Adware.Gexin.13468

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) cdn.boo####.com.####.com:443
TCP(TLS/1.0) 1####.217.17.46:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) se####.my####.com.cn:443
TCP c.appj####.com:80

Запросы DNS:

a.appj####.com
and####.b####.qq.com
api.growi####.com
api.map.b####.com
api.w####.com
c.appj####.com
cdn.boo####.com
cgi.con####.qq.com
loc.map.b####.com
o####.map.b####.com
pi####.qq.com
r####.my####.com.cn
sdk.o####.p####.####.com
se####.my####.com.cn
t####.growi####.com
t.growi####.com

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...

Запросы HTTP POST:

a.appj####.com/jiagu/check/upgrade
and####.b####.qq.com/rqd/async?aid=####
c.appj####.com/ad/splash/stats.html
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
pi####.qq.com/mstat/report
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/00c6ab6d7819692fc187.chunk.js
/data/data/####/0363078aac624099b2e7.chunk.js
/data/data/####/04081533bae2f8ad12d3.chunk.js
/data/data/####/059191b38afc48bf2222.chunk.js
/data/data/####/06431fc6043bfc9f9a76.chunk.js
/data/data/####/0752c9a491c01787fb1c.chunk.js
/data/data/####/098fc39995a6a67c7031.chunk.js
/data/data/####/0d179289e245e9700338.chunk.js
/data/data/####/1004
/data/data/####/117940a4a125d95f7218.chunk.js
/data/data/####/13d1e3b7c65e95fcdf39.chunk.js
/data/data/####/14abf0fc142b75eb2ba3.chunk.js
/data/data/####/14b76914ad96bde33da5.chunk.js
/data/data/####/15090a8ac92d033d71c0.chunk.js
/data/data/####/17cb11d501ad000b9614.chunk.js
/data/data/####/180fd712fd28115f2fec.chunk.js
/data/data/####/1b2949a9a2609494b26e.chunk.js
/data/data/####/1c07fb37cf652e9c9c0b.chunk.js
/data/data/####/1ec2f5803dd69fb42352.chunk.js
/data/data/####/2043c72453c401d4e881.chunk.js
/data/data/####/214d556571b4399602a0.chunk.js
/data/data/####/216d62a4c8f160dfc63e.chunk.js
/data/data/####/24168769918339189047.chunk.js
/data/data/####/24cf6daa039f0588c313.chunk.js
/data/data/####/2614e673dff7402d84d1.chunk.js
/data/data/####/262027a271eb17ba0eb9.chunk.js
/data/data/####/2965c41edbff197dac0b.chunk.js
/data/data/####/2a4a1db9ed295f5b6702.chunk.js
/data/data/####/2c1aeaa7e74208ad0881.chunk.js
/data/data/####/2dc3620ae22d5fc9973f.chunk.js
/data/data/####/2f8c437504857d309173.chunk.js
/data/data/####/305e530cdc0eacd36241.chunk.js
/data/data/####/3705028a2ed7e6f16236.chunk.js
/data/data/####/37c302bc7f209118fb0a.chunk.js
/data/data/####/384c8b5d14ae1f1afb2e.chunk.js
/data/data/####/4116ba39e0e86630e59d.chunk.js
/data/data/####/45b45fd1c3e57f8c2a7f.chunk.js
/data/data/####/462eb802d78317c5d506.chunk.js
/data/data/####/481e9608f00b73931e01.chunk.js
/data/data/####/4beac67a6af633197046.chunk.js
/data/data/####/4cecbbdc966a4a28e5e2.chunk.js
/data/data/####/4d5dfc79b8ca8f51524f.chunk.js
/data/data/####/51d4585b947621b068f6.chunk.js
/data/data/####/5681cee98ff38fb49fb3.chunk.js
/data/data/####/5cb418e9ab4229db5cc3.chunk.js
/data/data/####/5d607f2312c694322d33.chunk.js
/data/data/####/5effce03a9f99d66bfdb.chunk.js
/data/data/####/5fa2eb7438c0bbe6e5eb.chunk.js
/data/data/####/602c7b56c82b8d2ebd1c.chunk.js
/data/data/####/6358eb436c166ff21f94.chunk.js
/data/data/####/63ad34e77cb5574287f1.chunk.js
/data/data/####/647338290cd683d7f97c.chunk.js
/data/data/####/65eff7eef7177a7d0798.chunk.js
/data/data/####/664b4f42c7655838629b.chunk.js
/data/data/####/68deb1680ab32df4bc45.chunk.js
/data/data/####/6c3af0fe64c15fb6a656.chunk.js
/data/data/####/6d8b5e3a5fafebb7f2a6.chunk.js
/data/data/####/6f732d8f10067b0b1dca.chunk.js
/data/data/####/6f8f14027e7a00614635.chunk.js
/data/data/####/6fbb9218237968c54fc7.chunk.js
/data/data/####/721267fd8e1d701baaf1.chunk.js
/data/data/####/758e35b5cd637c46484d.chunk.js
/data/data/####/791b3b35791b7ed58a00.chunk.js
/data/data/####/7969fb4caf2d8aaffe2c.chunk.js
/data/data/####/7abc33dc4d8d1e09fb16.chunk.js
/data/data/####/7c2fcfff63c330226583.chunk.js
/data/data/####/7d85f6fddd1447b941d4.chunk.js
/data/data/####/8066578233966f0ff7ad.chunk.js
/data/data/####/80ac19b4b39e0b5f900f.chunk.js
/data/data/####/8135bee24b413c6e44c4.chunk.js
/data/data/####/824369ffd91c4f2cabef.chunk.js
/data/data/####/83fa20ffb009b5953bfa.chunk.js
/data/data/####/85a867ae8acbd9fa47f2.chunk.js
/data/data/####/85db8644e51f379b406b.chunk.js
/data/data/####/86ac3f53e0a8353f1523.chunk.js
/data/data/####/8728a5be44a11fba5aa4.chunk.js
/data/data/####/8b9e57da98e731cf1c03.chunk.js
/data/data/####/8c6b3a439354a09e6451.chunk.js
/data/data/####/8e0fc4abefd18ebcd891.chunk.js
/data/data/####/8f1cabb1128bc8d141bd.chunk.js
/data/data/####/92a530706ba105566031.chunk.js
/data/data/####/991700fa072929fc06f4.chunk.js
/data/data/####/Acceleration.js
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/CobubRazor_SharedPref.xml
/data/data/####/Connection.js
/data/data/####/DirectoryEntry.js
/data/data/####/DirectoryReader.js
/data/data/####/Entry.js
/data/data/####/File.js
/data/data/####/FileEntry.js
/data/data/####/FileError.js
/data/data/####/FileReader.js
/data/data/####/FileSystem.js
/data/data/####/FileTransfer.js
/data/data/####/FileTransferError.js
/data/data/####/FileUploadOptions.js
/data/data/####/FileUploadResult.js
/data/data/####/FileWriter.js
/data/data/####/Flags.js
/data/data/####/LocalFileSystem.js
/data/data/####/MAliyunOSS.js
/data/data/####/MBaiDuMap.js
/data/data/####/MBarcode.js
/data/data/####/MBugly.js
/data/data/####/MDownloader.js
/data/data/####/MFeedback.js
/data/data/####/MFileManager.js
/data/data/####/MHotUpdate.js
/data/data/####/MImageBrowser.js
/data/data/####/MPhoto.js
/data/data/####/MQQ.js
/data/data/####/MRazor.js
/data/data/####/MUploader.js
/data/data/####/MUtils.js
/data/data/####/MWebview.js
/data/data/####/MWeiBo.js
/data/data/####/MWeixin.js
/data/data/####/MYingyan.js
/data/data/####/Media.js
/data/data/####/MediaError.js
/data/data/####/Metadata.js
/data/data/####/MicCore.js
/data/data/####/ProgressEvent.js
/data/data/####/SQLitePlugin.js
/data/data/####/a07845595935abf60a6b.chunk.js
/data/data/####/a350bafe0521af2084df.chunk.js
/data/data/####/a72731037c2ce51337ef.chunk.js
/data/data/####/a8ae3c3706e6ca0a5995.chunk.js
/data/data/####/ab46ef2d014a86a958d1.chunk.js
/data/data/####/ab490cf719762b32f12b.chunk.js
/data/data/####/about.png
/data/data/####/about_qr.jpg
/data/data/####/accelerometer.js
/data/data/####/ad_show_time.xml
/data/data/####/adbb782972750812cad1.chunk.js
/data/data/####/adecd0f71f1ad4f8cd19.chunk.js
/data/data/####/ae3bef5a2df6982c0341.chunk.js
/data/data/####/ae7129d0061dd7aade9c.chunk.js
/data/data/####/aeba225a8a990f1d371a.chunk.js
/data/data/####/aeed17d9bbad7cdbd63c.chunk.js
/data/data/####/app.js
/data/data/####/authStatus_com.mysoft.propertybase;remote.xml
/data/data/####/b0c23aed4be05596ff9c.chunk.js
/data/data/####/b55c76dcadb78f7e618a.chunk.js
/data/data/####/b823e6eee2a98f919583.chunk.js
/data/data/####/b8594e71469c3e4e8090.chunk.js
/data/data/####/b8cdec125dca1fe1593c.chunk.js
/data/data/####/bc60bba6c21340469bda.chunk.js
/data/data/####/bf25c0cc08f4a4c0eb44.chunk.js
/data/data/####/bg-bs.png
/data/data/####/bg-ck.png
/data/data/####/bg-da.png
/data/data/####/bg-fktx.png
/data/data/####/bg-gq.png
/data/data/####/bg-tf.png
/data/data/####/bg-update.jpg
/data/data/####/bg-wx.png
/data/data/####/bg-xj.png
/data/data/####/bg-xl.png
/data/data/####/bg-xm.png
/data/data/####/bg-yd.png
/data/data/####/bg-zx.png
/data/data/####/bg.jpg
/data/data/####/bugly_db_-journal
/data/data/####/c0eab0649e10561785e5.chunk.js
/data/data/####/c120bd5b07489162e968.chunk.js
/data/data/####/c1f0d1672a3e651daab4.chunk.js
/data/data/####/c2ec19ee3731749d5619.chunk.js
/data/data/####/c43fbbda70a8ca64823a.chunk.js
/data/data/####/ca4997f4356897a038d1.chunk.js
/data/data/####/cce3a772469a9ca4b84e.chunk.js
/data/data/####/check.png
/data/data/####/cobub.cacheactivityInfo
/data/data/####/cobub.cacheclientData
/data/data/####/code.png
/data/data/####/com.mysoft.propertybase_preferences.xml
/data/data/####/com.tencent.open.config.json.ddd
/data/data/####/commysoftpropertybase
/data/data/####/cone.png
/data/data/####/cordova.js
/data/data/####/cordova_plugins.js
/data/data/####/crashrecord.xml
/data/data/####/d0bb2034a408a7e553ba.chunk.js
/data/data/####/d3e59ea667d2867f8356.chunk.js
/data/data/####/d818a1a20be00cc358e6.chunk.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/default.png
/data/data/####/device.js
/data/data/####/dfc8b82f-f28c-4a6c-9090-34903ace6fc2.raven-event
/data/data/####/e3a6a50e4c2acfb47aca.chunk.js
/data/data/####/e3ad71b9dc36e5daaf57.chunk.js
/data/data/####/e73ae8859c1c40b2df45.chunk.js
/data/data/####/e951a7bcd212ccf6eb37.chunk.js
/data/data/####/ead1abea96c3ed53343c.chunk.js
/data/data/####/engineer.png
/data/data/####/exec.js
/data/data/####/f35d5b86254952b0bb14.chunk.js
/data/data/####/f3d41ca097528d41d30a.chunk.js
/data/data/####/f7883dbe61c49ec06d52.chunk.js
/data/data/####/f9113334c74529ec8e40.chunk.js
/data/data/####/f9e3e6c932768354793a.chunk.js
/data/data/####/faa791fdd4ba5ea414ad.chunk.js
/data/data/####/fe4c9dcdcb1c9a018128.chunk.js
/data/data/####/feedback.png
/data/data/####/fileSystemPaths.js
/data/data/####/fileSystems-roots.js
/data/data/####/fileSystems.js
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gloves.png
/data/data/####/growing.db-journal
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/house_info.png
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i-abxl.png
/data/data/####/i-bjxl.png
/data/data/####/i-check.png
/data/data/####/i-down.png
/data/data/####/i-fwwx.png
/data/data/####/i-gqwx.png
/data/data/####/i-hnts.png
/data/data/####/i-kfxl.png
/data/data/####/i-me-active.png
/data/data/####/i-me.png
/data/data/####/i-sbwb.png
/data/data/####/i-sbxj.png
/data/data/####/i-tfsj.png
/data/data/####/i-wb.png
/data/data/####/i-wlck.png
/data/data/####/i-xfxl.png
/data/data/####/i-xj-time.png
/data/data/####/i-xj.png
/data/data/####/i-xl.png
/data/data/####/i-xmhc.png
/data/data/####/i-zxjc.png
/data/data/####/icn-download.png
/data/data/####/icn-gdrw.png
/data/data/####/icn-khjd.png
/data/data/####/icn-pzhc.png
/data/data/####/icn-sbwh.png
/data/data/####/icn-team.png
/data/data/####/icn-upload.png
/data/data/####/icn-wlck.png
/data/data/####/icn-zhxl.png
/data/data/####/icn_arrow.png
/data/data/####/icn_check_arrow.png
/data/data/####/icon-account.png
/data/data/####/icon-charge.png
/data/data/####/icon-check-normal.png
/data/data/####/icon-check.png
/data/data/####/icon-ck.png
/data/data/####/icon-clock.png
/data/data/####/icon-complement.png
/data/data/####/icon-date.png
/data/data/####/icon-del.png
/data/data/####/icon-delete.png
/data/data/####/icon-done.png
/data/data/####/icon-down.png
/data/data/####/icon-edit2.png
/data/data/####/icon-eye.png
/data/data/####/icon-f.png
/data/data/####/icon-fault.png
/data/data/####/icon-fw.png
/data/data/####/icon-gq.png
/data/data/####/icon-guide.png
/data/data/####/icon-hc.png
/data/data/####/icon-implement.png
/data/data/####/icon-index-active.png
/data/data/####/icon-index.png
/data/data/####/icon-l.png
/data/data/####/icon-link-right.png
/data/data/####/icon-metarial.png
/data/data/####/icon-no-work.png
/data/data/####/icon-normal.png
/data/data/####/icon-p.png
/data/data/####/icon-pd.png
/data/data/####/icon-phone.png
/data/data/####/icon-photo.png
/data/data/####/icon-pic.png
/data/data/####/icon-pwd.png
/data/data/####/icon-r.png
/data/data/####/icon-reception.png
/data/data/####/icon-record.png
/data/data/####/icon-repair.png
/data/data/####/icon-reply.png
/data/data/####/icon-s.png
/data/data/####/icon-search.png
/data/data/####/icon-see.png
/data/data/####/icon-select.png
/data/data/####/icon-selected.png
/data/data/####/icon-sj.png
/data/data/####/icon-star.png
/data/data/####/icon-status-orange.png
/data/data/####/icon-status.png
/data/data/####/icon-stock.png
/data/data/####/icon-stop.png
/data/data/####/icon-tenant.png
/data/data/####/icon-text.png
/data/data/####/icon-tf.png
/data/data/####/icon-time-out.png
/data/data/####/icon-timeout-gray.png
/data/data/####/icon-timeout.png
/data/data/####/icon-todo-active.png
/data/data/####/icon-todo.png
/data/data/####/icon-uncheck.png
/data/data/####/icon-unselected.png
/data/data/####/icon-w.png
/data/data/####/icon-way.png
/data/data/####/icon-x.png
/data/data/####/icon-xj.png
/data/data/####/icon-xl.png
/data/data/####/icon-xmhc.png
/data/data/####/icon-y.png
/data/data/####/icon-z.png
/data/data/####/icon-zf.png
/data/data/####/icon-zx.png
/data/data/####/icon-zxjc.png
/data/data/####/icon_arrow.png
/data/data/####/icon_arrowup.png
/data/data/####/icon_guideline.png
/data/data/####/icon_info.png
/data/data/####/icon_normal.png
/data/data/####/icon_trouble.png
/data/data/####/index
/data/data/####/index-bg.png
/data/data/####/index.html
/data/data/####/initDB.sql
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/invalidate.png
/data/data/####/isChrome.js
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/keyboard.js
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/loading.svg
/data/data/####/local_crash_lock
/data/data/####/logo.png
/data/data/####/mGTPush.js
/data/data/####/main.92102a81709ace86fce4.js
/data/data/####/me-about.png
/data/data/####/me-feedback.png
/data/data/####/me-project.png
/data/data/####/me-settings.png
/data/data/####/me-sync.png
/data/data/####/me-version.png
/data/data/####/message.png
/data/data/####/mgrowingio.js
/data/data/####/multidex.version.xml
/data/data/####/mysoft.xml
/data/data/####/nativeapiprovider.js
/data/data/####/network.js
/data/data/####/no-data.png
/data/data/####/no-notice.png
/data/data/####/no-profile.png
/data/data/####/no-task.png
/data/data/####/note-search-house.png
/data/data/####/notification.js
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/p-photo.png
/data/data/####/pass.png
/data/data/####/platform.js
/data/data/####/profile-default.png
/data/data/####/profile-error.png
/data/data/####/profile-normal.png
/data/data/####/profile-note.png
/data/data/####/profile-stop.png
/data/data/####/profile_arrow.png
/data/data/####/project.png
/data/data/####/promptbasednativeapi.js
/data/data/####/qc-check.png
/data/data/####/qc-uncheck.png
/data/data/####/qr-center.png
/data/data/####/question.png
/data/data/####/ratchicons.eot
/data/data/####/ratchicons.svg
/data/data/####/ratchicons.ttf
/data/data/####/ratchicons.woff
/data/data/####/requestFileSystem.js
/data/data/####/resolveLocalFileSystemURI.js
/data/data/####/security_info
/data/data/####/shake-photo.png
/data/data/####/sign-del.png
/data/data/####/sign-ok.png
/data/data/####/sp-down.png
/data/data/####/statusbar.js
/data/data/####/stock-add.png
/data/data/####/stock-house.png
/data/data/####/stock-lack.png
/data/data/####/stock-minus.png
/data/data/####/stock-package.png
/data/data/####/stop.png
/data/data/####/sync.png
/data/data/####/task.png
/data/data/####/tencent_analysis.db-journal
/data/data/####/union-delete.png
/data/data/####/upgrade-bg.png
/data/data/####/upgrade-bottom-left.png
/data/data/####/upgrade-close2.png
/data/data/####/upgrade-top-right.png
/data/data/####/variable.js
/data/data/####/vendor.ed8a161255f9c5ff2f2d.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wifi.png
/data/media/####/.commysoftpropertybase
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/__log.db
/data/media/####/__log.db-journal
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
getuiext2
libjiagu
locSDK7a
sqliteX
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней