Adware.Gexin.11977

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) v2.g####.qq.com:80
TCP(HTTP/1.1) h####.b####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) wx.q####.cn:80
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(HTTP/1.1) d####.xinjuns####.net:80
TCP(HTTP/1.1) app####.haosh####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) i####.hang####.com:80
TCP(HTTP/1.1) m.xinjuns####.net:80
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) a####.7####.com:80
TCP(HTTP/1.1) ro####.g0.p####.####.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) i####.xinjuns####.net:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) api.leanc####.cn:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) cn-n1-c####.leanc####.cn:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) h####.b####.com:443

Запросы DNS:

a####.7####.com
a####.man.aliy####.com
a####.u####.com
ad####.m.ta####.com
ada####.m.ta####.com
api.leanc####.cn
app####.haosh####.com
bcfeed####.ta####.com
cn-n1-c####.leanc####.cn
cn-n1-c####.leanc####.cn
d####.xinjuns####.net
h####.b####.com
i####.hang####.com
i####.xinjuns####.net
imgc####.qq.com
log.u####.com
m.xinjuns####.net
mi.g####.qq.com
mo####.b####.com
p####.ugd####.com
ro####.g0.p####.####.cn
s####.e.qq.com
s####.u####.com
ssl.gst####.com
v.g####.qq.com
v2.g####.qq.com
wb.110.ta####.com
www.go####.com
www.gst####.com
wx.q####.cn
y####.al####.com

Запросы HTTP GET:

a####.7####.com/xin.js
ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
app####.haosh####.com/version_update.php?&appkey=####&version_code=####&...
d####.xinjuns####.net/mxinjunshi.apk
d####.xinjuns####.net/version_update.php?&appkey=####&version_code=####&...
i####.hang####.com/api2.4/app.php?mod=####&aid=####
i####.xinjuns####.net/160901/4-160Z1130255H9.jpg
i####.xinjuns####.net/190221/17-1Z22114040D15.jpg
i####.xinjuns####.net/allimg/190403/160Q95034-0-lp.jpg
i####.xinjuns####.net/allimg/190403/17-1Z4031531210-L.jpg
i####.xinjuns####.net/allimg/190403/21-1Z403101406.jpg
i####.xinjuns####.net/allimg/190403/21-1Z403101407-50.jpg
i####.xinjuns####.net/allimg/190403/21-1Z403101407.jpg
i####.xinjuns####.net/allimg/190404/1054025O4-0-lp.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z4040935100-L.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z404095I4-50.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z404095I4.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z404095I6.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z404095Q20-L.jpg
i####.xinjuns####.net/allimg/190404/127344-1Z4041024520-L.jpg
i####.xinjuns####.net/allimg/190404/132I01595-2.jpg
i####.xinjuns####.net/allimg/190404/132I05912-0.jpg
i####.xinjuns####.net/allimg/190404/132I0M33-1.jpg
i####.xinjuns####.net/allimg/190404/132T63c7-0-lp.jpg
i####.xinjuns####.net/allimg/190404/15958-1Z4041052390-L.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051551190-L.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A951-50.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A951.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A952.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A953-50.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A953.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051A954.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4051AT00-L.jpg
i####.xinjuns####.net/allimg/190405/127344-1Z4052035520-L.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U211.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U212-50.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U212.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U430-50.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U430.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4060U431.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4062034210-L.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4062136030-L.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4062146080-L.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z4062204000-L.jpg
i####.xinjuns####.net/allimg/190406/127344-1Z406220R20-L.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F92S80-L.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F93324.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F93325-50.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F93325.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F93R60-L.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40F942320-L.jpeg
i####.xinjuns####.net/allimg/190407/127344-1Z40F954060-L.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40G006380-L.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40G01149-lp.jpg
i####.xinjuns####.net/allimg/190407/127344-1Z40G015180-L.jpg
i####.xinjuns####.net/userup/41717/myface_1542015728.jpg
m.xinjuns####.net/member_nouse/templets/images/dfboy.png
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
ro####.g0.p####.####.cn/v1/route?appId=####&installationId=####&secure=#...
s####.tc.qq.com/gdt/0/DAAlZ9rAUAALQABSBcmzDgDaCf4I9f.jpg/0?ck=####
v2.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####
wx.q####.cn/mmopen/RsKSAIc4VdofiabHuicULZ26v6peibbMjkkqQNia82lp40cdia7uv...

Запросы HTTP POST:

a####.u####.com/app_logs
ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
h####.b####.com/app.gif
hk.wagbr####.non####.####.com/saveWb.json
i####.hang####.com/api2.4/app.php?mod=####
i####.hang####.com/api2.4/app.php?mod=####&act=####&page=####
i####.hang####.com/api2.4/app.php?mod=####&act=####&page=####&newid=####
i####.hang####.com/api2.4/app.php?mod=####&aid=####&type=####
i####.hang####.com/api2.4/app.php?mod=####&page=####
na61-####.wagbr####.ali####.####.com/api/update.do
s####.e.qq.com/activate
s####.e.qq.com/getad
v2.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1554678825321.log
/data/data/####/1d77ea041509fe06.lock
/data/data/####/21c22f492aba3de8.lock
/data/data/####/3217.yaqcookie
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/AV_PUSH_SERVICE_APP_DATA.xml
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/CookiePrefsFile.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MultiDex.lock
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/UTCommon.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1554678823885
/data/data/####/__send_data_1554678847346
/data/data/####/__send_data_1554678854368
/data/data/####/__send_data_1554678890203
/data/data/####/__x_adsdk_agent_header__.xml
/data/data/####/__xadsdk__remote__final__builtin__.jar
/data/data/####/__xadsdk__remote__final__builtinversion__.jar
/data/data/####/__xadsdk__remote__final__running__.jar
/data/data/####/ap.Lock
/data/data/####/app_sp.xml
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml.bak
/data/data/####/com.avos.push.router.server.cachezja4gnztqflo4x...6d.xml
/data/data/####/com.avoscloud.chat.message.xml
/data/data/####/com.baidu.mobads.loader.xml
/data/data/####/com.shenyuan.militarynews_preferences.xml
/data/data/####/dbProvider.db-journal
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82560842.dat
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/installation
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libsgmainso-5.1.81.so.tmp
/data/data/####/libyaqbasic.82560842.so
/data/data/####/libyaqpro.82560842.so
/data/data/####/lock.lock
/data/data/####/multidex.version.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sp.lock
/data/data/####/tmp-com.shenyuan.militarynews-2.apk.classes-1261757889.zip
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1554678888534.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/yaqsdkcookie
/data/data/####/ywPrefsTools.xml
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/13t09spwewe34q4yu7uyq44xn
/data/media/####/14zabrixkhhc7j4vdv9rqwbkq
/data/media/####/16zfjwlzsant0eoc7blyo0lc3
/data/media/####/171ibkh7uz7lgvf0fimajhaoe
/data/media/####/1bhzfks4k5rsvrrvyszv90112
/data/media/####/1frwlms03grguvjojmx03i0i8
/data/media/####/1wlz9x5esnxd9j0u5bl97btoc
/data/media/####/1z1nraj3w6y4sp46omef0jnrs
/data/media/####/23293wsh65e7sfk1kld2pltvp
/data/media/####/24837jmbch5az4orjmml6nyt6
/data/media/####/2b6hp41yrtfc5z2ti2nwrvjef
/data/media/####/2jpp6yhcgjj41zl1gi2mwn2mh
/data/media/####/2k9x983z71tre5rodv56qqnb3
/data/media/####/2lqtvqcs4j5778gmetgwjdfze
/data/media/####/2ouckznk5saf2pegg1oudd8w0
/data/media/####/2q365ztwwfc7807zt7vwotljx
/data/media/####/2qxo0x1cuc9g7o8yq3csxbwe0
/data/media/####/2rwge9w4xhf0odbgduy72nv4l
/data/media/####/2v7m03dq8b92b3v7y7gagtxj6
/data/media/####/307idcngdqxxambyi3xe1nk7o
/data/media/####/380oirn1xpwkmggvse3nwephk
/data/media/####/3d9hqsgl3j6nfjvm0a0rturh9
/data/media/####/3dlz4j9o02z2dv74v7eao5apx
/data/media/####/3g261mxyhio3q0f3j59nvhzlv
/data/media/####/3pmep8bwnpqczf444is0yecd8
/data/media/####/3r261hos6k52of5dnkkh8n87e
/data/media/####/482kndlb7bbcnb2v334vh96bb
/data/media/####/4dkcmlivy7gfni8w2xy4yar9m
/data/media/####/4o2pakpyjn9hnws1bjnuhg33s
/data/media/####/50rp42ug0r8ew64czplo63upa
/data/media/####/5g0a2pn4pnb8l1kzmo425ywbu
/data/media/####/5kgpg64mx7tmu1a1eo95ry8ne
/data/media/####/5me15fs6glzyt52rwxqipsm2z
/data/media/####/5oa14subo3xyx8nw5bllxmwv6
/data/media/####/5py8q2fk5hfxiex2i3rptuh2r
/data/media/####/5tr6czy6r4n7psafchgcc8fmk
/data/media/####/5ygddr8f9mpll6y5ynq0aec9v
/data/media/####/64ybpdy915va2o2p9bm5np4x
/data/media/####/6c709c11d2d46a7b
/data/media/####/6hthijvx64x4gnfxghqh6br8m
/data/media/####/6i4fmmacn3oe4x8y7zjmsrj0l
/data/media/####/74cx2zvtiv89sl2t029r4lij1
/data/media/####/7ba4bvgy2yj7nel1uevbp9tf0
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/ajdzeq9e7r7uqrlujr2xkcy6
/data/media/####/crash-2019-04-07-23-14-07-1554678847473.log
/data/media/####/dd66ps4gqw4bzwqv8ecp46gl
/data/media/####/dd7893586a493dc3
/data/media/####/dontpanic.cp
/data/media/####/f3qe9bcwyo96fmel40d4zxs6
/data/media/####/gj1llepn98vn2yxuc5gs3kmx
/data/media/####/hid.dat
/data/media/####/hr94t0nd0nugpr85fth1beoe
/data/media/####/i5oald6yv7mnz3p5c0bubsfi
/data/media/####/mxinjunshi.apk
/data/media/####/p35g7t5t6pw81u66td3t1rg9
/data/media/####/sysid.dat
/data/media/####/z7fb167hgngsjwdvslc7zt8s

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version

Загружает динамические библиотеки:

crash_analysis
libjiagu
libyaqbasic.82560842
libyaqpro.82560842
sgmainso-5.1
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней