Adware.Gexin.11923

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
api.fir####.com
c####.g####.ig####.com
c####.g####.ig####.com
c-h####.g####.com
c.appj####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-OlaS19.png
/data/data/####/.jg.ic
/data/data/####/1.png
/data/data/####/11Hug5U.png
/data/data/####/11lXICw.png
/data/data/####/140TlQL.png
/data/data/####/156zzli.png
/data/data/####/18mp9xh.png
/data/data/####/1ByNowL.png
/data/data/####/1D9KgS1.png
/data/data/####/1PoZa-t.png
/data/data/####/1f6tXRO.png
/data/data/####/1iDH6fD.png
/data/data/####/1n1rrWs.png
/data/data/####/1pxcz43.png
/data/data/####/1z9iCI8.png
/data/data/####/1zXiWcJ.png
/data/data/####/2.png
/data/data/####/249cWoh.png
/data/data/####/2A3WLsY.png
/data/data/####/2FEWpSH.png
/data/data/####/2NYd0pe.png
/data/data/####/2PJnYn9.png
/data/data/####/2YJVOng.png
/data/data/####/2amazeui.min.css
/data/data/####/2fkB9yX.png
/data/data/####/2gl13KM.png
/data/data/####/2tussoF.png
/data/data/####/3.png
/data/data/####/317Ffc0.png
/data/data/####/35jGbLE.png
/data/data/####/36B8P-k.png
/data/data/####/39d9378b2125b3bb394066cab5105738.png
/data/data/####/3CMYlBx.png
/data/data/####/3EZIrt9.png
/data/data/####/3JAUC5P.png
/data/data/####/3Q0Q1wt.png
/data/data/####/3TwzyoD.png
/data/data/####/3b9f373b9ab57cbc071502ef7941ad6d.png
/data/data/####/3bur1Qd.png
/data/data/####/3caS0oM.png
/data/data/####/3fAneca.png
/data/data/####/3jioEXO.png
/data/data/####/3ki4Iit.png
/data/data/####/3oA4qPS.png
/data/data/####/3tVwAGD.png
/data/data/####/3u6O585.png
/data/data/####/4.png
/data/data/####/4lri9aL.png
/data/data/####/5.png
/data/data/####/6.png
/data/data/####/7.png
/data/data/####/812242588145750647.png
/data/data/####/95516.js
/data/data/####/H5A744C55.xml
/data/data/####/HBEiaR2.png
/data/data/####/LocalResizeIMG.js
/data/data/####/PFggAPp.png
/data/data/####/Po5BGGy.png
/data/data/####/PyVdkMj.png
/data/data/####/UkSbi_w.png
/data/data/####/about.html
/data/data/####/about_logo.png
/data/data/####/achieve.png
/data/data/####/active_common.css
/data/data/####/ad_show_time.xml
/data/data/####/add.e08fb1ef0d.png
/data/data/####/add.png
/data/data/####/addcard.html
/data/data/####/all.html
/data/data/####/all2.html
/data/data/####/all_city_type_2.html
/data/data/####/all_filter.html
/data/data/####/amazeui.min.css
/data/data/####/angry.png
/data/data/####/angular-localResizeIMG.coffee
/data/data/####/angular-localResizeIMG.js
/data/data/####/angular-localResizeIMG.map
/data/data/####/app.css
/data/data/####/appraise_get.html
/data/data/####/appraise_put.html
/data/data/####/arrow_go.png
/data/data/####/arrow_return.png
/data/data/####/art-template.js
/data/data/####/audio.css
/data/data/####/back_my_location.html
/data/data/####/bankcard.html
/data/data/####/banner.jpg
/data/data/####/base.css
/data/data/####/beecloud.js
/data/data/####/bg.png
/data/data/####/blush.png
/data/data/####/bor-img_03.1aae1686f1.png
/data/data/####/bus.png
/data/data/####/cXBsa5z.png
/data/data/####/car.png
/data/data/####/card_info.html
/data/data/####/cash.html
/data/data/####/cash_card.html
/data/data/####/cashdesk-loading_50d0f81.gif
/data/data/####/cashier.css
/data/data/####/change_icon.png
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/cityselect.css
/data/data/####/clap.png
/data/data/####/clientid_igexin.xml
/data/data/####/cold_sweat.png
/data/data/####/common.js
/data/data/####/common_voucher_blue.0f06d01667.png
/data/data/####/common_voucher_green.d3f43a5e5e.png
/data/data/####/common_voucher_pink.d42e7533d7.png
/data/data/####/common_voucher_red.4b11a89a0f.png
/data/data/####/cry.png
/data/data/####/d53930bbff0bf22cb8cea72503da44d9.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/date.js
/data/data/####/dingwei.83e1bbb2d4.png
/data/data/####/disappointed.png
/data/data/####/disappointed_relieved.png
/data/data/####/dlysjyxkz.jpg
/data/data/####/dog.png
/data/data/####/dropload.css
/data/data/####/dropload.min.js
/data/data/####/edge.png
/data/data/####/eleme.min.css
/data/data/####/failed.png
/data/data/####/fearful.png
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback.js
/data/data/####/flushed.png
/data/data/####/fontawesome-webfont.eot
/data/data/####/fontawesome-webfont.ttf
/data/data/####/fontawesome-webfont.woff
/data/data/####/fontawesome-webfont.woff2
/data/data/####/frozen.css
/data/data/####/fz9ssPS.png
/data/data/####/getui_sp.xml
/data/data/####/going_icon.02d53c758d.png
/data/data/####/gome_card.css
/data/data/####/goods.css
/data/data/####/gouwu.png
/data/data/####/grin.png
/data/data/####/grinning.png
/data/data/####/heart_eyes.png
/data/data/####/hui_icon.png
/data/data/####/icon-mobile.png
/data/data/####/icon-mobile@2x.png
/data/data/####/icon-pointing.svg
/data/data/####/icon1.d2258ac250.png
/data/data/####/icon2.32ae3b6c97.png
/data/data/####/icon_baina_xiangqing.1170744dd5.png
/data/data/####/icon_huan_xiangqing.89554e68a8.png
/data/data/####/icon_pingjia_xiangqing.9393ce7e77.png
/data/data/####/icon_xiaoxi2.cf5718f44e.png
/data/data/####/icon_yanbao_xiangqing.b982c204c0.png
/data/data/####/icon_zixun_xiangqing.baa035a976.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.eot
/data/data/####/iconfont.eot#iefix
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/iconfont.woff2
/data/data/####/idcard.js
/data/data/####/im.css
/data/data/####/im.html
/data/data/####/im.js
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/info.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/invite-hongbao.png
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jieneng.95c944f044.png
/data/data/####/joy.png
/data/data/####/jquery-3.0.0.min.js
/data/data/####/jquery.min.js
/data/data/####/kissing.png
/data/data/####/kissing_closed_eyes.png
/data/data/####/kissing_heart.png
/data/data/####/kissing_smiling_eyes.png
/data/data/####/laughing.png
/data/data/####/lazy_img.ff7859c0be.png
/data/data/####/lb.jpg
/data/data/####/lib.css
/data/data/####/libjiagu.so
/data/data/####/list-entry.min.css
/data/data/####/load.html
/data/data/####/loading.210c9c0ad5.gif
/data/data/####/login.html
/data/data/####/logo.gif
/data/data/####/logo2.gif
/data/data/####/main.html
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/map.html
/data/data/####/mask.png
/data/data/####/mobileBUGFix.mini.js
/data/data/####/modules.css
/data/data/####/money.html
/data/data/####/mui.enterfocus.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/nav_classify.248be74739.png
/data/data/####/nav_classify.png
/data/data/####/nav_home.4a64632b52.png
/data/data/####/nav_home.png
/data/data/####/nav_more.png
/data/data/####/nav_mygome.1ac1adc708.png
/data/data/####/nav_mygome.png
/data/data/####/nav_return.png
/data/data/####/nav_trolley.08fd2e8ec1.png
/data/data/####/nav_trolley.png
/data/data/####/ok_hand.png
/data/data/####/order.css
/data/data/####/orderList.d595373b4d.css
/data/data/####/pay.html
/data/data/####/paylog.html
/data/data/####/pdr.xml
/data/data/####/pensive.png
/data/data/####/persevere.png
/data/data/####/plane.png
/data/data/####/plane2.png
/data/data/####/product_phone.jpg
/data/data/####/product_push.js
/data/data/####/product_put.html
/data/data/####/product_put_1.html
/data/data/####/product_put_2.html
/data/data/####/product_put_select_address.html
/data/data/####/profile-pocket-border-history.svg
/data/data/####/profile-pocket-border.svg
/data/data/####/profile.css
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo.png
/data/data/####/qq.png
/data/data/####/rage.png
/data/data/####/relaxed.png
/data/data/####/relieved.png
/data/data/####/run.pid
/data/data/####/s.js
/data/data/####/save_icon.d58795ecc6.png
/data/data/####/scream.png
/data/data/####/scrollit.png
/data/data/####/select_icon.png
/data/data/####/setting.css
/data/data/####/setting.html
/data/data/####/setting_info.html
/data/data/####/setting_info_nickname.html
/data/data/####/shadow.44e82b00c5.png
/data/data/####/ship.png
/data/data/####/ship2.png
/data/data/####/shui.9f76bd343d.png
/data/data/####/shuiyin.png
/data/data/####/shuiyin_disabled.png
/data/data/####/sinaweibo.png
/data/data/####/sleeping.png
/data/data/####/sleepy.png
/data/data/####/smile.png
/data/data/####/smiley.png
/data/data/####/smirk.png
/data/data/####/sob.png
/data/data/####/speak.js
/data/data/####/speak.png
/data/data/####/speak2.js
/data/data/####/stream_permission.xml
/data/data/####/stuck_out_tongue.png
/data/data/####/stuck_out_tongue_closed_eyes.png
/data/data/####/stuck_out_tongue_winking_eye (1).png
/data/data/####/stuck_out_tongue_winking_eye.png
/data/data/####/style.css
/data/data/####/sunglasses.png
/data/data/####/sweat.png
/data/data/####/sweat_smile.png
/data/data/####/thumbsup.png
/data/data/####/tired_face.png
/data/data/####/title.png
/data/data/####/title2.png
/data/data/####/toview_fe012ab.png
/data/data/####/toview_fe012ab.png.tmp!
/data/data/####/train.png
/data/data/####/train2.png
/data/data/####/u.js
/data/data/####/unamused.png
/data/data/####/uploadImage.js
/data/data/####/user-photo.png
/data/data/####/user_info.html
/data/data/####/user_info_update.html
/data/data/####/user_list.html
/data/data/####/v0HyWf1.png
/data/data/####/vendor.css
/data/data/####/vip.png
/data/data/####/weary.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/weixin_icon.e82cd59778.png
/data/data/####/wenhao.png
/data/data/####/wink.png
/data/data/####/worried.png
/data/data/####/wx_logo.png
/data/data/####/wyfwp.jpg
/data/data/####/wyfwp2.jpg
/data/data/####/wyfwp3.jpg
/data/data/####/xiangqing_icon.0d30698b0e.png
/data/data/####/xq_tab_shopcart.ab975f55f2.png
/data/data/####/xq_tab_shoucang_normal.d4d8c18c01.png
/data/data/####/xq_tab_shoucang_pressed.4ffa4ada8b.png
/data/data/####/xq_tab_store.6f9f358de2.png
/data/data/####/yhxy.html
/data/data/####/yyzz.jpg
/data/data/####/zfb_logo.png
/data/data/####/zhifu_password.html
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H5A744C55.bin
/data/media/####/io.dcloud.H5A744C55.db
/data/media/####/temp.arm

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

RSA
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней