Android.Gexin.1891

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Gexin.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) def####.ovs.us.####.com:80
TCP(HTTP/1.1) mo####.b####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) api.mi####.com:80
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) s2.m####.com.####.com:80
TCP(TLS/1.0) s2.m####.com.####.com:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) mobads-####.b####.com:443
TCP(TLS/1.0) h####.b####.com.####.com:443
TCP(TLS/1.0) firebas####.google####.com:443
TCP(TLS/1.0) api.mi####.com:443
TCP(TLS/1.0) 2####.239.32.223:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) 2####.85.233.94:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) 1####.250.190.78:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) p####.mi####.com.####.cn:443
TCP(TLS/1.0) app-mea####.com:443
TCP(TLS/1.2) 1####.250.150.100:443
TCP(TLS/1.2) 1####.177.14.106:443
TCP(TLS/1.2) 64.2####.164.113:443
TCP(TLS/1.2) firebas####.google####.com:443
TCP(TLS/1.2) 1####.250.190.78:443
TCP(TLS/1.2) 1####.177.14.94:443
TCP cm-10####.g####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
ad####.m.ta####.com
ada####.m.ta####.com
and####.a####.go####.com
and####.google####.com
api.mi####.com
api.wap.mi####.com
app-mea####.com
bcfeed####.ta####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-10####.g####.com
dxp.b####.com
firebas####.google####.com
gmscomp####.google####.com
h####.b####.com
h####.b####.com
hm.b####.com
i####.t####.s####.com
mo####.b####.com
mobads-####.b####.com
p####.mi####.com
pic.wap.junsh####.com
rr2---s####.g####.com
s####.mi####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
w.c####.com
wb.110.ta####.com
www.google####.com
y####.al####.com

Запросы HTTP GET:

cdn-sdk####.g####.com/tdata_EDB102
cdn-sdk####.g####.com/tdata_Ivn104
cdn-sdk####.g####.com/tdata_XYj468
dxp.b####.com:443/autoTracker
dxp.b####.com:443/circleConfig?sdkVersion=####&appKey=####&packageName=#...
mo####.b####.com/ads/pa/8/__pasys_remote_banner.php?v=####&bdr=####&tp=#...
mo####.b####.com/ads/pa/8/__xadsdk__remote__8.8108.jar
mo####.b####.com/cpro/ui/mads.php?code2=####&b1734401028558=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1734401028567=####
p####.mi####.com.####.cn:443/contribute/month_2412/20241216101231892.jpg
p####.mi####.com.####.cn:443/contribute/month_2412/20241216101232947.jpg
p####.mi####.com.####.cn:443/contribute/month_2412/20241216101233596.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/1baa41b57e4f2e48679.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/1baa41b57e4f2e48904.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/5140b83606826607130.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/733bf5aed577c0de196.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/733bf5aed577c0de601.jpg
p####.mi####.com.####.cn:443/crawl/2412_yz/16/b88370d284c0e635867.jpg
s2.m####.com.####.com/api/images/tags/ic_mark_top_1.png
s2.m####.com.####.com:443/api/images/201512/5673674d2ec44.gif
s2.m####.com.####.com:443/api/images/app_start_img/start_6.jpg
s2.m####.com.####.com:443/static/images/app/main_ranking_normal.png
s2.m####.com.####.com:443/static/images/app/main_ranking_press.png
sdk.c####.g####.####.cn/config/hzv9.conf
sdk.o####.p####.####.com/api/addr.htm
sh.wagbr####.ta####.com:443/getConfiguration.do?status=####&appkey=####&...
sh.wagbr####.ta####.com:443/getUnreadCount.do?appkey=####&deviceId=####&...

Запросы HTTP POST:

a####.u####.com/app_logs
ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
api.mi####.com/api/2.0.3/start_img_ad.php
api.mi####.com/api/apps/index.php
api.mi####.com/api/apps/index.php?
api.mi####.com:443/api/apps/index.php?
c-h####.g####.com/api.php?format=####&t=####
def####.ovs.us.####.com/saveWb.json
h####.b####.com:443/app.gif
mobads-####.b####.com:443/brwhis.log
na61-####.wagbr####.ali####.####.com/api/update.do
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/026e7b799f35fa08_0
/data/data/####/026fa37d51bcc609_0
/data/data/####/027d2ca541f43c29_0
/data/data/####/0428bd96767d6175_0
/data/data/####/069889b4f95a02ff_0
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/0a28693f09cdca59_0
/data/data/####/0a3f7a2890bae964_0
/data/data/####/0a93e8428da7f1c9_0
/data/data/####/0b28f9279ff93e8b_0
/data/data/####/0b552169749d8fa1_0
/data/data/####/0dc64871cca0de9b_0
/data/data/####/10cb08d2c0e46c2d_0
/data/data/####/11b5564720d93727_0
/data/data/####/13c5919698070d7a_0
/data/data/####/165d737ce4301824_0
/data/data/####/179f81c5728774ec_0
/data/data/####/17bfdcfb63c46d43_0
/data/data/####/192b24e9a5eab477_0
/data/data/####/1b9115f693412fd9_0
/data/data/####/1d77ea041509fe06.lock
/data/data/####/1dd494d849be267b_0
/data/data/####/1f959a4f41dc5d92_0
/data/data/####/21c22f492aba3de8.lock
/data/data/####/2238c28957db52e3_0
/data/data/####/22da9d2b48671e81_0
/data/data/####/2364904a4e294ea8_0
/data/data/####/259aab9d88cdbb0b_0
/data/data/####/2738a7bb61250656_0
/data/data/####/27edde6d68322cb6_0
/data/data/####/29d3371ac7a4538c_0
/data/data/####/29d99e498462e9bf_0
/data/data/####/2d95e54e15d2a7e6_0
/data/data/####/2dd91c09edd5b6eb_0
/data/data/####/2e2b473c28c87115_0
/data/data/####/2e4339eb0b8c1456_0
/data/data/####/2e8292df46569b83_0
/data/data/####/2eea081309cd50db_0
/data/data/####/2f2ef2546620af5e_0
/data/data/####/2fc9343e3d0520a6_0
/data/data/####/2ffb4f773d3ddd61_0
/data/data/####/336d97f6aaf1b07e_0
/data/data/####/33cc1de25ba954a4_0
/data/data/####/345f3906cd52cf9b_0
/data/data/####/370328f6993ba2bf_0
/data/data/####/3b6dca0b15e85efd_0
/data/data/####/3db598d4ed965d75_0
/data/data/####/41641defef31e68f_0
/data/data/####/440a90f211a00680_0
/data/data/####/442c9108568350e4_0
/data/data/####/45635bc12f206e55_0
/data/data/####/469c0743c69e15af_0
/data/data/####/4f42008725f6601f_0
/data/data/####/4f66dec2ecf46993_0
/data/data/####/4fcb13ab90b25e53_0
/data/data/####/51c276393e518cb9_0
/data/data/####/51f2984fa12a9d11_0
/data/data/####/547ace05eeb910ca_0
/data/data/####/56a3750aa1efc37c_0
/data/data/####/5a3b2f8e8f6f6612_0
/data/data/####/5dd60f86a4e34373_0
/data/data/####/5df55ed900f3904c_0
/data/data/####/5e3117e20fc5087f_0
/data/data/####/5ff8eace992321f4_0
/data/data/####/609124de3fb31163_0
/data/data/####/60df649c900d1d6d_0
/data/data/####/60df649c900d1d6d_1
/data/data/####/62273564cfbd5a16_0
/data/data/####/6251b9bd2de7c4d0_0
/data/data/####/6274a7ec83dabeb8_0
/data/data/####/629e0a437c71498b_0
/data/data/####/63b2b0f33f8f2918_0
/data/data/####/681e3e3dbe51c4ed_0
/data/data/####/6b1301662a35bea7_0
/data/data/####/6d0f34b450c44639_0
/data/data/####/6dcb9073475cd8f9_0
/data/data/####/6fedc79d643160da_0
/data/data/####/728f57b112e47072_0
/data/data/####/739e34633575f13c_0
/data/data/####/755b3c31abf03aa2_0
/data/data/####/755dde40159bda95_0
/data/data/####/75c7e265ddc944cd_0
/data/data/####/75ff452c45f670c5_0
/data/data/####/75ff452c45f670c5_1
/data/data/####/78884a0ae1832d8a_0
/data/data/####/7bbc42268b3874cd_0
/data/data/####/7cdd01de3a983362_0
/data/data/####/7d69efb102fe86b0_0
/data/data/####/7e0f0ac98ef50af6_0
/data/data/####/81345b3752e0cfbf_0
/data/data/####/8291e5d4efc0dcd3_0
/data/data/####/8291e5d4efc0dcd3_1
/data/data/####/834b1fa39fcd2134_0
/data/data/####/8426c01873b22a0e_0
/data/data/####/86b7b2dc32748fb8_0
/data/data/####/89c9408e7d91d124_0
/data/data/####/8a08f618346653be_0
/data/data/####/8a259f127b148105_0
/data/data/####/8b29c52a818afa65_0
/data/data/####/8b37edc9036d148f_0
/data/data/####/8b600f50eac38ffd_0
/data/data/####/8b600f50eac38ffd_1
/data/data/####/8b81709b1a3f1ab0_0
/data/data/####/8b84ceff4ce81b76_0
/data/data/####/8dd13c6022d4d1d6_0
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/911932401a52c629_0
/data/data/####/91764ee000b36114_0
/data/data/####/91764ee000b36114_1
/data/data/####/91e3085892cb1f59_0
/data/data/####/930a31b34bd52c08.lock
/data/data/####/931384d6439352c6_0
/data/data/####/9377391ae8ac8cce_0
/data/data/####/966790ecb5fb144b_0
/data/data/####/966858d21e6b62b7_0
/data/data/####/984e7abae7cad3d5_0
/data/data/####/984e7abae7cad3d5_1
/data/data/####/9a3863471f22ba9a_0
/data/data/####/9ac7309df99c6b43_0
/data/data/####/9ac7309df99c6b43_1
/data/data/####/9b09dbed7389ec2a_0
/data/data/####/9c234606159c29e2_0
/data/data/####/9d0a59ba9b89976e_0
/data/data/####/9dba1acf02a59686_0
/data/data/####/AES_KEY.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__local_stat_full_cache.json
/data/data/####/__send_data_1734401027931
/data/data/####/__x_adsdk_agent_header__.xml
/data/data/####/__xadsdk__remote__final__1ffda3db-c85f-4d5e-bb3...30.jar
/data/data/####/__xadsdk__remote__final__builtin__.jar
/data/data/####/__xadsdk__remote__final__builtinversion__.jar
/data/data/####/__xadsdk__remote__final__running__.dex
/data/data/####/__xadsdk__remote__final__running__.dex.flock (deleted)
/data/data/####/__xadsdk__remote__final__running__.jar
/data/data/####/__xadsdk_downloaded__version__.xml
/data/data/####/a13d2b0925bbc5e9_0
/data/data/####/a1a12756d0a2b1c6_0
/data/data/####/a1b27b64eb0683ba_0
/data/data/####/a3d6aac67ff7310a_0
/data/data/####/a3f4913260af204d_0
/data/data/####/a59d7a89c997f4a9_0
/data/data/####/a621538f24ef95e2_0
/data/data/####/a742d0520d86670a_0
/data/data/####/a8850a00824f0254_0
/data/data/####/a897ec36c5da9bae_0
/data/data/####/a940026f33580d38_0
/data/data/####/ac66aba2ad21017a_0
/data/data/####/ad_config.xml
/data/data/####/af07745cc0ad254c_0
/data/data/####/ap.Lock
/data/data/####/b127f96db1757bf8_0
/data/data/####/b18e35bff4f28980_0
/data/data/####/b3ecd73083cff6eb_0
/data/data/####/b832a3ad8451a99d_0
/data/data/####/b87955c41e1f58f9_0
/data/data/####/b9864281489b1b2d_0
/data/data/####/ba1fddade51ef539_0
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/baidu_mtj_sdk_record.xml.bak
/data/data/####/bbb477d2f287aeb3_0
/data/data/####/bd5e8d1bb7271a56_0
/data/data/####/bfb8c7979a8721ef_0
/data/data/####/bfd67b02779c92af_0
/data/data/####/c0fd0ec39843b923_0
/data/data/####/c720a67b8f8987bf_0
/data/data/####/c7b7d4a871b906e1_0
/data/data/####/c7eeaa68fdb350c3_0
/data/data/####/c7eeaa68fdb350c3_1
/data/data/####/c81c1f12cc7decef_0
/data/data/####/ca4e47a966b5466a_0
/data/data/####/cb010ddd45e01252_0
/data/data/####/cb1a80fab472d365_0
/data/data/####/cb1a80fab472d365_1
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cd054d1aa042
/data/data/####/cea5c434c9d29369_0
/data/data/####/cee8566fdd6e7b38_0
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/com.baidu.mobads.loader.xml
/data/data/####/com.miercnnew.app_preferences.xml
/data/data/####/config.xml
/data/data/####/config_file.xml
/data/data/####/d1a6b5aa80f371fe_0
/data/data/####/d499417829f03c1d_0
/data/data/####/d6eb45b5e533bc60_0
/data/data/####/d7f05849058c7f4d_0
/data/data/####/d841abd8311bc6b1_0
/data/data/####/d8640f473c047434_0
/data/data/####/d8f710b71b1c1df8_0
/data/data/####/da64d22f057e26ba_0
/data/data/####/data_db-journal
/data/data/####/db7ef81497dc68e1_0
/data/data/####/dde76a9cdebb5c5f_0
/data/data/####/df083bb4433796f3_0
/data/data/####/disk_entries_list_imagepipeline_cache_868120267.xml
/data/data/####/e0b9718bb248ce4d_0
/data/data/####/e3a25ebc49f3fe1e_0
/data/data/####/e3d69c3ca97b6f87_0
/data/data/####/e40ed8292024bcc7_0
/data/data/####/e7537acdc5080789_0
/data/data/####/ed15ac5a67c5fa6c_0
/data/data/####/ef44e44afa6e4f9c_0
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f3a64b706d598e95_0
/data/data/####/f43285e31508340f_0
/data/data/####/f4664848fd7a04c0_0
/data/data/####/f4e7f8775c7a2e1c_0
/data/data/####/f546ea7917c2557d_0
/data/data/####/f5cc8891cb859728_0
/data/data/####/f692c3fdf4aade05_0
/data/data/####/f69c273205fa809d_0
/data/data/####/f6acdd000df1ba59_0
/data/data/####/f6acdd000df1ba59_1
/data/data/####/f7d3db04a50fb470_0
/data/data/####/fa00c5884c4b7021_0
/data/data/####/fb8106183741c8b6_0
/data/data/####/fbf4d0131c7658ce_0
/data/data/####/fed78f29583a6156_0
/data/data/####/gkt-journal
/data/data/####/https_api.miercn.com_0.localstorage-journal
/data/data/####/https_s-app.miercn.com_0.localstorage-journal
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libsgmain_315522000000.dex
/data/data/####/libsgmain_315522000000.dex.flock (deleted)
/data/data/####/libsgmainso-5.1.81.so
/data/data/####/lock.lock
/data/data/####/metrics_guid
/data/data/####/miercn-db-journal
/data/data/####/mtj_autoTracker.js
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sp.lock
/data/data/####/tdata_Ivn104
/data/data/####/tdata_Ivn104.dex
/data/data/####/tdata_Ivn104.dex.flock (deleted)
/data/data/####/tdata_Ivn104.jar
/data/data/####/tdata_XYj468
/data/data/####/tdata_XYj468.dex
/data/data/####/tdata_XYj468.dex.flock (deleted)
/data/data/####/tdata_XYj468.jar
/data/data/####/the-real-index
/data/data/####/trace_circle.data
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/ua.db-journal (deleted)
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/upload_device_data_time.xml
/data/data/####/useInfo.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/ywPrefsTools.xml
/data/media/####/-1119124982
/data/media/####/-1651252936
/data/media/####/-1925051453
/data/media/####/-1955802060
/data/media/####/-260069298
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.timestamp
/data/media/####/1024497093
/data/media/####/1543112132
/data/media/####/1603702233
/data/media/####/501687321
/data/media/####/501687321.tmp
/data/media/####/5673674d2ec44
/data/media/####/6c709c11d2d46a7b
/data/media/####/904768238
/data/media/####/904768238.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.miercnnew.app.db
/data/media/####/dd7893586a493dc3
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/httpapiwapmiercncomapi203messageindexphpaction...stinfo
/data/media/####/httpapiwapmiercncomapi203newlistphplist1page1
/data/media/####/tdata_Ivn104
/data/media/####/tdata_XYj468
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
cat /proc/self/cgroup
cat /proc/uid_stat/10065/tcp_rcv
cat /proc/uid_stat/10065/tcp_snd
cat /sys/class/net/wlan0/address
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
mount
sh

Загружает динамические библиотеки:

libjiagu
libsgmainso-5.1.81

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней