####/ajax-loader.c5cd7f53.gif
/data/data/####/ajax.html
/data/data/####/ap.Lock
/data/data/####/api.html
/data/data/####/appendto.html
/data/data/####/arrow.png
/data/data/####/btn_bbs_close@3x.858f3710.png
/data/data/####/btn_bbs_comment@3x.a77878fe.png
/data/data/####/btn_bbs_jubao@3x.6653411c.png
/data/data/####/btn_bbs_submit@3x.8e82795d.png
/data/data/####/bugly_db_-journal
/data/data/####/build-config.js
/data/data/####/ckeditor.js
/data/data/####/close-3.2b1b9589.png
/data/data/####/close.png
/data/data/####/codemirror.css
/data/data/####/codemirror.js
/data/data/####/com.jr36.guquan-journal
/data/data/####/com.jr36.guquan_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/config.js
/data/data/####/config.json
/data/data/####/contents.css
/data/data/####/crashrecord.xml
/data/data/####/create.b65ac99c.chunk.js
/data/data/####/d234295fb4fc
/data/data/####/datafiltering.html
/data/data/####/detail.1c7fa96c.chunk.js
/data/data/####/dialog.css
/data/data/####/dialog.html
/data/data/####/dialogDefinition.js
/data/data/####/dialog_ie.css
/data/data/####/dialog_ie7.css
/data/data/####/dialog_ie8.css
/data/data/####/dialog_iequirks.css
/data/data/####/divreplace.html
/data/data/####/editor.css
/data/data/####/editor_gecko.css
/data/data/####/editor_ie.css
/data/data/####/editor_ie7.css
/data/data/####/editor_ie8.css
/data/data/####/editor_iequirks.css
/data/data/####/en.js
/data/data/####/enterkey.html
/data/data/####/favicon.png
/data/data/####/fontello.css
/data/data/####/fontello.eot
/data/data/####/fontello.svg
/data/data/####/fontello.ttf
/data/data/####/fontello.woff
/data/data/####/fullpage.html
/data/data/####/fulltoolbareditor.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/github-top.png
/data/data/####/gx_sp.xml
/data/data/####/header-bg.png
/data/data/####/header-separator.png
/data/data/####/home.38eee4a5.chunk.js
/data/data/####/icomoon.2cc34b95.svg
/data/data/####/icomoon.3d8a1f1f.eot
/data/data/####/icomoon.52aa6ff2.woff
/data/data/####/icomoon.5668406d.ttf
/data/data/####/icon_arrow@3x.d84b5f0d.png
/data/data/####/icon_bbs_addpic@3x.309a5669.png
/data/data/####/icon_bbs_comment@3x.d2ff3f3a.png
/data/data/####/icon_bbs_hot@3x.445d8c6a.png
/data/data/####/icon_bbs_mix@3x.c6c82b4c.png
/data/data/####/icon_bbs_project@3x.bb8a45ea.png
/data/data/####/icon_comment@3x.71a7274a.png
/data/data/####/icon_message_ring_bbs_unread@3x.d766c9a4.png
/data/data/####/icon_message_ring_sel@3x.9d3f4816.png
/data/data/####/icon_message_ring_unread@3x.5191e48f.png
/data/data/####/icons.png
/data/data/####/icons_hidpi.png
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inlineall.html
/data/data/####/inlinebycode.html
/data/data/####/inlinetextarea.html
/data/data/####/install.html
/data/data/####/javascript.js
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jquery.html
/data/data/####/languages.js
/data/data/####/libjiagu.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/list.bd65a65e.chunk.js
/data/data/####/local_crash_lock
/data/data/####/lock-open.png
/data/data/####/lock.png
/data/data/####/logo.png
/data/data/####/main.35e48345.js
/data/data/####/main.8f5297e9.css
/data/data/####/message.ef427d44.chunk.js
/data/data/####/multidex.version.xml
/data/data/####/my_dialog.js
/data/data/####/native_record_lock
/data/data/####/navigation-tip.png
/data/data/####/neo.css
/data/data/####/outputxhtml.css
/data/data/####/paste.js
/data/data/####/pic_blank@3x.0839cf5a.png
/data/data/####/plugin.js
/data/data/####/posteddata.php
/data/data/####/preference.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/readme.md
/data/data/####/readonly.html
/data/data/####/refresh.png
/data/data/####/replacebyclass.html
/data/data/####/replacebycode.html
/data/data/####/run.pid
/data/data/####/sample.css
/data/data/####/sample.jpg
/data/data/####/sample.js
/data/data/####/sample_posteddata.php
/data/data/####/samples.css
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/sf.js
/data/data/####/show-hint.css
/data/data/####/show-hint.js
/data/data/####/slick.b7c9e1e4.woff
/data/data/####/slick.ced611da.eot
/data/data/####/slick.d41f55a7.ttf
/data/data/####/slick.f97e3bbf.svg
/data/data/####/spinner.gif
/data/data/####/stat.js
/data/data/####/styles.css
/data/data/####/styles.js
/data/data/####/tabindex.html
/data/data/####/tdata_SBh025
/data/data/####/tdata_SBh025.jar
/data/data/####/tdata_ZKm258
/data/data/####/tdata_ZKm258.jar
/data/data/####/toolbarmodifier.js
/data/data/####/toolbartextmodifier.js
/data/data/####/uicolor.html
/data/data/####/uilanguages.html
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/xhtmlstyle.html
/data/data/####/zepto.min.js
/data/data/####/zh-cn.js
/data/media/####/.lm_device_id
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jr36.guquan.bin
/data/media/####/com.jr36.guquan.db
/data/media/####/tdata_SBh025
/data/media/####/tdata_ZKm258
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.gt.GtPushService 24393 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
mount

Загружает динамические библиотеки:

Bugly
getuiext2
libjiagu
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней