Android.Gexin.1587

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) r21.p####.cn:80
TCP(HTTP/1.1) chinawe####.c####.l####.####.com:80
TCP(HTTP/1.1) m.min####.c####.cn:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) www.min####.c####.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) i####.p####.cn:443
TCP(TLS/1.0) 1####.250.179.142:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) c####.c####.cn:443
TCP(TLS/1.0) r21.p####.cn:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) 1####.251.39.106:443
TCP(TLS/1.2) 1####.251.39.106:443
TCP(TLS/1.2) 1####.251.36.42:443
TCP(TLS/1.2) 1####.250.179.142:443
TCP(TLS/1.2) connect####.gst####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-10####.g####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
and####.google####.com
c####.c####.cn
c####.mm####.com
c-h####.g####.com
c.c####.com
cdn-sdk####.g####.com
cm-10####.g####.com
connect####.gst####.com
h####.c####.com
i####.p####.cn
im####.c####.cn
img.p####.cn
m.min####.c####.cn
p20.p####.cn
p5.p####.cn
p9.p####.cn
pla####.googleu####.com
r20.p####.cn
r21.p####.cn
r9.p####.cn
s4.c####.com
s5.c####.com
safebro####.google####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.i####.####.8
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
www.min####.c####.cn
z####.c####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EvJ733
cdn-sdk####.g####.com.####.com/tdata_XwJ757
chinawe####.c####.l####.####.com/config/hzv9.conf
m.min####.c####.cn/
m.min####.c####.cn/common/getopensite
r21.p####.cn/ad/20200521/2020052117411139803152_980_90.jpg
r21.p####.cn/ajax/imgref.ashx?dis=_200x150(s)&url=/mmbiz.qpic.cn/mmbiz_j...
r21.p####.cn/app_adv/20201101/2020110109141890605637_637_220_500x300(w)....
r21.p####.cn/app_adv/20210808/2021080815450340107878_1080_288_500x300(w)...
r21.p####.cn/app_baoliao/20220408/2022040821105352373842_616_1280_200x15...
r21.p####.cn/bbs/20170805/2017080511160534136791_713_478_300x225(s).png
r21.p####.cn/bbs/20170811/2017081110473424678490_428_277_300x225(s).png
r21.p####.cn/bbs/20170812/2017081216555579364608_510_382_300x225(s).png
r21.p####.cn/bbs/20170815/2017081515231412618199_450_301_300x225(s).jpeg
r21.p####.cn/ewx/AdvInfo/css/advinfoforhomepage.css
r21.p####.cn/ewx/AdvInfo/js/ccoocityweb.advinfoforhomepage.js
r21.p####.cn/js/advtip.js
r21.p####.cn/js/dlv1.0.js
r21.p####.cn/js/jquery.js
r21.p####.cn/js/topanv.min.js
r21.p####.cn/logo/109.gif
r21.p####.cn/news/20170220/2017022009291037101733_46_46.png
r21.p####.cn/news/20170220/2017022009344828256876_46_46.png
r21.p####.cn/news/20170220/2017022009351234739853_46_46.png
r21.p####.cn/news/20170220/2017022009353392593573_46_46.png
r21.p####.cn/news/20170220/2017022009365193866334_46_46.png
r21.p####.cn/news/20190818/2019081811163527225439_959_959.jpg
r21.p####.cn/tp/wx_common/images/city-logo.png
r21.p####.cn/v10/css/common.v10.css
r21.p####.cn/v10/css/red.v10.css
r21.p####.cn/v10/js/common.v10.js
r21.p####.cn/wap/webapp/fabu/bbs.png
r21.p####.cn/wap/webapp/fabu/disclose.png
r21.p####.cn/wap/webapp/fabu/help.png
r21.p####.cn/wap/webapp/fabu/qiandao.png
r21.p####.cn/wap/webapp/fabu/smallvideo.png
r21.p####.cn/wap/webapp/fabu/xiuchang.png
r21.p####.cn/weixin/20220127/2022012710271878470737_1080_2338_200x150(s)...
r21.p####.cn/weixin/20220205/2022020516041828585768_960_2048_200x150(s)....
r21.p####.cn/weixin/20220214/2022021415403283482190_1080_1619_200x150(s)...
r21.p####.cn/weixin/20220215/2022021514022129159738_1152_2592_200x150(s)...
r21.p####.cn/weixin/20220317/2022031721293129386563_1280_1706_200x150(s)...
r21.p####.cn/wx/app/fang-images/icon_72.png
r21.p####.cn/wx/app/fang/icon_11.png
r21.p####.cn/wx/app/fang/icon_17.png
r21.p####.cn/wx/app/fang/icon_21.png
r21.p####.cn/wx/app/fang/icon_41.png
r21.p####.cn/wx/app/fang/icon_49.png
r21.p####.cn/wx/app/fang/icon_5.png
r21.p####.cn/wx/app/fang/icon_6.png
r21.p####.cn/wx/app/fang/icon_8.png
r21.p####.cn/wx/app/fang/icon_9.png
r21.p####.cn/wx/app/yuan/icon_12.png
sdk-ope####.g####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_eoG063
www.min####.c####.cn/

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
m.min####.c####.cn/home/GetAppConfigInfo
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/009673631d3229f5_0 (deleted)
/data/data/####/02b2c5199c328d68_0
/data/data/####/0433240fb8382661_0
/data/data/####/04c07ee96f6a34c2_0
/data/data/####/09032548d650f2f2_0
/data/data/####/150ba5eb5a15f33b_0
/data/data/####/150ba5eb5a15f33b_1
/data/data/####/1729f6f668c15cec_0
/data/data/####/1835c2c854f05cd9_0
/data/data/####/1835c2c854f05cd9_1
/data/data/####/1a1acc6b702cf0d1_0
/data/data/####/1d59ad4def3d713c_0
/data/data/####/1d59ad4def3d713c_1
/data/data/####/1eae7ce8edd865f2_0
/data/data/####/2178ec3cfcd2b3c3_0
/data/data/####/2bc3d3008cf6401e_0
/data/data/####/2bc3d3008cf6401e_1
/data/data/####/2cae393dab5d709f_0
/data/data/####/2e33584e97ce1035_0
/data/data/####/3004a425da47f766_0
/data/data/####/309567b71c44f7c6_0
/data/data/####/379748984a1d6731_0
/data/data/####/38c430bb620e63eb_0
/data/data/####/3a517f1f39976b08_0
/data/data/####/3cee19995a0b5127_0
/data/data/####/3d7b62deed410fca_0
/data/data/####/3e3da793ccc711d7_0
/data/data/####/3fe8a7ab1008c06d_0
/data/data/####/401fe68f71c99078_0
/data/data/####/40d125fe2e72a080_0
/data/data/####/4d179d0882349e89_0
/data/data/####/4d179d0882349e89_1
/data/data/####/4ddeb0e344be5ccb_0
/data/data/####/582f3e217f1aaf1c_0
/data/data/####/58a87b84c89e62d8_0
/data/data/####/59cdb9cbf2b6c87b_0
/data/data/####/5ac904d421e7f7b6_0
/data/data/####/5ad294d1523d43d1_0
/data/data/####/5bc7afe25f3853c6_0
/data/data/####/5d463c755505ab8b_0
/data/data/####/5d463c755505ab8b_1
/data/data/####/5dca413bd25af11e_0
/data/data/####/5dca413bd25af11e_1
/data/data/####/632d996c8f4ed7a9_0
/data/data/####/648dff010298b5ce_0
/data/data/####/68b89de3e3c723fa_0
/data/data/####/6b053107d9a36172_0
/data/data/####/6c12eb796d953976_0
/data/data/####/6d2c9eaeb61377be_0
/data/data/####/731882de6cd59878_0
/data/data/####/74ef11554e31ec42_0
/data/data/####/761f9b6bb8595e7a_0
/data/data/####/7662de541f6b629d_0
/data/data/####/7b2541d6581eb7d1_0
/data/data/####/7c63953f8d3b09d4_0
/data/data/####/84b485368e13a79d_0
/data/data/####/86368082781163f9_0
/data/data/####/8645c85c9bc04314_0
/data/data/####/8808453eca05a302_0
/data/data/####/88e24c8f67c25ad9_0
/data/data/####/8bc0781da25fd687_0
/data/data/####/8bc0781da25fd687_1
/data/data/####/8f4a041104d75e52_0
/data/data/####/90db12b4b4c2cadc_0
/data/data/####/90db12b4b4c2cadc_1
/data/data/####/915d73a0a2609da1_0
/data/data/####/91c624bcc95cdc1d_0
/data/data/####/92ebf664e5b6cbc1_0
/data/data/####/98d02d9546644867_0
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/H5FA35F6A.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a963c9a487efc8c1_0
/data/data/####/b066dc5f6f781cfb_0
/data/data/####/bafbe837a865586d_0
/data/data/####/bbd285277a162128_0
/data/data/####/c2f8f8193ec8a78d_0
/data/data/####/c407ccaae1941e04_0
/data/data/####/c43fec591c02ee9e_0
/data/data/####/c4a1aa88fa3afe09_0
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ce2e8492c09592e3_0
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/clientid_igexin.xml
/data/data/####/d1547966ef9f16eb_0
/data/data/####/d407421c437b95f3_0
/data/data/####/d81e884b094f182c_0
/data/data/####/d8d06c2de60e7e1a_0
/data/data/####/e25b35b041553ead_0
/data/data/####/e31be37ef9de5525_0
/data/data/####/e42f164bcd19727f_0
/data/data/####/e4b583d4ed377603_0
/data/data/####/e577e23a948f59be_0
/data/data/####/e596dc2f9d2b0818_0
/data/data/####/e76a275fdc881d5e_0
/data/data/####/e7ae299d6d31d7d2_0
/data/data/####/ea0b977cbb415d17_0
/data/data/####/ea1a5868a2901e96_0
/data/data/####/ec261230cad450a7_0
/data/data/####/ec2ec701818ac0ef_0
/data/data/####/ee4e93eaa39dea76_0
/data/data/####/ee8918cd2de62b4c_0
/data/data/####/exchangeIdentity.json
/data/data/####/f0f51aa273342c35_0
/data/data/####/f14833726edae1e3_0
/data/data/####/f69feea98e02c6ad_0
/data/data/####/gkt-journal
/data/data/####/http_m.minquan.ccoo.cn_0.localstorage-journal
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/io.dcloud.minquan_preferences.xml
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/tdata_EvJ733.dex
/data/data/####/tdata_EvJ733.dex.flock (deleted)
/data/data/####/tdata_EvJ733.jar
/data/data/####/tdata_EvJ733.tmp
/data/data/####/tdata_XwJ757.dex
/data/data/####/tdata_XwJ757.dex.flock (deleted)
/data/data/####/tdata_XwJ757.jar
/data/data/####/tdata_XwJ757.tmp
/data/data/####/temp-index
/data/data/####/the-real-index
/data/data/####/tmpd8.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/.imei.txt
/data/media/####/1.app.log
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/io.dcloud.minquan.db
/data/media/####/tdata_EvJ733
/data/media/####/tdata_XwJ757
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

libjiagu
libweibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CFB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней