Adware.Gexin.11612

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) com####.f####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 61.55.1####.26:8088
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) 2####.192.139.100:8088
TCP(HTTP/1.1) f####.f####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) 61.55.1####.34:8088
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) img.f####.com.####.net:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
com####.f####.com
f####.f####.com
img.f####.com
imgc####.qq.com
mi.g####.qq.com
s####.e.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

com####.f####.com/xml/xml4android.aspx?ObjectType=####&ObjectSN=####&pag...
f####.f####.com/Flux4AdData.aspx?id=####
img.f####.com.####.net/Novel/166x235/0/216/000216383.jpg
img.f####.com.####.net/Novel/166x235/0/227/000227148.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228447.jpg
img.f####.com.####.net/Novel/166x235/0/228/000228772.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232174.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232222.jpg
img.f####.com.####.net/Novel/166x235/0/232/000232887.jpg
img.f####.com.####.net/Novel/166x235/0/240/000240800.jpg
img.f####.com.####.net/Novel/166x235/0/242/000242979.jpg
img.f####.com.####.net/Novel/166x235/0/243/000243513.jpg
img.f####.com.####.net/Novel/166x235/0/245/000245074.jpg
img.f####.com.####.net/Novel/166x235/0/246/000246122.jpg
img.f####.com.####.net/Novel/166x235/0/246/000246374.jpg
img.f####.com.####.net/Novel/166x235/0/247/000247216.jpg
img.f####.com.####.net/Novel/166x235/0/250/000250292.jpg
img.f####.com.####.net/Novel/166x235/0/250/000250896.jpg
img.f####.com.####.net/Novel/166x235/0/251/000251651.jpg
img.f####.com.####.net/Novel/166x235/0/251/000251892.jpg
img.f####.com.####.net/Novel/166x235/0/253/000253255.jpg
img.f####.com.####.net/Novel/166x235/0/253/000253605.jpg
img.f####.com.####.net/Novel/166x235/0/253/000253813.jpg
img.f####.com.####.net/Novel/166x235/0/253/000253970.jpg
img.f####.com.####.net/Novel/166x235/0/254/000254668.jpg
img.f####.com.####.net/Novel/166x235/0/254/000254685.jpg
img.f####.com.####.net/Novel/166x235/0/255/000255424.jpg
img.f####.com.####.net/Novel/166x235/0/255/000255754.jpg
img.f####.com.####.net/Novel/166x235/0/255/000255849.jpg
img.f####.com.####.net/Novel/166x235/0/257/000257030.jpg
img.f####.com.####.net/Novel/166x235/0/258/000258470.jpg
img.f####.com.####.net/Novel/166x235/0/258/000258481.jpg
img.f####.com.####.net/Novel/166x235/0/259/000259312.jpg
img.f####.com.####.net/Novel/166x235/0/259/000259345.jpg
img.f####.com.####.net/Novel/166x235/0/259/000259541.jpg
img.f####.com.####.net/Novel/166x235/0/259/000259583.jpg
img.f####.com.####.net/Novel/166x235/0/259/000259750.jpg
img.f####.com.####.net/Novel/166x235/0/260/000260244.jpg
img.f####.com.####.net/Novel/166x235/0/260/000260482.jpg
img.f####.com.####.net/Novel/166x235/0/261/000261051.jpg
img.f####.com.####.net/Novel/166x235/0/261/000261232.jpg
img.f####.com.####.net/Novel/166x235/0/261/000261464.jpg
img.f####.com.####.net/Novel/166x235/0/262/000262041.jpg
img.f####.com.####.net/Novel/166x235/0/264/000264381.jpg
img.f####.com.####.net/Novel/166x235/0/264/000264573.jpg
img.f####.com.####.net/Novel/166x235/0/265/000265010.jpg
img.f####.com.####.net/Novel/166x235/0/265/000265085.jpg
img.f####.com.####.net/hpic/2019/4/2/721933d4-0376-45f0-9dbf-d8973cc7149...
img.f####.com.####.net/hpic/2019/4/2/a3142fe7-469b-4972-a72a-b6a2a01377a...
img.f####.com.####.net/hpic/2019/4/2/c619e2f0-bc2a-47bd-94fa-7212d1298b3...
img.f####.com.####.net/hpic/2019/4/3/8499c1d2-5bc5-448f-920c-92068d00fad...
mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
t####.c####.q####.####.com/tdata_ZCi456
t####.c####.q####.####.com/tdata_xms651
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
s####.e.qq.com/activate
s####.e.qq.com/msg
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-297331408
/data/data/####/-711334037
/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/BuglySdkInfos.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/config.xml
/data/data/####/crashrecord.xml
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/gdaemon_20161017
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/mfbook.db
/data/data/####/mfbook.db-journal
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_xms651
/data/data/####/tdata_xms651.jar
/data/data/####/update_lc
/data/data/####/user.db-journal
/data/data/####/webview.db-journal
/data/media/####/-11034855410.tmp
/data/media/####/-11086315100.tmp
/data/media/####/-11969869610.tmp
/data/media/####/-12117094660.tmp
/data/media/####/-13016704990.tmp
/data/media/####/-16381440560.tmp
/data/media/####/-17661557020.tmp
/data/media/####/-17760284480.tmp
/data/media/####/-17818126270.tmp
/data/media/####/-1922210460.tmp
/data/media/####/-20549629030.tmp
/data/media/####/-4255920540.tmp
/data/media/####/-4691985820.tmp
/data/media/####/-5519024910.tmp
/data/media/####/-7200183490.tmp
/data/media/####/-8370134350.tmp
/data/media/####/-8524645580.tmp
/data/media/####/-8665661070.tmp
/data/media/####/-9798815580.tmp
/data/media/####/-9922678640.tmp
/data/media/####/.nomedia
/data/media/####/10389173490.tmp
/data/media/####/10485601980.tmp
/data/media/####/13263644920.tmp
/data/media/####/1359148520.tmp
/data/media/####/14150225080.tmp
/data/media/####/14447210130.tmp
/data/media/####/14648554330.tmp
/data/media/####/14794057950.tmp
/data/media/####/1618233060.tmp
/data/media/####/16407132670.tmp
/data/media/####/17130097110.tmp
/data/media/####/18841401050.tmp
/data/media/####/2040434660.tmp
/data/media/####/21277976780.tmp
/data/media/####/2729725280.tmp
/data/media/####/5213318120.tmp
/data/media/####/5224383750.tmp
/data/media/####/5547865430.tmp
/data/media/####/5812288780.tmp
/data/media/####/6940814820.tmp
/data/media/####/7274600370.tmp
/data/media/####/7368230810.tmp
/data/media/####/7372487190.tmp
/data/media/####/7706535840.tmp
/data/media/####/8084750130.tmp
/data/media/####/8251413230.tmp
/data/media/####/8627887280.tmp
/data/media/####/9077953660.tmp
/data/media/####/960273410.tmp
/data/media/####/app.db
/data/media/####/com.faloo.BookReader4Android.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/journal.tmp
/data/media/####/tdata_ZCi456
/data/media/####/tdata_xms651
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
logcat *:e *:i | grep (2303)
logcat *:e *:i | grep (2337)
logcat *:e *:i | grep "(2303)"
logcat *:e *:i | grep "(2337)"
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней