Adware.Gexin.397

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0100f249a0e340f64c8aeb0b7e6e69413ex
/data/data/####/0135536c4e6301daec301725704e7a728ax
/data/data/####/013b598adf345a6bbaba9c98f5cff72709x
/data/data/####/2033145970-602345128
/data/data/####/32e019d7-a623-42c1-9503-8678afc916bc
/data/data/####/40d6806f-ef90-41c2-b370-d9a6a3846400
/data/data/####/727E4F9E3DF834239309BBBDC87BC476.png
/data/data/####/976bba15-d648-4e08-b60f-4e83e967b1ba
/data/data/####/9ab7e806-da9c-466d-aac3-59ec98070609
/data/data/####/ACCS_BINDumeng;5a56c9198f4a9d0c2f0001a8.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/AKTorchDownload.db
/data/data/####/AKTorchDownload.db-journal
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alliance.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/JPushSA_Config.xml
/data/data/####/MENU_CACHE.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/PendantConfig.xml
/data/data/####/QHA_JSON_PERSISTER_42998cf32d552343bc8e460416382dca
/data/data/####/QHDeviceFile
/data/data/####/QHDeviceID.lock
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData42998cf32d552343bc8e460416382dca.xml
/data/data/####/QH_SDK_UserData6766aa2750c19aad2fa1b32f36ed4aee.xml
/data/data/####/QH_SDK_sessionID42998cf32d552343bc8e460416382dca.xml
/data/data/####/TAB_CACHE.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/Y29tLmxpZ2h0c2t5LnZpZGVv.tick.lock
/data/data/####/ab_test_config.xml
/data/data/####/abtest_base_sp_filename42998cf32d552343bc8e4604...ca.xml
/data/data/####/accs.db-journal
/data/data/####/ad_config_file.xml
/data/data/####/agoo.pid
/data/data/####/android_player_20180720_084253_000.log_0
/data/data/####/appPackageNames_v2
/data/data/####/app_globel_config_file.xml
/data/data/####/auth_guide_config_sdk.xml
/data/data/####/banner.db-journal
/data/data/####/cache.ttf
/data/data/####/channel_webview.db-journal
/data/data/####/cloud_config_file.xml
/data/data/####/cloud_push_config_file.xml
/data/data/####/cloud_switch_cache
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.qihoo.livecloud.settings.GPWebrtcSettings.pref.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/critical_service_config.xml
/data/data/####/daemon_webview.db-journal
/data/data/####/dbfocus-journal
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/download-journal
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f4eaf2f2-5f23-49ad-a561-2778da80350b
/data/data/####/ffa2b02a-a415-4206-b1b6-0ee140ee03eb
/data/data/####/finalcore.jar
/data/data/####/getui_sp.xml
/data/data/####/hotrizon_sharepref.xml
/data/data/####/http_cookie.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&1.2.28_1532076157308_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/jpushservice_webview.db-journal
/data/data/####/libdvrender.so.tmp
/data/data/####/libjiagu-71411075.so
/data/data/####/libjplayer.so.tmp
/data/data/####/liblocalserver.so.tmp
/data/data/####/libmyssl.so.1.1.tmp
/data/data/####/libtranscore.so.tmp
/data/data/####/libviewer.so.tmp
/data/data/####/libyfnet_360.so.tmp
/data/data/####/light_sky_avast.xml
/data/data/####/localserver_2.0.3.18042602.zip
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/message.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/msg_queue
/data/data/####/msplugin_ksp.xml
/data/data/####/multidex.version.xml
/data/data/####/p.l
/data/data/####/player_20180720_084301_000.log_0
/data/data/####/player_record_2.0.3.18051401.zip
/data/data/####/privacy_config_file.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/profile_torch_platform
/data/data/####/push.db-journal
/data/data/####/push.pid
/data/data/####/push_share.xml
/data/data/####/pushsdk.db-journal
/data/data/####/qhvc_plugin.xml
/data/data/####/qpush_msg.xml
/data/data/####/run.pid
/data/data/####/safe_user_info_file.xml
/data/data/####/screen_conf.xml
/data/data/####/session_base_sp_filename42998cf32d552343bc8e460...ca.xml
/data/data/####/session_base_sp_filenameandroidID.xml
/data/data/####/share_data.xml
/data/data/####/shortcut_badger_sharepref.xml
/data/data/####/sp.livecloud.database.xml
/data/data/####/sp_file_recommend_upload.xml
/data/data/####/tab_request_name.xml
/data/data/####/tools_2.0.3.18051401.zip
/data/data/####/torch_sdk_config.xml
/data/data/####/trans_20180720_084301_000.log_0
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/universalPopup.xml
/data/data/####/videolist.db-journal
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/yf_p2p_201804191558.zip
/data/media/####/-KibhIoPZjK3HHDP6QbDzcPFX0g.-533876317.tmp
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.deviceId
/data/media/####/.iddata
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/.umm.dat
/data/media/####/06694a8YXl-VXC_pXgjMWxOfcEs.1454867719.tmp
/data/media/####/0HCfvKbaoK8P-bwms6UT6F8jAoU.-875871243.tmp
/data/media/####/0IYytt6fXXecFrGYpqhO-ZYQTQU.-1805205102.tmp
/data/media/####/0kiqwUqDgqSiPE8QfUdiJAmnuAk.1013919637.tmp
/data/media/####/1oa7mHUSt17hkGKlB4fsktgeg00.124605984.tmp
/data/media/####/1uSO0Gw4WACkQONan85ZE8mmduM.1055418881.tmp
/data/media/####/383b25b0ba674f5d882058420b9ece94
/data/media/####/3oPtunlSUJY2A6n6lc1zhtJ5vKs.-1527560171.tmp
/data/media/####/4-GFSS_eI1Vgtv0yabhr8ar3ifE.336333858.tmp
/data/media/####/4259bbcfeef34913a3e9e888900d95af
/data/media/####/42998cf32d552343bc8e460416382dca
/data/media/####/42aDz_LSLKhyjlSNxW-YHEIuo7k.-116261891.tmp
/data/media/####/4wIsUPH5xqD3CBAuaeD342H0tAk.1794590490.tmp
/data/media/####/5Agsq93YzpVctr8YEuEBbP-xpMs.-1128023216.tmp
/data/media/####/5UR91GU6P5kJZI0r34fctFGM9hw.213964349.tmp
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee (deleted)
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee.tmp
/data/media/####/6VzzC07JSEQODUKPvcU_1em1xjk.1913419734.tmp
/data/media/####/7UZ4mWpbLPVfp6u2wZ7cU32-vt0.-763382162.tmp
/data/media/####/9WxOB7OObra2rR9nYPhkm4nq3yk.-1302450755.tmp
/data/media/####/9d6658d38e134425b3c69fce9217f5dc
/data/media/####/Alvin2.xml
/data/media/####/C0dT0yGQVrLhL9wy13Gc5RQePTg.1662149151.tmp
/data/media/####/C5dsRPFjyDzQZhaphwA7NEIWcoc.-1747552887.tmp
/data/media/####/ContextData.xml
/data/media/####/Cy0BgoG5vWOWDJs2AG4simsrZDY.-1866190524.tmp
/data/media/####/DCYpUVKiQxNSjw0H1tLqK5JRwNY.1265708186.tmp
/data/media/####/DZcFA4YVWkb-asLWYKKrb1GCBDI.-1719782022.tmp
/data/media/####/D_r9ui1ShLBEcHnM7eDvSCMufs8.-1378753419.tmp
/data/media/####/DktyyglMSOIJ5rj3G9VJknlEJ7Y.387531912.tmp
/data/media/####/ELDho-rVqyhWjOw0iXrWrkCHp7g.-262139936.tmp
/data/media/####/FDhfcCZ-fiXyCWmIL9_WBN8LaTY.860688047.tmp
/data/media/####/GEXXEp7QC0HhYYUVfqhfsXMe0vQ.767497838.tmp
/data/media/####/Gi237f0nHbG7g4WiRB3nDuAgYcE.-1508662487.tmp
/data/media/####/HHS4MLxjo1gMtB99gbul7FrM6pA.491703254.tmp
/data/media/####/HJ7RweHJwnUyZTl6_R7GQYs8-wY.-956527606.tmp
/data/media/####/IbjCjDcU8IQ0GLUsnyDeoTtHZvs.-1301061567.tmp
/data/media/####/IsO
/data/media/####/IsO (deleted)
/data/media/####/J7g
/data/media/####/J7g (deleted)
/data/media/####/Je_e2SSnoa_8XJ36xY2Ew-3WAJw.-1097941625.tmp
/data/media/####/Jhm24jV0vp9PIIGTZxyZHgfaX6c.-456777081.tmp
/data/media/####/Jm_VCUdldj9JsZXqhSA6vK-OhwA.-703433569.tmp
/data/media/####/KMQWzvFXiAMU67fYI-YJ3_97pTY.-1430702535.tmp
/data/media/####/LkM09u4ppDZ9G-IybpQVGT_-Czs.-760034571.tmp
/data/media/####/MDbNkkfTnp9k9hs0Yi2j-980Kxk.-1928642255.tmp
/data/media/####/MUvHD3loJ2bKST8gM2f4lQZa-Bc.1433659402.tmp
/data/media/####/MdzkIMMnw-Pqb_s9BIRWUNs4v1g.-2070790870.tmp
/data/media/####/MjnKorgSCLClLsmgXCGkNtXyPJg.316952293.tmp
/data/media/####/MwuF24ZGI0Z3vF83zfsWLyB4coM.-17040281.tmp
/data/media/####/NpDaaffGJ5phC13Z3C0KYWxLsJg.1077332189.tmp
/data/media/####/OBsFdNaPqU7Efx_jWRsSbOorSBk.-436016314.tmp
/data/media/####/PXGdgBpVxH327ipknn9PLp0Rlqw.-1944149762.tmp
/data/media/####/PtSqb9r--B3MQJ8vwic-Ha_F_Dk.-724632565.tmp
/data/media/####/Py0hjO2NOgp5dSiwsetkYvAdUGg.-2010286970.tmp
/data/media/####/QHiQFm80p8FYYjoAoIYkQB0OP5A.-1309363588.tmp
/data/media/####/Qn9LbcNivWURt_Eu__iWVokJlD8.-414248138.tmp
/data/media/####/Qt6RAt3fQzVpYav-E6MTKs3Jwo8.701046194.tmp
/data/media/####/RmVjNqFU6PzedSL1ZtanGSY0Pwk.1162759344.tmp
/data/media/####/SBZdLLkygHbmTfydRU60SAGtzSY.508903432.tmp
/data/media/####/SjR9WCktNAjA7C-tn6gP-xZNKkI.2070409208.tmp
/data/media/####/U4pud5BUHqh9AYFhGoRYAxUEEZk.-496753613.tmp
/data/media/####/UCP1DQbbj44zP6r7mEV3lHloq8o.1280668579.tmp
/data/media/####/VNy4KcsUugi1V6wrKuST5ErtXPE.-262752979.tmp
/data/media/####/VVE6oN4OggNpl7Klr6BcacCg87k.-1104282257.tmp
/data/media/####/VsX3KJA0x6S0if9O5qQuwZ9JQxU.1263475881.tmp
/data/media/####/W1s2y4DvoyLbSH5Y_ml_RWXx5Sc.839342631.tmp
/data/media/####/WUDwAf7N59aSawnczg7E6Wqi8Ok.762740764.tmp
/data/media/####/WYyIhksfybSdr2grMzvle2mm4Y8.1501708801.tmp
/data/media/####/XT_XUp7vYppvK5LzeB8y6XF0l14.-1357436772.tmp
/data/media/####/Y29tLmxpZ2h0c2t5LnZpZGVv
/data/media/####/Y29tLmxpZ2h0c2t5LnZpZGVv (deleted)
/data/media/####/Y_OLZvdy_jMbtK5Tlz9Rbfwc2IE.-876386716.tmp
/data/media/####/ZSBNjMGfXEH_cG7-JTGKuSKqlSc.-440939326.tmp
/data/media/####/_AbNWyxBtvHLzdwiTtg0tk_Gu6I.-1333595916.tmp
/data/media/####/_H9iL49ot7GuGEi8nFHiK1km7l0.-1142675685.tmp
/data/media/####/__VERSION__
/data/media/####/aJ6
/data/media/####/aJ6 (deleted)
/data/media/####/avast_done
/data/media/####/b05ce39c1fe9e72dc1df70989e7e6d14
/data/media/####/bSBuJ2QEBBPkkh5ezJkTwsu3I88.-1564193023.tmp
/data/media/####/bqKDaZTNOByQRfgZxqfCpu3ZJkY.-661323695.tmp
/data/media/####/breatOGORJh2JwZkRwc17xyVjbY.1808360351.tmp
/data/media/####/c0308d0ba26846e4911ed176d8b42d06
/data/media/####/cHHBXyRLqJdPTuPku3bx0hbZ4FE.2032514985.tmp
/data/media/####/cKYf21YvnXeV4mMQkNX8kauLinY.-907701678.tmp
/data/media/####/cVijljXJGfsDo4f1FPn3-3pa450.590326411.tmp
/data/media/####/com.lightsky.video.bin
/data/media/####/data.lock
/data/media/####/deviceToken
/data/media/####/dgZ1C4LeDr1MpYJ08-r_EDtkbfE.1883619643.tmp
/data/media/####/dmewFKdfdZYyp0p38RVXriHOBoc.-561231514.tmp
/data/media/####/erkRDLopqBoS1zUtQDs2M5TEArg.1139768234.tmp
/data/media/####/iJ8wqbIb8xQqDv_C6RbTDLQWxwQ.-832434769.tmp
/data/media/####/iVSOsVGrxt7x35DyZaQ-oSZHaHk.-841036521.tmp
/data/media/####/iVZml8VoxCC6n5ENwB284_hBUIk.409644097.tmp
/data/media/####/jGLyW7k9A83x91WpYMA7oaufihs.-442535053.tmp
/data/media/####/jGRMiJw_rlOvHfduc1hlwU89WpU.-1593901582.tmp
/data/media/####/jcSAOr9jGZwkhQZMXMgqUBAFH0c.-1255975870.tmp
/data/media/####/jkdMVHCwR-ZBlAoe-hT2K1W3v1Q.1355660491.tmp
/data/media/####/mjSrH-nitSENEHwjQdVdauYrIEo.-1541828255.tmp
/data/media/####/mutqLQFmgNUQbkmCVyWII6MLS14.-837984086.tmp
/data/media/####/nAnRtWljDTZFyY7zwl9UGjOnfh0.-1153551444.tmp
/data/media/####/o7Dyqh6ttF1FlwO5wn9q3gVJnT8.1091918978.tmp
/data/media/####/oHvNGHVO-TzRX_Qm1Fvqgvbd6yE.-207339902.tmp
/data/media/####/pi7juBgpQQFIbnCP1exDkG5pQf0.-1316817315.tmp
/data/media/####/qLEWOszDfdfG3lcCGWKMJwd1360.-231062763.tmp
/data/media/####/r-fGUu4Gyw9JkT6qINTGlfTqQ3c.603045279.tmp
/data/media/####/r1fb0_amweON9LODBMSuQZ4vEUA.-136883771.tmp
/data/media/####/report.lock
/data/media/####/rzSKaME3RVbIgPACsPv4BoEm_tk.288337625.tmp
/data/media/####/s9gClVa1nBxScR2_daPTwTRgzCQ.1540184110.tmp
/data/media/####/tV23qJ4kdlRoIjWmPPkKS-hnxGQ.-653846535.tmp
/data/media/####/tz3A-DEq0Q_zUA-BMDU7h3S0-H4.-984014783.tmp
/data/media/####/u0F3ID8WH0PzjTXVxVPur5u188A.940993240.tmp
/data/media/####/ubjQmFpArZ9z8JIfLshLZ6ZsigQ.-469409944.tmp
/data/media/####/udQR7QJV2OArYc5On-HD_JEyV-A.-1009308275.tmp
/data/media/####/uii
/data/media/####/uii (deleted)
/data/media/####/uninstall_apk_list
/data/media/####/vSTAacvOAUMLZaf3iKOykc4IOhI.1235321283.tmp
/data/media/####/wInV5CIHjORkIUe0joJj-WJSoAs.-172280845.tmp
/data/media/####/wNPXH4P1kGM-sO_L4BNYhVgo8rA.-684707244.tmp
/data/media/####/wzK-YnANaCPN92m2n4M-COdGxLU.-54485274.tmp
/data/media/####/xUm-uHLZseen7-xzU1dB1QKFots.1028587601.tmp
/data/media/####/y8D
/data/media/####/y8D (deleted)
/data/media/####/yc-igZqrPgU9TxOd36HS5y4VaxM.-1100936350.tmp
/data/media/####/yiDEbnuRI0nmWDX1xnqwPzJ32k0.553901637.tmp
/data/media/####/zWCsx-SE_SXBTBQxDiZpraItUeE.-44082293.tmp
/data/media/####/zaP9BQbwzeoFMPtgI34NOjtWt48.1440839774.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/xbin/which su
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5a56c9198f4a9d0c2f0001a8","utdid":"W1Gge8mtmF8DAGdzx1ElsWFS","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
cat /proc/version
chmod 755 <Package Folder>/.jiagu/libjiagu-71411075.so
ls /
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

GPBreakpad
getuiext2
jcore120
libdvrender
libimagepipeline
libjiagu-71411075
libjplayer
liblocalserver
libtranscore
libviewer
libyfnet_360
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
DES

Использует повышенные привилегии.

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней