Adware.Gexin.17413

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) 1####.190.125.86:8106
TCP(HTTP/1.1) da####.c####.qini####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) mobi####.alipa####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP(TLS/1.0) jj####.julan####.com:443
TCP(TLS/1.0) l####.cmpass####.com:9443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
and####.b####.qq.com
api.map.b####.com
app.julan####.com
b####.g####.com
c####.g####.com
c####.g####.com
c-h####.g####.com
cm-1####.ig####.com
gs.g####.com
jj####.julan####.com
l####.cmpass####.com
l####.tbs.qq.com
loc.map.b####.com
mobi####.al####.com
norma-e####.m####.com
o####.map.b####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

da####.c####.qini####.com/offline_pkg/c546ff1.zip
norma-e####.m####.com/android/exchange/getpublickey.do
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT369
q####.c####.l####.####.com/tdata_LRe817
q####.c####.l####.####.com/tdata_OxN092
q####.c####.l####.####.com/tdata_ZPR725
q####.c####.l####.####.com/tdata_bca864

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/bd
gs.g####.com/geshu/sdkStatistics/ubi
l####.tbs.qq.com/ajax?c=####&k=####
loc.map.b####.com/sdk.php
norma-e####.m####.com/push/android/external/add.do
o####.map.b####.com/offline_loc
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0aa63e9a379c
/data/data/####/1002
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/alipay_device_id_settings.xml
/data/data/####/alipay_device_id_storage.xml
/data/data/####/alipay_device_id_tags.xml
/data/data/####/authStatus_com.julanling.app;remote.xml
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.julanling.app.BETA_VALUES.xml
/data/data/####/com.julanling.app_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/device_feature_prefs_name.xml
/data/data/####/device_id.xml.xml
/data/data/####/dgq.db-journal
/data/data/####/dgq_sp.xml
/data/data/####/dgq_sp.xml.bak
/data/data/####/download_upload
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gtc.db-journal
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jjb.db-journal
/data/data/####/julanling.db-journal
/data/data/####/libcuid.so
/data/data/####/libjiagu-796197802.so
/data/data/####/local_crash_lock
/data/data/####/mobclick_agent_user_com.julanling.app.xml
/data/data/####/multidex.version.xml
/data/data/####/mz_push_preference.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/sensorsdata.xml (deleted)
/data/data/####/share_prefers.xml
/data/data/####/ssoconfigs.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_LRe817
/data/data/####/tdata_LRe817.jar
/data/data/####/tdata_OxN092
/data/data/####/tdata_OxN092.jar
/data/data/####/tdata_ZPR725
/data/data/####/tdata_ZPR725.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1566564221669.env
/data/data/####/um_cache_1566564227749.env
/data/data/####/um_cache_1566564227908.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml (deleted)
/data/data/####/umeng_it.cache
/data/data/####/user_remind_info.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xsgjz.db-journal
/data/data/####/zhgs.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0.dea607cb579d37925698.js
/data/media/####/0.f8b95574241edf490eb4.js
/data/media/####/0.png
/data/media/####/1.39446b717e5d68193c66.js
/data/media/####/1.6beab8442ca022401a43.js
/data/media/####/1.b117034.png
/data/media/####/1.png
/data/media/####/10.7c81950e7187913f3fb9.js
/data/media/####/10.84060643dd2d87c7e712.js
/data/media/####/10.fe76c9b.png
/data/media/####/11.90ab151cf1c136a1c2d6.js
/data/media/####/11.c97414b76510ab025331.js
/data/media/####/12.0b8bc7e0cc5ae0608092.js
/data/media/####/12.746db153e1d077d030e0.js
/data/media/####/13.8294821fe36ec5a834d2.js
/data/media/####/13.c8e3fa7f64c9c3e5596f.js
/data/media/####/14.0f50c017d7811bb641c1.js
/data/media/####/14.48fcf050d3fc12e70825.js
/data/media/####/15.84bf7c8ec4d169c46346.js
/data/media/####/15.c1777c2230ceea85e735.js
/data/media/####/16.62e8f01481c43edc7454.js
/data/media/####/16.7f3365cd80e3b11ed6cd.js
/data/media/####/17.43bbcba4f77918ed4357.js
/data/media/####/17.ce66fb2b9f630a763ba7.js
/data/media/####/18.605c4b9e21efa89029f9.js
/data/media/####/18.c2a45bd8c46988dbf2b9.js
/data/media/####/19.59f148bf13ead1f278e6.js
/data/media/####/19.7744549bf2e19ba8233b.js
/data/media/####/2.23c797ea29a6ff231d10.js
/data/media/####/2.2e3e2609d4378b851a39.js
/data/media/####/2.57b0627.png
/data/media/####/2.png
/data/media/####/20.1229c95e063c8140cc71.js
/data/media/####/20.18c768814bb0df7c3732.js
/data/media/####/2019-08-23.log.txt
/data/media/####/21.96536c73dbdeb8d506f6.js
/data/media/####/21.cd342672dbd3834e894b.js
/data/media/####/22.9fc9ad35462396dcec2a.js
/data/media/####/23.264ba8a4bd35060d6575.js
/data/media/####/24.0c745b8e18f69e71952d.js
/data/media/####/25.8271e8659e87e879eaf2.js
/data/media/####/26.abcb3dafd24366161084.js
/data/media/####/27.52fd07084e61464cdc0e.js
/data/media/####/28.0d2091010708b16de435.js
/data/media/####/29.750e37c4a69757975c08.js
/data/media/####/3.4654053.png
/data/media/####/3.5f692c361dce6e7c5fd7.js
/data/media/####/3.83ae0c282f6581a2209a.js
/data/media/####/3.png
/data/media/####/30.9c56bc3951899a067c33.js
/data/media/####/31.d2d1d541109ebb843d2d.js
/data/media/####/32.d1f29479a618d3fa3dab.js
/data/media/####/33.ad84178ef294408aee27.js
/data/media/####/34.cd3ec29c253580cbefe9.js
/data/media/####/35.2020a03b52c177bd32a6.js
/data/media/####/36.24b24a7ab860d973e1d2.js
/data/media/####/37.932075452bbf830fd325.js
/data/media/####/38.678ce838072278b0efa0.js
/data/media/####/39.1cea165a35081456c509.js
/data/media/####/4.14659bb8e7f62b377fe3.js
/data/media/####/4.4b13a6b.png
/data/media/####/4.be18a19877d61c3e7337.js
/data/media/####/4.png
/data/media/####/40.9f7864569fdfafc31dc9.js
/data/media/####/41.dced82d215486d29f67b.js
/data/media/####/42.34823976a871a58de807.js
/data/media/####/43.c92ece7be52749801afe.js
/data/media/####/44.8853027c8675146b71ff.js
/data/media/####/5.1e57897aba6337011664.js
/data/media/####/5.21a6f95.png
/data/media/####/5.b647fb8056ac82f75146.js
/data/media/####/5.png
/data/media/####/6.809025e4fe39a3e91eb1.js
/data/media/####/6.9625fc623f4d6f0d77df.js
/data/media/####/6.bcc2d2f.png
/data/media/####/6.png
/data/media/####/7.5cb437a560fd7ba58fbf.js
/data/media/####/7.69e48b19fb8278186b0a.js
/data/media/####/7.dc40dd9.png
/data/media/####/7.png
/data/media/####/8.17a618f75704e4fa4460.js
/data/media/####/8.275d2dc1fe4f33ece571.js
/data/media/####/8.8a1303a.png
/data/media/####/8.png
/data/media/####/9.67bc299.png
/data/media/####/9.96704d93a76764a76488.js
/data/media/####/9.fd7e538200249a3956e1.js
/data/media/####/9.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abc.html
/data/media/####/agents-top.2fe3763.png
/data/media/####/app.0fb6c1b8d12bfc60bc65.js
/data/media/####/app.12588ee721e1a48ace32816fabc33d76.css
/data/media/####/app.c4b2ae267de52499e0f7633ee102968e.css
/data/media/####/app.db
/data/media/####/app.ff1b79bcbb76acda63a2.js
/data/media/####/base.css
/data/media/####/bc-center-2.54ddd37.png
/data/media/####/bc-center.efae332.png
/data/media/####/bc.a6389c6.png
/data/media/####/bounty-bg.108f815.png
/data/media/####/clipboard.min.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.julanling.app.bin
/data/media/####/com.julanling.app.db
/data/media/####/com.julanling.app_.db
/data/media/####/comment_pre.png
/data/media/####/conlts.dat
/data/media/####/default-skin.png
/data/media/####/default-skin.svg
/data/media/####/detail-top.7139d04.png
/data/media/####/device_feature_file_name
/data/media/####/dsbridge.js
/data/media/####/eat-stay-bg.d5414be.png
/data/media/####/face-look.5882750.png
/data/media/####/finish-center.5d4c05a.png
/data/media/####/flexible.min.js
/data/media/####/float-icon.099374e.png
/data/media/####/fresh-b.38a69fb.png
/data/media/####/fu-info.b37bc98.png
/data/media/####/fu-other.3d1299d.png
/data/media/####/fu-suc-1.dce376c.jpg
/data/media/####/fu-suc-2.18d87db.jpg
/data/media/####/fu-top-font-other.db48103.png
/data/media/####/fu-top-font.50cfbcb.png
/data/media/####/fu-top.0e7f8f9.png
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/guarantee.0207ca8.png
/data/media/####/guarantee1.b6e9631.png
/data/media/####/guarantee2.cb783ff.png
/data/media/####/guarantee3.5c7a334.png
/data/media/####/guarantee4.006de8c.png
/data/media/####/holiday_list.json
/data/media/####/home-bottom-tip.ccc9520.png
/data/media/####/icon-hand.dc48cda.svg
/data/media/####/index.html
/data/media/####/jjb.ico
/data/media/####/journal.tmp
/data/media/####/jsencrypt.min.js
/data/media/####/latest_full.zip
/data/media/####/lookFaceUp.a81b012.png
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.2b685bbd05863e88ed23.js
/data/media/####/manifest.e8bf281d87e09f81dcd1.js
/data/media/####/md5.min.js
/data/media/####/mryx.827bf80.gif
/data/media/####/new-add-icon.57ec1e8.png
/data/media/####/pkg.json
/data/media/####/pre.png
/data/media/####/preloader.gif
/data/media/####/prize.abacedf.jpg
/data/media/####/rank-banner.a1fde07.png
/data/media/####/rob-p-b.196957b.png
/data/media/####/rule-top.957725d.png
/data/media/####/sign-bg.70b0e75.png
/data/media/####/sign.png
/data/media/####/step.5aed0a0.svg
/data/media/####/style.min.css
/data/media/####/swipe.min.js
/data/media/####/sysid.dat
/data/media/####/tdata_LRe817
/data/media/####/tdata_OxN092
/data/media/####/tdata_ZPR725
/data/media/####/tdata_bca864
/data/media/####/test.log
/data/media/####/testIos.png
/data/media/####/toast.1d35d43.png
/data/media/####/top-bg.d8ee79b.svg
/data/media/####/top-placeholder.57a5286.png
/data/media/####/topBg.0b55072.png
/data/media/####/vendor.0c0ebfa014713ffcfb47.js
/data/media/####/vendor.fd6acb073e2b9f8019b4.js
/data/media/####/video-banner.9f14cf3.jpg
/data/media/####/xBridge.js
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls -l /system/xbin/su
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0

Загружает динамические библиотеки:

Bugly
X86Bridge
deviceid_1
getuiext3
hyphenate
libjiagu-796197802
locSDK7a
sqlite

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней