Adware.Gexin.17555

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t.j####.com:8008
TCP(HTTP/1.1) log.ifl####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) ui.ptlo####.qq.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) phon####.x####.d####.com:80
TCP(HTTP/1.1) openmo####.qq.com:80
TCP(HTTP/1.1) www.j####.com:80
TCP(HTTP/1.1) con####.qq.com:80
TCP(HTTP/1.1) cap####.qq.com:80
TCP(HTTP/1.1) t.j####.com:8081
TCP(HTTP/1.1) ty.cap####.qq.com:80
TCP(HTTP/1.1) imgc####.qq.com.####.com:80
TCP(HTTP/1.1) cap####.g####.com.####.com:80
TCP(HTTP/1.1) 1####.55.144.200:80
TCP(TLS/1.0) con####.qq.com:443
TCP(TLS/1.0) ty.cap####.qq.com:443
TCP(TLS/1.0) dot.wts.xi####.cn:443
TCP(TLS/1.0) ssl.cap####.qq.com:443
TCP cm-1####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
api.s####.mob.com
c-h####.g####.com
cap####.g####.com
cap####.qq.com
cm-1####.ig####.com
con####.qq.com
d####.opensp####.cn
dot.wts.xi####.cn
imgc####.qq.com
log####.ifl####.com
log.ifl####.com
m.d####.mob.com
openmo####.qq.com
phon####.x####.d####.com
pv.s####.com
scs.opensp####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.cap####.qq.com
t####.qq.com
t.j####.com
ty.cap####.qq.com
ui.ptlo####.qq.com
www.j####.com

Запросы HTTP GET:

cap####.g####.com.####.com/2/tcaptcha-frame.1b406056.js
cap####.qq.com/template/TCapIframeApi.js?aid=####&rand=####&clientype=##...
con####.qq.com/sdk/pic/pt_QQ_logo.png
gd.a.s####.com/cityjson?ie=####
imgc####.qq.com.####.com/ptlogin/ac/v9/js/area_chs.js
imgc####.qq.com.####.com/ptlogin/v4/style/42/images/search.png
imgc####.qq.com.####.com/ptlogin/v4/style/mobile_common.css
imgc####.qq.com.####.com/ptlogin/ver/19081313/js/login_10.js
m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
openmo####.qq.com/api/check?page=shareindex.html&style=9&action=shareToQ...
phon####.x####.d####.com/weather/getWeatherByAreaID?areaId=####
t.j####.com:8008/app_if/MobileApp?appKey=####&channel=####&versionCode=#...
t.j####.com:8008/app_if/amuc/api/column/getColsId?userId=####&siteID=####
t.j####.com:8008/app_if/discussCount?id=####&type=####&siteId=####&sourc...
t.j####.com:8008/app_if/discussHot?jsoncallback=####&id=####&type=####&s...
t.j####.com:8008/app_if/discussView?jsoncallback=####&id=####&type=####&...
t.j####.com:8008/app_if/getArticleContent?articleId=####&colID=####
t.j####.com:8008/app_if/getArticles?columnId=####&version=####&lastFileI...
t.j####.com:8008/app_if/getColumns?siteId=####&parentColumnId=####&versi...
t.j####.com:8008/app_if/getConfig?appID=####
t.j####.com:8008/app_if/hasFav?userID=####&articleID=####&siteID=####&ty...
t.j####.com:8008/app_if/redDot?siteID=####
t.j####.com:8081/jnrb/201707/26/15e6dac5-c96d-4277-b8b0-8b93792ec366.png
t.j####.com:8081/jnrb/201707/26/2f4c0eb3-d3b2-48c7-988f-4b055ab994a2.png
t.j####.com:8081/jnrb/201707/26/33366e2d-1b5e-48fd-866c-ee0f369bb70c.png
t.j####.com:8081/jnrb/201707/26/46881957-6ff5-4f3b-93eb-e17d642d56e5.png
t.j####.com:8081/jnrb/201707/26/ca019fc1-3864-40d4-8ea6-543f28050d5c.png
t.j####.com:8081/jnrb/201707/26/f8384775-2d40-464b-aa94-a4d2390e0bee.png
t.j####.com:8081/jnrb/201707/26/fda608e1-27e8-4cd4-8996-6f38315048d8.png
ty.cap####.qq.com/code?siteKey=####&Action=####
ui.ptlo####.qq.com/cgi-bin/login?style=####&hln_css=####&appid=####&daid...
ui.ptlo####.qq.com/cgi-bin/report?id=####&t=####
ui.ptlo####.qq.com/ptui_ver.js?ptui_identifier=####&v=####
ui.ptlo####.qq.com/style/8/images/info.png
www.j####.com/1c648a3d-4150-4e53-843e-6a0d71811f73.jpg
www.j####.com/7c03d6c0-30d6-40b7-b7ca-1453c48dbd3a.zip
www.j####.com/zsjn/pic/2019-07/12/841f5700-5530-45ae-8750-239e3ea1691c.jpg
www.j####.com/zsjn/pic/2019-08/30/416b2839-bc84-4ffc-a200-f2b826eaea56.jpg
www.j####.com/zsjn/pic/2019-08/30/471171ad-a539-491a-9ed6-7b071a2bb624.jpg
www.j####.com/zsjn/pic/2019-08/30/4fc58bbb-45f1-464c-838e-02d50a917bcb.jpg
www.j####.com/zsjn/pic/2019-08/30/5a06ec1f-0214-4bee-96fb-0ee4f0ae71ec.jpg
www.j####.com/zsjn/pic/2019-08/30/74ee4052-6a65-444a-b2ab-81b50b721a1084...
www.j####.com/zsjn/pic/2019-08/30/779eff85-53b4-4436-94d8-2546dea88199.jpg
www.j####.com/zsjn/pic/2019-08/30/7e717ecb-b000-41d3-814b-cebbf026ccd2.jpg
www.j####.com/zsjn/pic/2019-08/30/8dfaa711-2170-4872-8a70-0d7bd9e62fa4.jpg
www.j####.com/zsjn/pic/2019-08/30/b1afc676-609e-446f-90ff-bcb723b3f69c.jpg
www.j####.com/zsjn/pic/2019-08/30/bb9b9103-ff9d-46cb-afc3-bf083d8adec6.jpg
www.j####.com/zsjn/pic/2019-08/30/c0924c6a-d21b-4453-bf7c-1b5d0632dc44.jpg
www.j####.com/zsjn/pic/2019-08/30/d051b045-3fc4-4f5b-bba6-f79cf53eef01.png
www.j####.com/zsjn/pic/2019-08/30/d85a70e5-4208-4284-ac29-a15b15ae8cbd.jpg

Запросы HTTP POST:

a####.exc.mob.com/conf5
a####.exc.mob.com/conn
a####.exc.mob.com/errconf
a####.exc.mob.com/log4
c-h####.g####.com/api.php?format=####&t=####
log.ifl####.com/hotupdate
log.ifl####.com/index.php/clientrequest/clientcollect/isCollect
log.ifl####.com/log?product=####&appid=####&size=####&platform=####&sour...
log.ifl####.com/scs?logver=####&cmd=####&size=####
sdk.o####.p####.####.com/api.php?format=####&t=####
t.j####.com:8008/app_if/event

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1005909431
/data/data/####/-1084604138
/data/data/####/-1194544856
/data/data/####/-1391058361
/data/data/####/-1693183643
/data/data/####/-1748313962
/data/data/####/-1791963451
/data/data/####/-1988476956
/data/data/####/-2022763070
/data/data/####/-211977331
/data/data/####/-33074842
/data/data/####/-408490836
/data/data/####/-809395926
/data/data/####/-934889704
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.project
/data/data/####/.statistics
/data/data/####/02.png
/data/data/####/0d0145c56bd4cc049389c6b2754b4642a851f2df5fb66c1....0.tmp
/data/data/####/1030950414
/data/data/####/1221409398
/data/data/####/1239023684
/data/data/####/1402515637
/data/data/####/1598745065
/data/data/####/1691443635
/data/data/####/1887957140
/data/data/####/1fd70c43e3198e2cd075ce04165d4d43e67db16ef5c47e7....0.tmp
/data/data/####/258637804
/data/data/####/290f846666cd7526df53dd84664256dee7ccf8469083202....0.tmp
/data/data/####/2ccd196bdddbe25f86a46cf2d34752041556ee63b35af55....0.tmp
/data/data/####/301fc2f0e1ea14328f5464e005ae0c9fd52a001bfd67360....0.tmp
/data/data/####/34bd045b3529ebc3aed88f057f5de43427fca54190eefe6....0.tmp
/data/data/####/3a82bca909e07fad2e07ee8d30cc813ef34bb084cb63fb2....0.tmp
/data/data/####/476422952
/data/data/####/48e8e828de111de70339a3260452e81416f21ace0d97804....0.tmp
/data/data/####/4cb54cdcb6faac7d5eb15e6cdbe51f2384e31e2e57614b1....0.tmp
/data/data/####/6995ac9854598c08f56b136418532a80dcd8b8ea76ae11e....0.tmp
/data/data/####/6bfb933023323faecc414fe5ab064e65b3394c25fe89683....0.tmp
/data/data/####/6cfff96db8392d92bed66361f03cb33459307d3d8f8f45f....0.tmp
/data/data/####/6e3293d0bef60c31a2baca439731818f2a2e2d381acdfe2....0.tmp
/data/data/####/708876110
/data/data/####/71.png
/data/data/####/72.png
/data/data/####/732ec354df750d5147044fe0d229e5f9001b4342a1f35d4....0.tmp
/data/data/####/789dd1c0cfabcc7400a17b8637b1cb37ca2457aec44443a....0.tmp
/data/data/####/7a502923f179b9bee89d603986e01d751069ccecf22551d....0.tmp
/data/data/####/7c060c8d643d2a795828a223dd221401a1f99882cee68d1....0.tmp
/data/data/####/7c89282d72ba35d96e8dbebda86ac5d12d247b43e20b98d....0.tmp
/data/data/####/837488567691d3a37dc32a776f21f2d60ab41ac44619f3f....0.tmp
/data/data/####/86306a4b8cecc52745882ba3628fabadcb7ebfddf7b72ca....0.tmp
/data/data/####/905389615
/data/data/####/91403ba966df0f0a2ecaa7c4d075bf51a5e3e0d46254970....0.tmp
/data/data/####/94e44e0c4ca15de1f429d472017047e494f969af88a90be....0.tmp
/data/data/####/96d683ac0897a9281af6b5c9b86fdaa997028ccb097916a....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/Bitmap-ShufflingFigure.png
/data/data/####/ContextData.xml
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/_tmp_PRIORITIZED_2154_1567201435608
/data/data/####/_tmp_PRIORITIZED_2154_1567201436250
/data/data/####/_tmp_PRIORITIZED_2154_1567201436697
/data/data/####/_tmp_PRIORITIZED_2154_1567201460853
/data/data/####/a101ade4e037cb8fddf99192f80b0aee0126347c78086ab....0.tmp
/data/data/####/active.css
/data/data/####/active.html
/data/data/####/active.js
/data/data/####/active.js.bak
/data/data/####/ae0e5af423dcf8c1a0d190f38294da728a1b7a7cf61d6cb....0.tmp
/data/data/####/angular.js
/data/data/####/articleJson.js
/data/data/####/attId_5_newsId_681069_articleJson.js
/data/data/####/b3dddd4ed152681eb82fef24eb99b844615f7666f081aca....0.tmp
/data/data/####/base.css
/data/data/####/bbaea500be7a25f1f00da17cc8d9f64a3df809db9532f33....0.tmp
/data/data/####/bc9e7d469e0eb416c2533b2cd8666a96754b56425ce7741....0.tmp
/data/data/####/bf077879d1729a27881aee96f14106f89fb35afa2e847f5....0.tmp
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/content_template.html
/data/data/####/d774f86a28d2cf0970b81b38349abe1e55c884224603c28....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder26118
/data/data/####/db_founder26118-journal
/data/data/####/dccea649d6f2e74ec3fec7f282474aae8d64b70fbd0488e....0.tmp
/data/data/####/def4012dd80909a85b9e0edcaf5d7f95a7ada7c301f872c....0.tmp
/data/data/####/defaultImg.png
/data/data/####/df874686ed3d2937a417be08bbfa2c8dd41bb311b2e3a70....0.tmp
/data/data/####/e0eb5d857e952735c49e3c3c2b9a294d20a5e8385832a4f....0.tmp
/data/data/####/e9f96934808813c65c4b6e38a5ce2c86e4754bfef3a6365....0.tmp
/data/data/####/f0a864ff90ce6a0e6183e5429167982591e4953eae917b9....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/flexible.js
/data/data/####/fontSytleMsg.xml
/data/data/####/getui_sp.xml
/data/data/####/iflytek_collect_state.xml
/data/data/####/iflytek_device_info.jar
/data/data/####/iflytek_state_com.jiningdaily.product.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jquery-1.9.1.min.js
/data/data/####/jxcom.js
/data/data/####/libjiagu-1180907162.so
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_cached_com.jiningdaily.product
/data/data/####/mobclick_agent_header_com.jiningdaily.product.xml
/data/data/####/mobclick_agent_state_com.jiningdaily.product.xml
/data/data/####/multidex.version.xml
/data/data/####/my_database.db-journal
/data/data/####/playBtn.png
/data/data/####/portrait.jpg
/data/data/####/praise.png
/data/data/####/praised.png
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/py.png
/data/data/####/qaPage.css
/data/data/####/qaPage.html
/data/data/####/qaPage.js
/data/data/####/qq.png
/data/data/####/reader.db-journal
/data/data/####/reader.png
/data/data/####/run.pid
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/subscribeColumnId.xml
/data/data/####/vue-resource.js
/data/data/####/vue.js
/data/data/####/wb.png
/data/data/####/weatherSp.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/weibo_logo.png
/data/data/####/wx.png
/data/data/####/zy_unique_id.bin
/data/media/####/.cuid
/data/media/####/.dic_lock
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jiningdaily.product.bin
/data/media/####/com.jiningdaily.product.db
/data/media/####/iflyworkdir_test
/data/media/####/localTemplate.zip
/data/media/####/掌上济宁share_icon.png

Другие:

Запускает следующие shell-скрипты:

Загружает динамические библиотеки:

RSSupportIO
getuiext2
libjiagu-1180907162
librsjni
msc
neh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней