Android.Gexin.1421

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) a####.ttx####.com:80
TCP(HTTP/1.1) dancf####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) dancf####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) 5114601####.bug####.com:443
TCP(TLS/1.0) a####.ttx####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) cras####.growi####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.2) 1####.217.168.195:443
TCP(TLS/1.2) www.google####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5226
TCP a####.ttx####.com:443

Запросы DNS:

5114601####.bug####.com
7j####.c####.z0.####.com
a####.exc.mob.com
a####.ttx####.com
and####.google####.com
api.growi####.com
api.s####.mob.com
cdn-sdk####.g####.com
cm-1####.g####.com
cras####.growi####.com
dancf####.oss-cn-####.aliy####.com
log.huanleg####.com
log.huanleg####.com.####.8
m####.go####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
t####.growi####.com
t.growi####.com
www.google####.com

Запросы HTTP GET:

a####.ttx####.com/h5/offline_map?config_id=####
a####.ttx####.com:443/tool/theme/group?type=####
cdn-sdk####.g####.com.####.com/tdata_NWX959
cras####.growi####.com:443/v2/bc89a0bdc5b2b0f0/android/faults?stm=####&a...
dancf####.oss-cn-####.aliy####.com/weboffline/album/350daf495/album-1643...
dancf####.oss-cn-####.aliy####.com/weboffline/border/350daf495/border-16...
dancf####.oss-cn-####.aliy####.com/weboffline/mark/350daf495/mark-164312...
dancf####.oss-cn-####.aliy####.com/weboffline/pgc-v2/350daf495/pgc-v2-16...
dancf####.oss-cn-####.aliy####.com/weboffline/pgc/350daf495/pgc-16431216...
dancf####.oss-cn-####.aliy####.com/weboffline/poster/350daf495/poster-16...
dancf####.oss-cn-####.aliy####.com/weboffline/user/350daf495/user-164312...
dancf####.oss-cn-####.aliy####.com/weboffline/watermark/350daf495/waterm...
dancf####.oss-cn-####.aliy####.com:443/market-operations/side/operations...

Запросы HTTP POST:

api.growi####.com:443/v2/bc89a0bdc5b2b0f0/android/action?stm=####
api.growi####.com:443/v2/bc89a0bdc5b2b0f0/android/pv?stm=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/data2
api.s####.mob.com/errconf
api.s####.mob.com/errlog
api.s####.mob.com/log4
api.s####.mob.com/snsconf
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/DayDayTobusiness.xml
/data/data/####/DayDayTobusiness.xml.bak
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/device_id.xml.xml
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/growingio_diagnose.xml.bak
/data/data/####/increment.db-journal
/data/data/####/init.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/tdata_NWX959.tmp
/data/data/####/tmpd8.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/media/####/.ba
/data/media/####/.dk
/data/media/####/.lock
/data/media/####/add-team.9e4d570f.svg
/data/media/####/album-1643121648.zip
/data/media/####/album-null.e913776d.svg
/data/media/####/album.7b0b76c7.js
/data/media/####/album.dc45c3da.css
/data/media/####/album.html
/data/media/####/all-label.6ad3955a.css
/data/media/####/all-label.7ed0a8cf.js
/data/media/####/all-label.html
/data/media/####/app-debug.c61e3539.css
/data/media/####/app-debug.c83e0ce6.js
/data/media/####/app-debug.html
/data/media/####/app.db
/data/media/####/article.13b18545.js
/data/media/####/article.e2e485e5.css
/data/media/####/article.html
/data/media/####/border-1643121648.zip
/data/media/####/cat.c04b8dda.png
/data/media/####/choose-coupons.2882774b.js
/data/media/####/choose-coupons.38b74bd3.css
/data/media/####/choose-coupons.html
/data/media/####/chunjiezhuanxiangshanping.gif
/data/media/####/chunk-common.050876c0.css
/data/media/####/chunk-common.2acef5a8.js
/data/media/####/chunk-common.37a8a514.js
/data/media/####/chunk-common.670caf2b.js
/data/media/####/chunk-common.69c55d62.css
/data/media/####/chunk-common.6bc04eab.js
/data/media/####/chunk-common.a3050bc9.js
/data/media/####/chunk-common.e61e58da.js
/data/media/####/chunk-vendors.46248221.js
/data/media/####/chunk-vendors.4cd12943.css
/data/media/####/chunk-vendors.508225af.js
/data/media/####/chunk-vendors.72a29aca.js
/data/media/####/chunk-vendors.87429583.js
/data/media/####/chunk-vendors.918fce82.js
/data/media/####/chunk-vendors.9ad1819e.js
/data/media/####/chuxikaiping.jpg
/data/media/####/clear-watermark.edc82cb8.png
/data/media/####/close-s.ce289b35.svg
/data/media/####/coin-header.da569e29.png
/data/media/####/coins.aca056c6.css
/data/media/####/coins.bf899510.js
/data/media/####/coins.html
/data/media/####/com.hlg.daydaytobusiness.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/comment.10e29ab5.js
/data/media/####/comment.56b5ca4f.css
/data/media/####/comment.html
/data/media/####/commodity_1.0bdba8f4.png
/data/media/####/corner.323e5290.png
/data/media/####/coupons-question.html
/data/media/####/coupons.5bfec5b0.js
/data/media/####/coupons.b12b22e9.css
/data/media/####/coupons.html
/data/media/####/crown-grey.da099523.png
/data/media/####/crown.5996bdb0.png
/data/media/####/default-avatar.68e8be02.svg
/data/media/####/detail.aa708b4b.css
/data/media/####/detail.d7b3bfda.js
/data/media/####/detail.html
/data/media/####/exchange.58cd51df.css
/data/media/####/exchange.ac247499.js
/data/media/####/exchange.html
/data/media/####/feedback.9f50ae98.js
/data/media/####/feedback.d5d91de5.css
/data/media/####/feedback.html
/data/media/####/first.15052b91.png
/data/media/####/fish-box.49fe119b.png
/data/media/####/full-loading.3bda2f89.png
/data/media/####/greet.4cef8238.png
/data/media/####/guide-a.640a024b.png
/data/media/####/guide-b.1880e322.png
/data/media/####/guide-c.0410c654.png
/data/media/####/hlg_data.db
/data/media/####/hlg_data.db-journal
/data/media/####/hotcss.js
/data/media/####/icon-add-album.871b1c4d.svg
/data/media/####/icon-camera.38bde4d9.svg
/data/media/####/icon-check.b4c0d577.svg
/data/media/####/icon-clean-watermark.3f188a2f.png
/data/media/####/icon-copy.767f48d4.svg
/data/media/####/icon-download.3d399a59.svg
/data/media/####/icon-drag.31287e6e.svg
/data/media/####/icon-edition.de7c2806.svg
/data/media/####/icon-good-gray.f6d72a7e.svg
/data/media/####/icon-good.255f6cef.svg
/data/media/####/icon-id.77a16083.svg
/data/media/####/icon-image-word.a07c4405.png
/data/media/####/icon-label.43b77097.svg
/data/media/####/icon-more-info-black.2eb298bd.svg
/data/media/####/icon-more-info.5629fc39.svg
/data/media/####/icon-new.c89087cd.svg
/data/media/####/icon-post-forward.0ec37baa.svg
/data/media/####/icon-search.a448a121.svg
/data/media/####/icon-share-grey.ab254109.svg
/data/media/####/icon-share-remind.eb2b5686.svg
/data/media/####/icon-share.814bb250.svg
/data/media/####/icon-tool.db92176f.png
/data/media/####/index-old.0f0ec9e8.js
/data/media/####/index-old.f2736f81.css
/data/media/####/index-old.html
/data/media/####/index.00b77148.js
/data/media/####/index.031b1667.js
/data/media/####/index.2efa8b94.css
/data/media/####/index.831bab5c.css
/data/media/####/index.b5e68af4.css
/data/media/####/index.c307f8ae.js
/data/media/####/index.c9a160d5.js
/data/media/####/index.d356230e.css
/data/media/####/index.e279ec9b.js
/data/media/####/index.ed0f3a0e.js
/data/media/####/index.f4a3c5e6.css
/data/media/####/index.html
/data/media/####/industry-plan.f4590b0b.css
/data/media/####/industry-plan.f5839cf4.js
/data/media/####/industry-plan.html
/data/media/####/info.07974cd1.css
/data/media/####/info.3204ded5.js
/data/media/####/info.html
/data/media/####/info1.27f7fb14.png
/data/media/####/info2.f926ed7a.png
/data/media/####/jigsaw.47d4386f.css
/data/media/####/jigsaw.70da682b.js
/data/media/####/jigsaw.html
/data/media/####/label.6c30c748.css
/data/media/####/label.aa427197.js
/data/media/####/label.de54d64d.js
/data/media/####/label.html
/data/media/####/loading.828e87b4.gif
/data/media/####/loading.eb0d4350.gif
/data/media/####/loading.f9959cbc.svg
/data/media/####/long-img.936198ff.png
/data/media/####/manifest.json
/data/media/####/mark-1643121648.zip
/data/media/####/me.2ebda49e.js
/data/media/####/me.d73d65f2.css
/data/media/####/me.html
/data/media/####/member-authority.3081b84e.js
/data/media/####/member-authority.bf877dfb.css
/data/media/####/member-authority.html
/data/media/####/member.0d2191b1.css
/data/media/####/member.f91a8bb9.js
/data/media/####/member.html
/data/media/####/menu.cfc5c88d.svg
/data/media/####/minirefresh-totop.c141fb4f.png
/data/media/####/monthly-management.139c0cd0.css
/data/media/####/monthly-management.3495b89d.js
/data/media/####/monthly-management.html
/data/media/####/my-exchange.0f851e73.css
/data/media/####/my-exchange.6379155f.js
/data/media/####/my-exchange.html
/data/media/####/my-templets.258fbf2a.css
/data/media/####/my-templets.5f3e7082.js
/data/media/####/my-templets.html
/data/media/####/nav-header.6f9d6dcd.png
/data/media/####/new-coins.0b48af39.css
/data/media/####/new-coins.0b58a3dc.js
/data/media/####/new-coins.html
/data/media/####/null.bae3725e.png
/data/media/####/offline.1f39d189.css
/data/media/####/offline.7a8ba352.js
/data/media/####/offline.html
/data/media/####/online_icon.76ed50d6.png
/data/media/####/personal.0f71e39b.css
/data/media/####/personal.b6efa2be.js
/data/media/####/personal.html
/data/media/####/pgc-1643121648.zip
/data/media/####/pgc-v2-1643121648.zip
/data/media/####/picker-x-page.e181e989.css
/data/media/####/picker-x-page.e4deb622.js
/data/media/####/picker-x-page.html
/data/media/####/poster-1643121648.zip
/data/media/####/recommend-privilege.html
/data/media/####/right-arrow.e24bb0cf.svg
/data/media/####/search-detail.2d0f9b55.css
/data/media/####/search-detail.f7551fd3.js
/data/media/####/search-detail.html
/data/media/####/search-team.4b0aba61.css
/data/media/####/search-team.6b154725.js
/data/media/####/search-team.html
/data/media/####/search.9a23f887.css
/data/media/####/search.9a8084b0.js
/data/media/####/search.html
/data/media/####/setting-authority.1be46351.css
/data/media/####/setting-authority.5af614a8.js
/data/media/####/setting-authority.html
/data/media/####/setting.70505ca1.svg
/data/media/####/shanpin2.gif
/data/media/####/share-member.587b36e8.css
/data/media/####/share-member.ab3305fe.js
/data/media/####/share-member.html
/data/media/####/share-prompt.703d832c.png
/data/media/####/share-ttxs-cat.2e2af719.png
/data/media/####/shared-list.2e4f9e75.css
/data/media/####/shared-list.c3e14ff7.js
/data/media/####/shared-list.html
/data/media/####/shunjiesandianling.jpg
/data/media/####/tag-edition.76de279a.css
/data/media/####/tag-edition.da46a84a.js
/data/media/####/tag-edition.html
/data/media/####/tag-management.6a88090c.js
/data/media/####/tag-management.b911d761.css
/data/media/####/tag-management.html
/data/media/####/tag-null.d1d3c86c.png
/data/media/####/tag-post-null.feafe790.png
/data/media/####/tag-post.39d8f204.css
/data/media/####/tag-post.3a226283.js
/data/media/####/tag-post.html
/data/media/####/tag-selection.b6ef7681.css
/data/media/####/tag-selection.ee294297.js
/data/media/####/tag-selection.html
/data/media/####/tag.91f2f3c5.css
/data/media/####/tag.99c47d97.js
/data/media/####/tag.html
/data/media/####/task-question.html
/data/media/####/task.06303e40.js
/data/media/####/task.e4cd10f0.css
/data/media/####/task.html
/data/media/####/tdata_NWX959
/data/media/####/team-create.395b7c1d.js
/data/media/####/team-create.c93c2ba7.css
/data/media/####/team-create.html
/data/media/####/team-detail.62d8c5ae.js
/data/media/####/team-detail.d61b766e.css
/data/media/####/team-detail.html
/data/media/####/team-inform.533e2747.js
/data/media/####/team-inform.c290f313.css
/data/media/####/team-inform.html
/data/media/####/team-list.f5fc4f56.js
/data/media/####/team-list.ff9b0171.css
/data/media/####/team-list.html
/data/media/####/team-member.d8624045.js
/data/media/####/team-member.faa18ef4.css
/data/media/####/team-member.html
/data/media/####/team-setting.0e095ec7.js
/data/media/####/team-setting.4dfc74a4.css
/data/media/####/team-setting.html
/data/media/####/team-templet.6c1d6d27.css
/data/media/####/team-templet.9b006ae8.js
/data/media/####/team-templet.html
/data/media/####/template_1.55ff709d.png
/data/media/####/template_2.b59c7bc7.png
/data/media/####/template_3.6cf6807c.png
/data/media/####/templet-guide-a.0231cab9.png
/data/media/####/templet-guide-b.03c7f800.png
/data/media/####/templet-guide-c.e5f4c321.png
/data/media/####/text-offline.d355d087.js
/data/media/####/text-offline.html
/data/media/####/text.79bb0858.js
/data/media/####/text.84b3e62b.css
/data/media/####/text.html
/data/media/####/topic-list.6edd38ee.css
/data/media/####/topic-list.b688917a.js
/data/media/####/topic-list.html
/data/media/####/upgarde-popup.90dfa1f6.png
/data/media/####/use-member.7caab44b.js
/data/media/####/use-member.c6eb4dc1.css
/data/media/####/use-member.html
/data/media/####/user-1643121648.zip
/data/media/####/user.1aadec4a.js
/data/media/####/user.cdcc0816.css
/data/media/####/user.html
/data/media/####/vip-banner.5b6586df.png
/data/media/####/vip-bg.f224c15c.png
/data/media/####/vip-free.5ea8dc79.png
/data/media/####/vip-year-bg.1953d5c3.png
/data/media/####/watermark-1643121648.zip
/data/media/####/words-and-sticker.8be1cf5d.js
/data/media/####/words-and-sticker.html
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

cat /sys/class/net/wlan0/address
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
logcat -v time -t 500 3643

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней