Adware.Gexin.17100

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.e####.net:80
TCP(TLS/1.0) 1####.217.168.206:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
api.e####.net
c-h####.g####.com
c.appj####.com
cm-1####.ig####.com
qx.e####.net
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

api.e####.net/upload/image/201906/6369673837166201015566057.jpg
api.e####.net/upload/image/201907/6369975962965684943553865.jpg

Запросы HTTP POST:

api.e####.net/app_qx/api/common/CheckUpdate
api.e####.net/app_qx/api/common/FullSearch
api.e####.net/app_qx/api/common/IndexSlide
c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/001.png
/data/data/####/002.png
/data/data/####/003.png
/data/data/####/1.gif
/data/data/####/60x60.gif
/data/data/####/BadgeManager.js
/data/data/####/README.md
/data/data/####/Utils.js
/data/data/####/about.html
/data/data/####/about_company.html
/data/data/####/ad_show_time.xml
/data/data/####/addtimeicon.gif
/data/data/####/aesdata.js
/data/data/####/ajax.js
/data/data/####/analysis.html
/data/data/####/analysisUtils.js
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/appUpload.js
/data/data/####/appVersionUpdate.js
/data/data/####/avatar.jpg
/data/data/####/back.png
/data/data/####/base_page.html
/data/data/####/base_page_child.html
/data/data/####/bbsback.png
/data/data/####/bbsclose.png
/data/data/####/bbsrefresh.png
/data/data/####/bbsshare.png
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/com.elianxinxi.app.ylInstruments.xml
/data/data/####/com.elianxinxi.app.ylInstruments_storages.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/core.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/downloaddetails.html
/data/data/####/dropload.css
/data/data/####/dropload.min.js
/data/data/####/echo.min.js
/data/data/####/enc-base64.js
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/find_check.png
/data/data/####/find_phone.png
/data/data/####/find_pwd.png
/data/data/####/findpswbg.png
/data/data/####/findpwd.html
/data/data/####/forum_new.png
/data/data/####/getui_sp.xml
/data/data/####/grxx.png
/data/data/####/guide.html
/data/data/####/gywm.png
/data/data/####/icon.png
/data/data/####/icon_address.png
/data/data/####/icon_company.png
/data/data/####/icon_name.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/imageviewer.css
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index-old.js
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jfxq.png
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jquery-1.11.0.js
/data/data/####/jquery-1.11.1.min.js
/data/data/####/jquery.json.min.js
/data/data/####/jquery.min.js
/data/data/####/laytpl.js
/data/data/####/libg.png
/data/data/####/libjiagu.so
/data/data/####/line.png
/data/data/####/load1.gif
/data/data/####/loading.gif
/data/data/####/local_fileview.html
/data/data/####/login_register.html
/data/data/####/login_standard.html
/data/data/####/logo.png
/data/data/####/logo_s.png
/data/data/####/lrz.mobile.min.js
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/mui.imageViewer.js
/data/data/####/mui.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/mystyle.css
/data/data/####/nav_icon_news@2x.png
/data/data/####/nav_img_head@2x.png
/data/data/####/nav_img_head@3x.png
/data/data/####/new_get_info.html
/data/data/####/news.css
/data/data/####/news.html
/data/data/####/newsUtils.js
/data/data/####/newspp.css
/data/data/####/pageshare.html
/data/data/####/params.js
/data/data/####/pdr.xml
/data/data/####/personal_bg@2x.jpg
/data/data/####/personal_icon_collect@3x.png
/data/data/####/personal_icon_news@3x.png
/data/data/####/personal_icon_news_collection@3x.png
/data/data/####/personal_icon_news_set@3x.png
/data/data/####/personal_icon_password_find@3x.png
/data/data/####/personal_icon_web_notice@3x.png
/data/data/####/pinchzoom.min.js
/data/data/####/pinglun.png
/data/data/####/pl.png
/data/data/####/public_img.js
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qidongye.png
/data/data/####/register.html
/data/data/####/register_user_data.html
/data/data/####/require-2.1.11.js
/data/data/####/run.pid
/data/data/####/scan.png
/data/data/####/search.html
/data/data/####/search_result.html
/data/data/####/sgrbloding.png
/data/data/####/share.html
/data/data/####/share.js
/data/data/####/share.png
/data/data/####/share01.gif
/data/data/####/share02.gif
/data/data/####/share03.gif
/data/data/####/share04.gif
/data/data/####/share05.gif
/data/data/####/share06.gif
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/swiper.jquery.min.js
/data/data/####/swiper.min.css
/data/data/####/timeUtils.js
/data/data/####/timeaddplay.html
/data/data/####/timeicon01.gif
/data/data/####/timeicon01.png
/data/data/####/timeicon02.gif
/data/data/####/timeicon02.png
/data/data/####/timeicon03.gif
/data/data/####/timeicon03.png
/data/data/####/timeicon04.gif
/data/data/####/timeicon04.png
/data/data/####/timeindex.html
/data/data/####/today.png
/data/data/####/trash_user_cache.html
/data/data/####/update2016.js
/data/data/####/updatefunc.js
/data/data/####/user.html
/data/data/####/user.png
/data/data/####/user_changepwd.html
/data/data/####/user_cllection.html
/data/data/####/user_cllection_detail.html
/data/data/####/user_info.css
/data/data/####/user_info.html
/data/data/####/user_message.html
/data/data/####/user_message_detail.html
/data/data/####/user_setting.html
/data/data/####/web_notice.html
/data/data/####/web_notice_detail.html
/data/data/####/webnoticeUtils.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/windows.html
/data/data/####/yhxy.png
/data/data/####/zan.png
/data/data/####/zan_full.png
/data/data/####/zhaq.png
/data/data/####/zhfw.png
/data/data/####/zi.png
/data/data/####/zssg.css
/data/media/####/app.db
/data/media/####/com.elianxinxi.app.ylInstruments.bin
/data/media/####/com.elianxinxi.app.ylInstruments.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/temp.arm

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

RSA
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней