Android.Gexin.1605

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) app####.k####.com:80
TCP(HTTP/1.1) sh.wagbr####.ta####.com:443
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) n1.itc.cn.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(TLS/1.0) rr4---s####.g####.com:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) cgi.con####.qq.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) rr3---s####.g####.com:443
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) gs.a.s####.com:443
TCP(TLS/1.2) 1####.251.36.46:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP(TLS/1.2) 1####.251.39.99:443
TCP(TLS/1.2) 2####.58.208.106:443
UDP rr4---s####.g####.com:443
UDP 2####.58.208.106:443
TCP cm-1####.g####.com:5224
UDP rr3---s####.g####.com:443
TCP gd.a.s####.com:443
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.u####.com
ad####.m.ta####.com
and####.google####.com
api.k.s####.com
api.s####.mob.com
app####.k####.com
bcfeed####.ta####.com
cgi.con####.qq.com
cm-1####.g####.com
co####.galaxy####.com
co####.galaxy####.com.####.8
datacol####.galaxy####.com
loc.map.b####.com
m####.go####.com
m####.k####.com
m####.k####.com.####.8
n1.i####.cn
oc.u####.com
pi####.qq.com
rr3---s####.g####.com
rr3---s####.g####.com
rr4---s####.g####.com
sdk.o####.i####.####.8
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
x1.go.s####.com

Запросы HTTP GET:

app####.k####.com/check/12/KL11
cgi.con####.qq.com:443/qqconnectopen/openapi/policy_conf?status_os=####&...
gd.a.s####.com/api/check.do?b=####&pl=####&u=####&v=####&buildCode=####&...
gd.a.s####.com/api/client/setting.go?u=####&channel=####&p1=NjEy####&gid...
gd.a.s####.com/api/control/actionIntercept.go?p1=NjEy####&u=####&gid=###...
gd.a.s####.com/api/function/location.go?cdma_lng=####&cdma_lat=####&mnc=...
gd.a.s####.com/api/search/v6/hotwords.go?u=####&channel=####&p1=NjEy####...
gd.a.s####.com/api/user/regist.go?rt=####&u=####&channel=####&gid=####&p...
gs.a.s####.com:443/sdkconfig.xml
n1.itc.cn.####.com/img7/adapt/wb/recom/2022/05/05/165175743375697503_218...
n1.itc.cn.####.com/img7/adapt/wb/recom/2022/05/05/165176247836565207_218...
n1.itc.cn.####.com/img7/adapt/wb/sohulife/2022/05/05/165176483154319717_...
sh.wagbr####.ta####.com:443/getConfiguration.do?status=####&appkey=####&...
ti####.c####.l####.####.com/tdata_gbU702
ti####.c####.l####.####.com/tdata_jYz574

Запросы HTTP POST:

a####.exc.mob.com/conf5
a####.exc.mob.com/conn
a####.exc.mob.com/data2
a####.exc.mob.com/errconf
a####.exc.mob.com/log4
a####.exc.mob.com/snsconf
a####.u####.com.####.com/app_logs
app####.k####.com/index.php?action=####
gd.a.s####.com/api/channel/v5/news.go
gd.a.s####.com/api/user/set.go
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
pi####.qq.com/mstat/report
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1423201401579268329
/data/data/####/21c22f492aba3de8.lock
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/META.xml
/data/data/####/META.xml.bak
/data/data/####/META_INFO.xml
/data/data/####/META_INFO.xml.bak
/data/data/####/Mili_Download.db-journal
/data/data/####/RecentUseApps.xml
/data/data/####/RecentUseApps.xml.bak
/data/data/####/SGMANAGER_DATA2
/data/data/####/SHPluginPref.xml
/data/data/####/SOHU_Info.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/UTCommon.xml.bak
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/ap.Lock
/data/data/####/classes.dex
/data/data/####/classes2.dex
/data/data/####/com.admaster.sdk.sohu.other.xml
/data/data/####/com.admaster.sdk.sohu.sdkconfig.xml
/data/data/####/com.kk.android.prefs.xml
/data/data/####/com.mili.launcher.ls_car_pref.xml
/data/data/####/com.mili.launcher.pid.xml
/data/data/####/com.mili.launcher_preferences.xml
/data/data/####/com.mili.launchermessage.xml
/data/data/####/com.mili.launchermessage.xml.bak
/data/data/####/com.mili.launchermessage.xml.bak (deleted)
/data/data/####/com.sohu.plugin.download.db-journal
/data/data/####/com.tencent.open.config.json.1104760540
/data/data/####/common.db
/data/data/####/common.db-journal
/data/data/####/deploy_plugin_v2.dex
/data/data/####/deploy_plugin_v2.dex.flock (deleted)
/data/data/####/deploy_plugin_v2.jar
/data/data/####/deploy_plugin_v2.ok
/data/data/####/file_message.xml
/data/data/####/file_message.xml.bak
/data/data/####/file_message.xml.bak (deleted)
/data/data/####/firll.dat
/data/data/####/firstLoading.xml
/data/data/####/increment.db-journal
/data/data/####/init.pid
/data/data/####/intercept.xml
/data/data/####/launcher.db-journal
/data/data/####/launcher.preferences
/data/data/####/libjiagu.so
/data/data/####/libpl_droidsonroids_gif.so
/data/data/####/libsgmain_1513840962000.dex
/data/data/####/libsgmain_1513840962000.dex.flock (deleted)
/data/data/####/libsgmainso-5.1.81.so.tmp
/data/data/####/lock.lock
/data/data/####/metrics_guid
/data/data/####/miaozhen.db
/data/data/####/miaozhen.db-journal
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_online_setting_com.mili.launcher.xml
/data/data/####/mzSdkProfilePrefs.xml
/data/data/####/mzmonitor
/data/data/####/mzmonitor-journal
/data/data/####/observedFile
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/post_info.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/record.txt
/data/data/####/run.pid
/data/data/####/share_sdk_1.xml
/data/data/####/share_sdk_1.xml.bak (deleted)
/data/data/####/sharesdk.db-journal
/data/data/####/sohusdk_kv.xml
/data/data/####/sohusdk_kv.xml.bak
/data/data/####/sp.lock
/data/data/####/statusApps.xml
/data/data/####/subscribed.db-journal
/data/data/####/tencent_analysis.db-journal
/data/data/####/trackingplugin.db
/data/data/####/trackingplugin.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/weather_city.db
/data/data/####/weather_city.db-journal
/data/data/####/ywPrefsTools.xml
/data/media/####/.ba
/data/media/####/.cuid
/data/media/####/.dk
/data/media/####/.lock
/data/media/####/.nomedia
/data/media/####/1651769896677
/data/media/####/1C5AFA104D446822ADF9E3881F6F3AF31709857203.tmp
/data/media/####/28A83F2AEA37F789C501102A217D06A4-1499104545.tmp
/data/media/####/53B7D1AF8FD4937136B1E27ECFABF090-1370127978.tmp
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a_1651769943936.txt
/data/media/####/app.db
/data/media/####/bf61d8780b5324415ff8d28a968737b6
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mili.launcher.db
/data/media/####/com.tencent.mobileqq_connectSdk.22.05.05.19.log
/data/media/####/conlts.dat
/data/media/####/dd7893586a493dc3
/data/media/####/journal
/data/media/####/kvsecretinfo.properties
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/meta_data.dat
/data/media/####/setting.go
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

libjiagu
liblocSDK6a
libnativeCrash
libsgmainso-5.1.81
libsteamer
libuninstalled_observer

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
Blowfish-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Получает информацию о входящих/исходящих звонках.

Получает информацию об отправленых/принятых SMS.

Получает информацию о телефонных контактах.

Перехватывает уведомления.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней