Adware.Gexin.19222

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) 1####.92.53.164:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) 1####.190.125.86:8106
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) ti####.c####.l####.####.com:443
TCP(TLS/1.0) jj####.julan####.com:443
TCP(TLS/1.0) wap.cmpass####.com:8443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) api-####.m####.com:443
TCP a####.u####.com:80
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
and####.b####.qq.com
api-####.m####.com
api.map.b####.com
app.julan####.com
c-h####.g####.com
cdn-sdk####.g####.com
cdn.julan####.com
cgi.con####.qq.com
cm-1####.ig####.com
f####.julan####.com
jj####.julan####.com
l####.tbs.qq.com
loc.map.b####.com
o####.map.b####.com
rs.eas####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wap.cmpass####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_fPG280
cdn-sdk####.g####.com.####.com/tdata_uED964
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
d####.c####.l####.####.com/offline_pkg/dfd62a6.zip
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/FlQCQadkYAd_zWqYBixzC-m8ocN7
ti####.c####.l####.####.com/FmdN5__pHSW0y8mR2-uxhOm-Hh6h
ti####.c####.l####.####.com/config/hz-hzv6.conf
ti####.c####.l####.####.com/invite_wage_strip.png
ti####.c####.l####.####.com/swith_my_icon1_20180517001.png
ti####.c####.l####.####.com/tdata_tYM194

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0aa63e9a379c
/data/data/####/1002
/data/data/####/1004
/data/data/####/2cd0d6a14d83a566a7efff1caf4eaca0.0.tmp
/data/data/####/2cd0d6a14d83a566a7efff1caf4eaca0.1.tmp
/data/data/####/31fc54aad8d63342ccb398df510d0202.0.tmp
/data/data/####/31fc54aad8d63342ccb398df510d0202.1.tmp
/data/data/####/593db90838cea5afc5d8cc412593b991.0.tmp
/data/data/####/593db90838cea5afc5d8cc412593b991.1.tmp
/data/data/####/89c8f80cbce1bd47273db436e88003bc.0.tmp
/data/data/####/89c8f80cbce1bd47273db436e88003bc.1.tmp
/data/data/####/8c597746f91d374f4e2dca24002ac685.0.tmp
/data/data/####/8c597746f91d374f4e2dca24002ac685.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/authStatus_com.julanling.app;remote.xml
/data/data/####/b282dcfd3faac76a98690ed3c0fbed5d.0.tmp
/data/data/####/b282dcfd3faac76a98690ed3c0fbed5d.1.tmp
/data/data/####/bugly_db_-journal
/data/data/####/cbe01b615eef6aa8e456ac66b78808ef.0.tmp
/data/data/####/cbe01b615eef6aa8e456ac66b78808ef.1.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.julanling.app-journal
/data/data/####/com.julanling.app.BETA_VALUES.xml
/data/data/####/com.julanling.app_preferences.xml
/data/data/####/com.meizu.flyme.push.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.tencent.open.config.json.1101328984
/data/data/####/config.json
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d076b64aba900049716fe4f22c04046e.0.tmp
/data/data/####/d076b64aba900049716fe4f22c04046e.1.tmp
/data/data/####/device_id.xml.xml
/data/data/####/dgq.db-journal
/data/data/####/dgq_sp.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f98a15211d05bc6c55aa57cd00fe389a
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jjb.db-journal
/data/data/####/journal.tmp
/data/data/####/julanling.db-journal
/data/data/####/libcuid.so
/data/data/####/libjiagu-796197802.so
/data/data/####/local_crash_lock
/data/data/####/mobclick_agent_user_com.julanling.app.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/server.json
/data/data/####/share_prefers.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_fPG280
/data/data/####/tdata_fPG280.jar
/data/data/####/tdata_uED964
/data/data/####/tdata_uED964.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1577377353706.env
/data/data/####/um_cache_1577377363394.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/user_remind_info.xml
/data/data/####/xsgjz.db-journal
/data/data/####/zhgs.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0.dea607cb579d37925698.js
/data/media/####/0.f8b95574241edf490eb4.js
/data/media/####/0.png
/data/media/####/1.29042cf0d376936738f1.js
/data/media/####/1.6beab8442ca022401a43.js
/data/media/####/1.b117034.png
/data/media/####/1.png
/data/media/####/10.7c81950e7187913f3fb9.js
/data/media/####/10.84060643dd2d87c7e712.js
/data/media/####/10.fe76c9b.png
/data/media/####/11.90ab151cf1c136a1c2d6.js
/data/media/####/11.c97414b76510ab025331.js
/data/media/####/12.0b8bc7e0cc5ae0608092.js
/data/media/####/12.746db153e1d077d030e0.js
/data/media/####/13.8294821fe36ec5a834d2.js
/data/media/####/13.c8e3fa7f64c9c3e5596f.js
/data/media/####/14.0f50c017d7811bb641c1.js
/data/media/####/14.48fcf050d3fc12e70825.js
/data/media/####/15.84bf7c8ec4d169c46346.js
/data/media/####/15.c1777c2230ceea85e735.js
/data/media/####/16.62e8f01481c43edc7454.js
/data/media/####/16.7f3365cd80e3b11ed6cd.js
/data/media/####/17.43bbcba4f77918ed4357.js
/data/media/####/17.ce66fb2b9f630a763ba7.js
/data/media/####/18.605c4b9e21efa89029f9.js
/data/media/####/18.c2a45bd8c46988dbf2b9.js
/data/media/####/19.59f148bf13ead1f278e6.js
/data/media/####/19.7744549bf2e19ba8233b.js
/data/media/####/1i68nymgsh9k0btvuxsu33kec.0.tmp
/data/media/####/2.23c797ea29a6ff231d10.js
/data/media/####/2.2e3e2609d4378b851a39.js
/data/media/####/2.57b0627.png
/data/media/####/2.png
/data/media/####/20.1229c95e063c8140cc71.js
/data/media/####/20.18c768814bb0df7c3732.js
/data/media/####/2019-12-26.log.txt
/data/media/####/21.96536c73dbdeb8d506f6.js
/data/media/####/21.cd342672dbd3834e894b.js
/data/media/####/22.9fc9ad35462396dcec2a.js
/data/media/####/23.264ba8a4bd35060d6575.js
/data/media/####/24.0c745b8e18f69e71952d.js
/data/media/####/25.8271e8659e87e879eaf2.js
/data/media/####/26.abcb3dafd24366161084.js
/data/media/####/27.52fd07084e61464cdc0e.js
/data/media/####/28.0d2091010708b16de435.js
/data/media/####/29.750e37c4a69757975c08.js
/data/media/####/2zxn96waxdg9ylbmxf2g18o1c.0.tmp
/data/media/####/3.4654053.png
/data/media/####/3.5f692c361dce6e7c5fd7.js
/data/media/####/3.83ae0c282f6581a2209a.js
/data/media/####/3.png
/data/media/####/30.9c56bc3951899a067c33.js
/data/media/####/31.d2d1d541109ebb843d2d.js
/data/media/####/32.d1f29479a618d3fa3dab.js
/data/media/####/33.ad84178ef294408aee27.js
/data/media/####/34.cd3ec29c253580cbefe9.js
/data/media/####/35.2020a03b52c177bd32a6.js
/data/media/####/36.24b24a7ab860d973e1d2.js
/data/media/####/37.932075452bbf830fd325.js
/data/media/####/38.678ce838072278b0efa0.js
/data/media/####/39.1cea165a35081456c509.js
/data/media/####/4.16df373d30f784a649cf.js
/data/media/####/4.4b13a6b.png
/data/media/####/4.be18a19877d61c3e7337.js
/data/media/####/4.png
/data/media/####/40.9f7864569fdfafc31dc9.js
/data/media/####/406j61b4g6oh66c7zv08v6oqp.0.tmp
/data/media/####/41.dced82d215486d29f67b.js
/data/media/####/42.34823976a871a58de807.js
/data/media/####/43.c92ece7be52749801afe.js
/data/media/####/44.8853027c8675146b71ff.js
/data/media/####/47vls4nug6x19mlxepb7w3e7x.0.tmp
/data/media/####/48j3ytefv6ifukv9bn2zdk7pw.0.tmp
/data/media/####/5.21a6f95.png
/data/media/####/5.8895ef49392ac1ed537a.js
/data/media/####/5.b647fb8056ac82f75146.js
/data/media/####/5.png
/data/media/####/6.809025e4fe39a3e91eb1.js
/data/media/####/6.9625fc623f4d6f0d77df.js
/data/media/####/6.bcc2d2f.png
/data/media/####/6.png
/data/media/####/7.5cb437a560fd7ba58fbf.js
/data/media/####/7.69e48b19fb8278186b0a.js
/data/media/####/7.dc40dd9.png
/data/media/####/7.png
/data/media/####/8.17a618f75704e4fa4460.js
/data/media/####/8.275d2dc1fe4f33ece571.js
/data/media/####/8.8a1303a.png
/data/media/####/8.png
/data/media/####/9.67bc299.png
/data/media/####/9.96704d93a76764a76488.js
/data/media/####/9.fd7e538200249a3956e1.js
/data/media/####/9.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abc.html
/data/media/####/agents-top.2fe3763.png
/data/media/####/app.0fb6c1b8d12bfc60bc65.js
/data/media/####/app.12588ee721e1a48ace32816fabc33d76.css
/data/media/####/app.c4b2ae267de52499e0f7633ee102968e.css
/data/media/####/app.db
/data/media/####/app.ff1b79bcbb76acda63a2.js
/data/media/####/base.css
/data/media/####/bc-center-2.54ddd37.png
/data/media/####/bc-center.efae332.png
/data/media/####/bc.a6389c6.png
/data/media/####/bounty-bg.108f815.png
/data/media/####/clipboard.min.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.julanling.app.bin
/data/media/####/com.julanling.app.db
/data/media/####/comment_pre.png
/data/media/####/conlts.dat
/data/media/####/default-skin.png
/data/media/####/default-skin.svg
/data/media/####/detail-top.7139d04.png
/data/media/####/dfd62a6.zip
/data/media/####/dsbridge.js
/data/media/####/easemob.log
/data/media/####/eat-stay-bg.d5414be.png
/data/media/####/face-look.5882750.png
/data/media/####/finish-center.5d4c05a.png
/data/media/####/flexible.min.js
/data/media/####/float-icon.099374e.png
/data/media/####/fresh-b.38a69fb.png
/data/media/####/fu-info.b37bc98.png
/data/media/####/fu-other.3d1299d.png
/data/media/####/fu-suc-1.dce376c.jpg
/data/media/####/fu-suc-2.18d87db.jpg
/data/media/####/fu-top-font-other.db48103.png
/data/media/####/fu-top-font.50cfbcb.png
/data/media/####/fu-top.0e7f8f9.png
/data/media/####/guarantee.0207ca8.png
/data/media/####/guarantee1.b6e9631.png
/data/media/####/guarantee2.cb783ff.png
/data/media/####/guarantee3.5c7a334.png
/data/media/####/guarantee4.006de8c.png
/data/media/####/holiday_list.json
/data/media/####/home-bottom-tip.ccc9520.png
/data/media/####/icon-hand.dc48cda.svg
/data/media/####/index.html
/data/media/####/jjb.ico
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/jsencrypt.min.js
/data/media/####/lookFaceUp.a81b012.png
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.2b685bbd05863e88ed23.js
/data/media/####/manifest.7d61e5ceb203659bcb55.js
/data/media/####/md5.min.js
/data/media/####/mryx.827bf80.gif
/data/media/####/new-add-icon.57ec1e8.png
/data/media/####/nga85m7y8mhji8pdzaugbcn8.0.tmp
/data/media/####/pkg.json
/data/media/####/pre.png
/data/media/####/preloader.gif
/data/media/####/prize.abacedf.jpg
/data/media/####/rank-banner.a1fde07.png
/data/media/####/rob-p-b.196957b.png
/data/media/####/rule-top.957725d.png
/data/media/####/sign-bg.70b0e75.png
/data/media/####/sign.png
/data/media/####/step.c3559bf.svg
/data/media/####/style.min.css
/data/media/####/swipe.min.js
/data/media/####/tbslog.txt
/data/media/####/tdata_fPG280
/data/media/####/tdata_uED964
/data/media/####/test.log
/data/media/####/testIos.png
/data/media/####/toast.1d35d43.png
/data/media/####/top-bg.d8ee79b.svg
/data/media/####/top-placeholder.57a5286.png
/data/media/####/topBg.0b55072.png
/data/media/####/util-12-26.txt
/data/media/####/vendor.0c0ebfa014713ffcfb47.js
/data/media/####/vendor.fd6acb073e2b9f8019b4.js
/data/media/####/video-banner.9f14cf3.jpg
/data/media/####/xBridge.js
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.julanling.getui.GetuiService 24696 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-796197802.so
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
mount
sh

Загружает динамические библиотеки:

Bugly
getuiext2
hyphenate
libjiagu-796197802
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней