Adware.Gexin.22596

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.yol####.hk:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) hk.wagbr####.non####.####.com:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.2) and####.cli####.go####.com:443
TCP(TLS/1.2) 64.2####.167.95:443
TCP(TLS/1.2) and####.google####.com:443
TCP(TLS/1.2) pla####.google####.com:443
TCP(TLS/1.2) connect####.gst####.com:443
TCP cm-1####.g####.com:5226
TCP sdk.o####.t####.####.com:5224
TCP l####.l####.com:443

Запросы DNS:

a####.u####.com
and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
api.growi####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
connect####.gst####.com
l####.l####.com
m####.go####.com
pla####.google####.com
pla####.googleu####.com
q.tinkerp####.com
q.tinkerp####.com.####.8
qy-swa####.qi####.com
res####.a####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sdk.yol####.hk
t.growi####.com
y####.al####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_RBO669
cdn-sdk####.g####.com.####.com/tdata_cpZ817
cdn-sdk####.g####.com.####.com/tdata_uxr091
d####.c####.l####.####.com/config/hzv9.conf
sdk-ope####.g####.com/api/addr.htm
t.growi####.com:443/app/9eabefbaddd8e63a/android/devices?u=####&dm=####&...

Запросы HTTP POST:

a####.u####.com.####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.growi####.com:443/v2/9eabefbaddd8e63a/android/action?stm=####
api.growi####.com:443/v2/9eabefbaddd8e63a/android/pv?stm=####
c-h####.g####.com/api.php?format=####&t=####
hk.wagbr####.non####.####.com:443/saveWb.json
res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
sdk.yol####.hk/api/v5/commons/get_business_app_id

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1004
/data/data/####/21c22f492aba3de8.lock
/data/data/####/4800b4bf6c8cf641_version.info
/data/data/####/49c7457b84b71c05e5fe003031024fb31cf9e6d66e5f6ff....0.tmp
/data/data/####/5289074597634.0
/data/data/####/7674c83c
/data/data/####/8688814720829.0
/data/data/####/930a31b34bd52c08.lock
/data/data/####/BC1850C1C65B865C89600D295B24F366E60BBE14EB04655...2EC748
/data/data/####/Q0VSVC5SU0EK.txt
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/Unicorn.bb9cbd34250b1b77bf3b552e2ba673ab.xml
/data/data/####/apisdk_baseinfo_new.xml
/data/data/####/apisdk_divice_id_new.xml
/data/data/####/apisdk_imei_new.xml
/data/data/####/apisdk_imsi_new.xml
/data/data/####/app_config
/data/data/####/bugly_db_-journal
/data/data/####/c6a720fd0340
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/classes4.dex
/data/data/####/com.leoao.fitness.opencity
/data/data/####/com.leoao.fitness.xml
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dc374f27dd9f7231
/data/data/####/exchangeIdentity.json
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jg_so_upgrade_setting.xml.bak
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/libsgmain_312757200000.dex
/data/data/####/libsgmain_312757200000.dex.flock (deleted)
/data/data/####/libsgmainso-5.3.38.so
/data/data/####/libsgsecuritybody_312757200000.dex
/data/data/####/libsgsecuritybody_312757200000.dex.flock (deleted)
/data/data/####/libsgsecuritybodyso-5.3.27.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/native_record_lock
/data/data/####/patch_server_config.xml
/data/data/####/pref.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sp.lock
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_RBO669
/data/data/####/tdata_RBO669.dex
/data/data/####/tdata_RBO669.dex.flock (deleted)
/data/data/####/tdata_RBO669.jar
/data/data/####/tdata_cpZ817
/data/data/####/tdata_cpZ817.dex
/data/data/####/tdata_cpZ817.dex.flock (deleted)
/data/data/####/tdata_cpZ817.jar
/data/data/####/tdata_uxr091
/data/data/####/tdata_uxr091.dex.flock (deleted)
/data/data/####/tdata_uxr091.jar
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unicorn#cheese#
/data/data/####/version.lock
/data/media/####/.nomedia
/data/media/####/1.9f1fbb379ae838ce4737.js
/data/media/####/10.f32dd31c561936e5d70a.js
/data/media/####/13.6aded1f391cd8ab0fac5.js
/data/media/####/15.3498baf9e71654928030.js
/data/media/####/20.1f148e5a2417d7a40f84.js
/data/media/####/24.14a8b7059e071f1775f2.js
/data/media/####/25.b8a3f1f9fcbb8403c2bc.js
/data/media/####/27.857607f4af0a544eeef9.js
/data/media/####/28.6db7aab0b01e9b43928f.js
/data/media/####/3.e69806556a7a22d85692.js
/data/media/####/32.24953e1ce4abe8121ece.js
/data/media/####/35.f2e437b37d7f43ca9b22.js
/data/media/####/36.a9cad927a5c28604570c.js
/data/media/####/38.9aac27ce51a7f74c54d6.js
/data/media/####/4.ab943d435cc26624f289.js
/data/media/####/44.d590f95a6525f0846a54.js
/data/media/####/45.13f97820c3f8a46631ab.js
/data/media/####/48.0ac75835bb0b62905b8c.js
/data/media/####/50.8a6dde68d68defb94683.js
/data/media/####/53.e80ef081de8969f827e3.js
/data/media/####/54.4ce23803c634f675f76f.js
/data/media/####/55.a04359e3e603f9a4f478.js
/data/media/####/58.0dc0f40465a32170640c.js
/data/media/####/6.01b818b0d42a031c56a8.js
/data/media/####/60.cc2dcad9bd7a95c09d2f.js
/data/media/####/62.577422ad81975dd4e4b7.js
/data/media/####/64.332ed931c5443fc26421.js
/data/media/####/67.4080c781fa55cc71a277.js
/data/media/####/69.aa01c7f0e88eb9f76012.js
/data/media/####/7.51fea9516a6b1d3cdbe2.js
/data/media/####/70.983df9a697cb0119bc72.js
/data/media/####/71.2add57ce6125f64d942f.js
/data/media/####/72.1bf2013a396f8f3b643e.js
/data/media/####/73.15ba1a6a878483b7a711.js
/data/media/####/74.20d28fd5e77175018cfd.js
/data/media/####/8.91e496fa437898d22a0d.js
/data/media/####/9.047ca33946201ff261c9.js
/data/media/####/Updating2BackupTags
/data/media/####/als.db
/data/media/####/als.db-journal
/data/media/####/app.4279e866b175c4fc2e54e52dac395f2c.css
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.leoao.fitness.bin
/data/media/####/com.leoao.fitness.db
/data/media/####/com.tencent.mobileqq_connectSdk.22.02.16.19.log
/data/media/####/dd7893586a493dc3
/data/media/####/default-1.f3e7287.png
/data/media/####/din-bold_-webfont.d6a9ad3.woff2
/data/media/####/din-bold_-webfont.fddaec2.woff
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/hid.dat
/data/media/####/hybrid.json
/data/media/####/iconfont.5198956.svg
/data/media/####/iconfont.69970fe.eot
/data/media/####/img_yhqbg_red.ff36c90.png
/data/media/####/journal
/data/media/####/locationRightBg.539e4c4.png
/data/media/####/locationSprite.2090e9f.png
/data/media/####/o_1bpd1192j1bid1e031th92eoj8i8.zip
/data/media/####/payBearLuckImg.89eba2b.jpg
/data/media/####/tbslog.txt
/data/media/####/tdata_RBO669
/data/media/####/tdata_cpZ817
/data/media/####/tdata_uxr091
/data/media/####/test.log (deleted)
/data/media/####/tmp_c_20220216
/data/media/####/tmp_u_20220216
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c type su
cat /proc/cpuinfo
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
chmod 777 /data/user/0/<Package>/files/dc374f27dd9f7231
getprop
getprop ro.product.cpu.abi
ip addr
mount

Загружает динамические библиотеки:

libBugly
libgetuiext2
libjiagu
libsgmainso-5.3.38
libyolanda_calc

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней