Adware.Gexin.23566

Adware.Gexin.23566

Добавлен в вирусную базу Dr.Web: 2024-07-09

Описание добавлено: 2024-07-10

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(HTTP/1.1) def####.duals####.cn.####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.cn:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) 64.2####.164.94:443
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) 64.2####.161.100:443
TCP(TLS/1.2) 64.2####.164.101:443
TCP(TLS/1.2) gmscomp####.google####.com:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP sdk.o####.t####.####.net:5224
TCP cm-10####.g####.com:5225
TCP cm-1####.g####.com:5224
UDP 64.2####.161.100:443
UDP p####.google####.com:443
UDP www.gst####.com:443

Запросы DNS:

7j####.c####.z0.####.com
and####.b####.qq.com
and####.google####.com
android####.go####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
cm-10####.g####.com
gmscomp####.google####.com
log.u####.com
p####.google####.com
rr2---s####.g####.com
s####.ml####.cc
s####.u####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.gst####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.cn/tdata_zNZ623
def####.duals####.cn.####.com/bar/get/569f41a5e0f55a8ede0017cd/?ud_get=#...
sdk.c####.g####.####.cn/config/hzv9.conf
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/com.fengwo.reading/####/.lock (deleted)
/data/com.fengwo.reading/####/bugly_db_
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/000005.ldb
/data/data/####/000008.log
/data/data/####/000010.log
/data/data/####/1004
/data/data/####/1720553773940.log
/data/data/####/1720553773940.log.bak
/data/data/####/1720553773940.log.bak (deleted)
/data/data/####/87f75c18
/data/data/####/CURRENT
/data/data/####/LOCK
/data/data/####/LOG
/data/data/####/MANIFEST-000001
/data/data/####/MANIFEST-000007
/data/data/####/MANIFEST-000009
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/books.db
/data/data/####/books.db-journal
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/config.db-journal
/data/data/####/config.xml
/data/data/####/crashrecord.xml
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/libjiagu.so
/data/data/####/libjiagu_64.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/mipush_extra.xml
/data/data/####/mobclick_agent_cached_com.fengwo.reading3100
/data/data/####/persistent_data.xml
/data/data/####/persistent_data.xml.bak
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushg.db-journal (deleted)
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/reading_big_pref.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tdata_zNZ623
/data/data/####/tdata_zNZ623.dex
/data/data/####/tdata_zNZ623.dex.flock (deleted)
/data/data/####/tdata_zNZ623.jar
/data/data/####/tmpd8.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_socialize.xml
/data/media/####/.nomedia
/data/media/####/app.db
/data/media/####/com.fengwo.reading.bin
/data/media/####/com.fengwo.reading.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/crash-2024-07-09-22-36-26-1720553786289.log
/data/media/####/crash-2024-07-09-22-36-43-1720553803580.log
/data/media/####/crash-2024-07-09-22-36-45-1720553805721.log
/data/media/####/crash-2024-07-09-22-36-54-1720553814915.log
/data/media/####/crash-2024-07-09-22-37-03-1720553823441.log
/data/media/####/crash-2024-07-09-22-37-05-1720553825213.log
/data/media/####/crash-2024-07-09-22-37-08-1720553828315.log
/data/media/####/crash-2024-07-09-22-37-12-1720553832085.log
/data/media/####/crash-2024-07-09-22-37-15-1720553835350.log
/data/media/####/crash-2024-07-09-22-37-18-1720553838798.log
/data/media/####/crash-2024-07-09-22-37-19-1720553839232.log
/data/media/####/crash-2024-07-09-22-37-22-1720553842959.log
/data/media/####/crash-2024-07-09-22-37-25-1720553845966.log
/data/media/####/crash-2024-07-09-22-37-28-1720553848685.log
/data/media/####/crash-2024-07-09-22-37-31-1720553851881.log
/data/media/####/crash-2024-07-09-22-37-34-1720553854909.log
/data/media/####/crash-2024-07-09-22-37-38-1720553858250.log
/data/media/####/crash-2024-07-09-22-37-41-1720553861302.log
/data/media/####/crash-2024-07-09-22-37-44-1720553864260.log
/data/media/####/crash-2024-07-09-22-37-47-1720553867421.log
/data/media/####/crash-2024-07-09-22-37-50-1720553870401.log
/data/media/####/tdata_zNZ623

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu_64.so
getprop
logcat -d -v threadtime

Загружает динамические библиотеки:

libgetuiext2
libjiagu_64
libsnappydb-native

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CFB-NoPadding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней