Android.Gexin.1524

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) c####.baidust####.com.####.com:80
TCP(HTTP/1.1) ec####.b####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) m.ka####.c####.cn:80
TCP(HTTP/1.1) r9.p####.cn:80
TCP(HTTP/1.1) a.ad####.cn:80
TCP(TLS/1.0) l####.cdn.bc####.####.com:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) 1####.250.186.110:443
TCP(TLS/1.0) wn.pos.b####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) c####.c####.cn:443
TCP(TLS/1.0) i####.p####.cn:443
TCP(TLS/1.0) pos.b####.com:443
TCP(TLS/1.0) 1####.250.185.106:443
TCP(TLS/1.0) c####.baidust####.com.####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) r9.p####.cn:443
TCP(TLS/1.0) 1####.250.184.234:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) a.ad####.cn:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.2) 1####.250.184.234:443
TCP(TLS/1.2) 1####.250.185.106:443
TCP(TLS/1.2) 1####.250.186.42:443
TCP(TLS/1.2) 1####.217.16.142:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a.ad####.cn
a.appj####.com
and####.a####.go####.com
api.w####.com
c####.baidust####.com
c####.c####.cn
c####.mm####.com
c-h####.g####.com
c.c####.com
cdn-sdk####.g####.com
cm-1####.g####.com
connect####.gst####.com
ec####.b####.com
h####.c####.com
i####.p####.cn
im####.c####.cn
img.p####.cn
l####.cdn.bc####.com
m####.go####.com
m.ka####.c####.cn
p####.google####.com
p21.p####.cn
pos.b####.com
r21.p####.cn
r9.p####.cn
s4.c####.com
s5.c####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.i####.####.8
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
wn.pos.b####.com
z####.c####.com

Запросы HTTP GET:

a.ad####.cn/awycuv.js
a.ad####.cn/gkheinj.js
a.ad####.cn/ytlccuvzcwai.js
c####.baidust####.com.####.com/cpro/ui/pr.js
cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_EvJ733
cdn-sdk####.g####.com.####.com/tdata_XwJ757
d####.c####.l####.####.com/config/hzv9.conf
ec####.b####.com/rs.jpg?pageSearchId=####&content=####
m.ka####.c####.cn/
m.ka####.c####.cn/common/getopensite
r9.p####.cn/ajax/imgref.ashx?dis=_200x150(s)&url=/mmbiz.qpic.cn/sz_mmbiz...
r9.p####.cn/app_adv/20210324/2021032412043956549281_720_250_500x300(w).jpg
r9.p####.cn/app_adv/20211211/2021121114302887829666_8508_2956_500x300(w)...
r9.p####.cn/app_adv/20211213/2021121316425608501706_4643_1945_500x300(w)...
r9.p####.cn/bbs/20170602/2017060208235409241744_580_326_200x150(s).jpg
r9.p####.cn/bbs/20170617/2017061709034849792964_470_361_200x150(s).jpg
r9.p####.cn/bbs/20170804/2017080415133576768538_241_240_200x150(s).jpg
r9.p####.cn/bbs/20171107/2017110712465189726497_1440_1080_200x150(s).jpg
r9.p####.cn/bbs/20180514/2018051408521183131399_1645_1080_200x150(s).jpg
r9.p####.cn/cnews/20210709/2021070916185354449905_504_528.jpg
r9.p####.cn/slide_nav/20210709/2021070914221298176304_240_110_500x300(w)...
r9.p####.cn/slide_nav/20210709/2021070914224826795062_240_110_500x300(w)...
r9.p####.cn/slide_nav/20210709/2021070914231357931842_240_110_500x300(w)...
r9.p####.cn/tp/wx_common/images/city-logo.png
r9.p####.cn/wap/webapp/fabu/bbs.png
r9.p####.cn/wap/webapp/fabu/disclose.png
r9.p####.cn/wap/webapp/fabu/ewm.png
r9.p####.cn/wap/webapp/fabu/post.png
r9.p####.cn/wap/webapp/fabu/smallvideo.png
r9.p####.cn/wap/webapp/fabu/takepic.png
r9.p####.cn/weixin/20180721/2018072112592060677295_1080_1440_200x150(s)....
r9.p####.cn/wx/app/fang-images/icon_78.png
r9.p####.cn/wx/app/fang/icon_1.png
r9.p####.cn/wx/app/yuan/icon_4.png
r9.p####.cn/wx/app/yuan/icon_52.png
r9.p####.cn/wx/app/yuan/icon_6.png
sdk-ope####.g####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_eoG063

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
m.ka####.c####.cn/common/getalicodeconfig
m.ka####.c####.cn/home/GetAppConfigInfo
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/03ea8afabf43f7ad_0
/data/data/####/05255b678421279f_0
/data/data/####/09032548d650f2f2_0
/data/data/####/0cabe60f8f780a87_0
/data/data/####/0ff0c2783c93a56d_0
/data/data/####/13806378e9a20726_0
/data/data/####/150ba5eb5a15f33b_0
/data/data/####/150ba5eb5a15f33b_1
/data/data/####/16f3a2b9e596e43d_0
/data/data/####/19fb41447085f87d_0
/data/data/####/1d59ad4def3d713c_0
/data/data/####/1d59ad4def3d713c_1
/data/data/####/206f81aaa6d0068e_0
/data/data/####/2660994d167a824a_0
/data/data/####/2660994d167a824a_1
/data/data/####/289cac14c5d1b95e_0
/data/data/####/2aa20306ada341b0_0
/data/data/####/2bc3d3008cf6401e_0
/data/data/####/2bc3d3008cf6401e_1
/data/data/####/2ee78d7f7444d7b0_0
/data/data/####/3004a425da47f766_0
/data/data/####/317b9bd4c41e9cc6_0
/data/data/####/32f11f58887e536a_0
/data/data/####/379748984a1d6731_0
/data/data/####/3919f529e9373c3e_0
/data/data/####/3a517f1f39976b08_0
/data/data/####/3c5e6216ca2d7565_0
/data/data/####/421854c330423acc_0
/data/data/####/421854c330423acc_1
/data/data/####/4620f524867e8f1f_0
/data/data/####/48ad54f99cc3c7b5_0
/data/data/####/48ad54f99cc3c7b5_1
/data/data/####/49077092457543e2_0
/data/data/####/4d179d0882349e89_0
/data/data/####/4d179d0882349e89_1
/data/data/####/4dbadb28a313ccae_0
/data/data/####/582f3e217f1aaf1c_0
/data/data/####/59cdb9cbf2b6c87b_0
/data/data/####/5bc7afe25f3853c6_0
/data/data/####/5c91311910d876c1_0
/data/data/####/5c91311910d876c1_1
/data/data/####/5d463c755505ab8b_0
/data/data/####/5d463c755505ab8b_1
/data/data/####/5d64a06ef927dbdb_0
/data/data/####/5dca413bd25af11e_0
/data/data/####/5dca413bd25af11e_1
/data/data/####/61f30df2bae837be_0
/data/data/####/632d996c8f4ed7a9_0
/data/data/####/664e45a46440515b_0
/data/data/####/679378f841683c4c_0
/data/data/####/6b37c406ee80b382_0
/data/data/####/719e6edf117c79af_0
/data/data/####/7417ff4a6eb1cb18_0
/data/data/####/79928de63c5df5d0_0
/data/data/####/7b2541d6581eb7d1_0
/data/data/####/826c0594c7787916_0
/data/data/####/84b485368e13a79d_0
/data/data/####/84d410670d43a63a_0
/data/data/####/8bc0781da25fd687_0
/data/data/####/8bc0781da25fd687_1
/data/data/####/90db12b4b4c2cadc_0
/data/data/####/90db12b4b4c2cadc_1
/data/data/####/950b9cd06f21
/data/data/####/9522b838334b7761_0
/data/data/####/9ac16c87a682ecbc_0
/data/data/####/Cookies-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a0f2effa4f9e1dde_0
/data/data/####/a5a8ee7ce3fdc688_0
/data/data/####/a963c9a487efc8c1_0
/data/data/####/ab51a0f1fa23666c_0
/data/data/####/ab51a0f1fa23666c_1
/data/data/####/ac2a1a600ce99bcf_0
/data/data/####/b40ae315b0fc31e0_0
/data/data/####/b50846dc7a9b091b_0
/data/data/####/b8008981ba230b10_0
/data/data/####/bf3a748515eee92b_0
/data/data/####/c091ba4f3352a811_0
/data/data/####/c2f8f8193ec8a78d_0
/data/data/####/c74bfa067af74cf1_0
/data/data/####/caa54ed71f501eda_0
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cc819dacbbf8a606_0
/data/data/####/cc819dacbbf8a606_1
/data/data/####/cd51c62331595c91_0
/data/data/####/ce3ea35c4a67795f_0
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/clientid_igexin.xml
/data/data/####/d227a183802a150c_0
/data/data/####/db9cf4d1c4908e29_0
/data/data/####/de1b6887a7411a3d_0
/data/data/####/df8affcb71ce449a_0
/data/data/####/e1605e5b8678109d_0
/data/data/####/e257bedb3c859b0a_0
/data/data/####/e3a8c3522a0d6cc3_0
/data/data/####/e3a8c3522a0d6cc3_1
/data/data/####/e76a275fdc881d5e_0
/data/data/####/e7ae299d6d31d7d2_0
/data/data/####/ec2ec701818ac0ef_0
/data/data/####/f0f51aa273342c35_0
/data/data/####/f6394cdc5e4a6f59_0
/data/data/####/fa26cdb8e28a0b39_0
/data/data/####/fb453eb7475c05cf_0
/data/data/####/fd65ade36aa19e57_0
/data/data/####/ff95d9ecd50b80e6_0
/data/data/####/gkt-journal
/data/data/####/http_m.kaihua.ccoo.cn_0.localstorage-journal
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/kaihuatongcheng.online_preferences.xml
/data/data/####/kaihuatongcheng.xml
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/pdr.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/tdata_EvJ733
/data/data/####/tdata_EvJ733.dex
/data/data/####/tdata_EvJ733.dex.flock (deleted)
/data/data/####/tdata_EvJ733.jar
/data/data/####/tdata_XwJ757.dex
/data/data/####/tdata_XwJ757.dex.flock (deleted)
/data/data/####/tdata_XwJ757.jar
/data/data/####/tdata_XwJ757.tmp
/data/data/####/temp-index
/data/data/####/the-real-index
/data/data/####/tmpd8.db-journal
/data/data/####/umeng_general_config.xml
/data/media/####/.imei.txt
/data/media/####/1.app.log
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/kaihuatongcheng.online.db
/data/media/####/tdata_EvJ733
/data/media/####/tdata_XwJ757
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
cat /sys/class/net/wlan0/address
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh

Загружает динамические библиотеки:

libjiagu
libweibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней