Adware.Gexin.12040

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) h5.newairc####.com:80
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP(SSL/3.0) s####.ml####.cc:443
TCP(TLS/1.0) oss.newairc####.com:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) h5.newairc####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
d####.opensp####.cn
h####.opensp####.cn
h5.newairc####.com
img.newairc####.com
l####.tbs.qq.com
oss.newairc####.com
pub-####.qin####.com
s####.ml####.cc
sdk.c####.ig####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

h####.opensp####.cn/launchconfig?t=####&p=amlhb####
h5.newairc####.com/api/getArticleAdv?sid=####&cid=####&v=####
h5.newairc####.com/api/getComments?sid=####&rootID=####&sourceType=####&...
oss.newairc####.com/cfxj/pic/201612/19/2e0daa62-d700-4567-9804-c2a1d26bd...
oss.newairc####.com/cfxj/pic/201612/19/4dd90628-c0b7-4726-ac87-117ab527e...
oss.newairc####.com/cfxj/pic/201612/19/dac81c09-8da8-425a-8f3e-18373366f...
oss.newairc####.com/xjdcb/pic/201807/29/0d8e15ab-d861-46ca-be4b-e2ecc59a...
oss.newairc####.com/xjdcb/pic/201807/29/7f61385d-9754-435d-8aca-2ac3db10...
oss.newairc####.com/xjdcb/pic/201807/29/ee4e9073-da6f-46d4-8dee-ce0fcfca...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
h5.newairc####.com/api/event
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1312716470
/data/data/####/-1383075460
/data/data/####/-1383105059
/data/data/####/-1383938309
/data/data/####/-1384000833
/data/data/####/-1384001578
/data/data/####/-1384001580
/data/data/####/-1384001582
/data/data/####/-2124957767
/data/data/####/-490038032
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/1135385811
/data/data/####/1157069845
/data/data/####/1389023919
/data/data/####/1526646622
/data/data/####/1695857311
/data/data/####/1962124340
/data/data/####/2014175529
/data/data/####/2045930301
/data/data/####/2103119762
/data/data/####/2107969915
/data/data/####/337525857
/data/data/####/386967948
/data/data/####/4200103_article.js
/data/data/####/49
/data/data/####/492113791
/data/data/####/722521318
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/QQ_3x.png
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/article.js
/data/data/####/base.css
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder0-journal
/data/data/####/debug.conf
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/file__0.localstorage-journal
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/gx_sp.xml
/data/data/####/helpMsg.xml
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_praise.png
/data/data/####/icon_praiseStar.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.founder.caifuxinjiang.xml
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.min.js
/data/data/####/libjiagu.so
/data/data/####/loading.png
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/news_detail.html
/data/data/####/persistent_data.xml
/data/data/####/play.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/shareTimeline_3x.png
/data/data/####/sina_3x.png
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wx_3x.png
/data/media/####/.nomedia
/data/media/####/0247259b0992e7ad3187c1e29173537d5069ef35ccc35d....0.tmp
/data/media/####/034e10f8c1025b03539c88b67a20ac2055f169112c8128....0.tmp
/data/media/####/0356f8d0337e16f59ac5f6c008d25a5580b0d3dbc2e35c....0.tmp
/data/media/####/095462a012fdbaea27607a1cae271800078d2327a081da....0.tmp
/data/media/####/1022c85af02c4082af7cd0bf953c04a261470dc034b722....0.tmp
/data/media/####/2390652a484bb6c6dfc0bd46b127e8d954ebf2839dfeff....0.tmp
/data/media/####/258abe36d76d24f2280277f78a0d2faa50748d0023c4be....0.tmp
/data/media/####/2b09598da943a0da9b5ca687f8be6f9ff64153cbe6b27a....0.tmp
/data/media/####/2dc348cc49f27f4c299de167ca66e9f8c74ff4f1741168....0.tmp
/data/media/####/2eb4c35f43b8adeee4902b88f2c61d45a182e84d4a6cc4....0.tmp
/data/media/####/326db3d4d6f83daeb534872bb9ebb58d581afc46d5de31....0.tmp
/data/media/####/4d228ee5fb25a7fceb0e932c96917c79c9ea23d9429f5e....0.tmp
/data/media/####/4f3e47b76585f46e12ccd14204aa1807b3b0ef6fe720f3....0.tmp
/data/media/####/503a303f62c1a48fcf44a77f696c17a59f8c5f324b474c....0.tmp
/data/media/####/51797e4a1b9d2fc0df44a1d2820b5a37df7c247957b664....0.tmp
/data/media/####/5dce0bab47d1d81a6f0f65abd975dd3208e074f99f83fd....0.tmp
/data/media/####/610e93a401aae520e31386c5f7bbe7ab90d56e51d2a5b8....0.tmp
/data/media/####/6762989efb8f47316245f40e6c8b58f348586733a59036....0.tmp
/data/media/####/681472860d40a335a0963e8b0634fb5f52ecf3073c4013....0.tmp
/data/media/####/6cc0377a497163fa23827df72c74ca22b4c08a7368d87b....0.tmp
/data/media/####/71492b0a45f67d6110032b549149ac7670203d73be6348....0.tmp
/data/media/####/72d41f83ccb37e58ea25a87974c09004514c865514614a....0.tmp
/data/media/####/7b8445ec0f81fb79cd3185e5d123660d77fcb3bc243e99....0.tmp
/data/media/####/7ee3634a15fc02c9cd98edb0db5aca6c5f6024a26164b7....0.tmp
/data/media/####/8001ed5fb0a38ddd8bdcd4cc291dbed42d4754741a245e....0.tmp
/data/media/####/84cd748f533e8f9b90fe900974bf58e6a4017664611ee7....0.tmp
/data/media/####/8733fabf033bca77ae076bb3f274cee3a43bdb0ac71aa2....0.tmp
/data/media/####/8d995c81099773f3e54b487eb48d2f4e0a952664b05fb8....0.tmp
/data/media/####/a1093e27361dc0c17b93c2e8a508dd84bcc74e0377b633....0.tmp
/data/media/####/a6df3c506cbf1a7dcdcdb471eca160dc9ac5e279a577ed....0.tmp
/data/media/####/a7dcb4e3ac3ca4e34f0e31800817c7e67377b045ae8c97....0.tmp
/data/media/####/ad5e208688c709f50bbe8cd111ea68f04dc7d103a86f03....0.tmp
/data/media/####/ae063c2d45bb7015167337f866665a073bc4ad84c22e58....0.tmp
/data/media/####/app.db
/data/media/####/b62a871d3eb0016995a8cf583958ff86f320dd57de8472....0.tmp
/data/media/####/ba8f4df272b232d620173478ba9d338359da2e0e04cb0b....0.tmp
/data/media/####/c47f4520f281261c00699d63df16b2780c0f5d7d434e06....0.tmp
/data/media/####/c634afd93f4ec5f09fbe14ecb395ea672536dc01df1eec....0.tmp
/data/media/####/c6dab5819ab067af5f53485c813549c30c591deec5a818....0.tmp
/data/media/####/c84a0f3d7342ef832a2dc795d757ccd2d13efe11dad1c9....0.tmp
/data/media/####/cab4f5a92f00166ebe3bd832bc2634f551ad12a2fdaa99....0.tmp
/data/media/####/cc04faf5625f206eb0ea926014dee5afb3f63b12a397d6....0.tmp
/data/media/####/cf68c93bc44c9f4bdd8c47126a590b5e3ad5ac101669f5....0.tmp
/data/media/####/com.founder.caifuxinjiang.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d5cf38916990400953ba5a158e0db34102f3fd81b64517....0.tmp
/data/media/####/db03cc8b3a21f67adf65afc2f5318c59af14e456eb5942....0.tmp
/data/media/####/dd20034593111656b6ed4c4522ac6f5fb1a14e9fc33b36....0.tmp
/data/media/####/dfcde6ab8a80c20ec8a87b325fb158c3308a387b12f7c2....0.tmp
/data/media/####/ea7ddabe71655b4d351809e3915358185021f88de48683....0.tmp
/data/media/####/ec6df9c4474ddb1a27660ec1f5cb4b24704251d3c19798....0.tmp
/data/media/####/f0f9d049c3fe57e1da184ef50dbfae265f2af4aab37ced....0.tmp
/data/media/####/f4c62620ad94268e3d05819fef144dd5333c46db2b4872....0.tmp
/data/media/####/f6780352917336729fb2373ad1cd087a0d85d2972c5ce4....0.tmp
/data/media/####/f92a98196ba4aa4c7e0c4bb033066bbdf054e81ce9f3c1....0.tmp
/data/media/####/f9a6967c5a1dac51193282e7fedc26d8e7549caad83939....0.tmp
/data/media/####/iflyworkdir_test
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25542 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
mount

Загружает динамические библиотеки:

getuiext2
libjiagu
msc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней