Adware.Gexin.22201

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) www.p####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) a####.eku.com.cn:80
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) 2####.58.214.10:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.2) 2####.58.208.99:443
TCP(TLS/1.2) 1####.251.39.106:443
TCP(TLS/1.2) 1####.251.39.99:443
TCP(TLS/1.2) 2####.58.214.10:443
TCP(TLS/1.2) 1####.251.39.110:443
TCP(TLS/1.2) 1####.250.179.174:443
TCP cm-1####.g####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.eku.com.cn
android####.go####.com
av1.x####.com
c####.x####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
i.t####.com
instant####.google####.com
lbs.net####.im
log.u####.com
m####.go####.com
s####.u####.com
s####.u####.com.####.8
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wa####.127.net
wfd.net####.im
wfd.net####.im.####.8
www.p####.com

Запросы HTTP GET:

a####.eku.com.cn/index/show/getNewSlide
a####.eku.com.cn/user/center/getFriendApplyList?openid=####
a####.eku.com.cn/user/show/VersionCheck?version=####
c####.x####.com:443/sdk/conf?id=####&p=####&v=####&sv=####&cv=####
cdn-sdk####.g####.com.####.com/tdata_CoH340
cdn-sdk####.g####.com.####.com/tdata_GKM601
cdn-sdk####.g####.com.####.com/tdata_jFf739
cdn-sdk####.g####.com.####.com/tdata_pKX830
d####.c####.l####.####.com/config/hzv9.conf
def####.cn.zb.####.com:443/bar/get/558f4f9267e58e664e006c67/?ud_get=####
sdk.o####.p####.####.com/api/addr.htm
wa####.127.net:443/lbs?version=####

Запросы HTTP POST:

a####.eku.com.cn/
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
www.p####.com/apiv1/crash/add
www.p####.com/apiv1/sdkstat/install
www.p####.com/apiv1/sdkstat/launch

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1641162863047.log
/data/data/####/1641162863047.log.bak (deleted)
/data/data/####/1641162868617_3720
/data/data/####/1641162875109_3958
/data/data/####/1641162880304_4190
/data/data/####/1641162885478_4347
/data/data/####/1641162890822_4512
/data/data/####/1641162891282_3767
/data/data/####/1641162891505_3767
/data/data/####/1641162892106_3767
/data/data/####/1641162892186_3778
/data/data/####/1641162892252_3778
/data/data/####/1641162892585_3778
/data/data/####/1641162895427_4683
/data/data/####/1641162900286_4874
/data/data/####/1641162905370_5062
/data/data/####/1641162912400_4829
/data/data/####/1641162912692_5278
/data/data/####/1641162918545_5447
/data/data/####/1641162923182_5583
/data/data/####/1641162927697_5734
/data/data/####/1641162937255_5922
/data/data/####/1641162945437_6034
/data/data/####/1641162952409_6148
/data/data/####/NIMSDK_Config_1a6488e24ccaccde0be9e0b3e5b1d418.xml
/data/data/####/ParseOfflineStore
/data/data/####/ParseOfflineStore-journal
/data/data/####/TDCloudSettingsConfig316C06A4A20B44AEB6DE24CE89...ml.bak
/data/data/####/TDCloudSettingsConfig316C06A4A20B44AEB6DE24CE89E7EA15.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime0.xml (deleted)
/data/data/####/TDpref_shorttime0.xml
/data/data/####/applicationId
/data/data/####/classes.dex
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/cn.eku.artclient_preferences.xml
/data/data/####/cn.eku.artclient_preferences.xml (deleted)
/data/data/####/conf.xdrig.com.443
/data/data/####/download_file.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu.so
/data/data/####/log.umsns.com.443
/data/data/####/pgyersdk.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/tdata_CoH340
/data/data/####/tdata_CoH340.dex
/data/data/####/tdata_CoH340.dex.flock (deleted)
/data/data/####/tdata_CoH340.jar
/data/data/####/tdata_GKM601
/data/data/####/tdata_GKM601.dex
/data/data/####/tdata_GKM601.dex.flock (deleted)
/data/data/####/tdata_GKM601.jar
/data/data/####/tdata_jFf739
/data/data/####/tdata_jFf739.dex
/data/data/####/tdata_jFf739.dex.flock (deleted)
/data/data/####/tdata_jFf739.jar
/data/data/####/tdata_pKX830
/data/data/####/tdata_pKX830.dex
/data/data/####/tdata_pKX830.dex.flock (deleted)
/data/data/####/tdata_pKX830.jar
/data/data/####/tdid.xml
/data/data/####/tmpd8.db-journal
/data/data/####/umeng_socialize.xml
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/000.html
/data/media/####/2022-01-03-01-34-28-1641162868948.log
/data/media/####/2022-01-03-01-34-35-1641162875236.log
/data/media/####/2022-01-03-01-34-40-1641162880396.log
/data/media/####/2022-01-03-01-34-45-1641162885658.log
/data/media/####/2022-01-03-01-34-50-1641162890836.log
/data/media/####/2022-01-03-01-34-55-1641162895467.log
/data/media/####/2022-01-03-01-35-00-1641162900324.log
/data/media/####/2022-01-03-01-35-05-1641162905501.log
/data/media/####/2022-01-03-01-35-12-1641162912753.log
/data/media/####/2022-01-03-01-35-18-1641162918688.log
/data/media/####/2022-01-03-01-35-23-1641162923236.log
/data/media/####/2022-01-03-01-35-27-1641162927752.log
/data/media/####/2022-01-03-01-35-37-1641162937273.log
/data/media/####/2022-01-03-01-35-45-1641162945469.log
/data/media/####/2022-01-03-01-35-52-1641162952454.log
/data/media/####/app.db
/data/media/####/cn.eku.artclient.bin
/data/media/####/cn.eku.artclient.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.tencent.mobileqq_connectSdk.22.01.03.01.log
/data/media/####/demo_20220103.log
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/nim_sdk.log
/data/media/####/tdata_CoH340
/data/media/####/tdata_GKM601
/data/media/####/tdata_jFf739
/data/media/####/tdata_pKX830
/data/media/####/test.log (deleted)
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней