Adware.Gexin.645

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) x####.tc.qq.com:80
TCP(HTTP/1.1) a####.w####.com:80
TCP(HTTP/1.1) sdk.o####.lbs.####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) lo####.w####.com:9443
TCP(HTTP/1.1) g####.w####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) cms####.w####.com.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cm####.w####.com:80
TCP(HTTP/1.1) log.w####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) lo####.w####.com:9442
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) vm.g####.cn.####.net:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) awake-s####.j####.cn:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) cgiac####.tc.qq.com:443
TCP(TLS/1.0) bt####.v####.qq.com:443
TCP(TLS/1.0) sgv-ne####.w####.com:443
TCP(TLS/1.0) v.qq.com.####.net:443
TCP(TLS/1.0) mp.we####.qq.com:443
TCP(TLS/1.0) wild####.q####.cn.####.net:443
TCP(TLS/1.0) lmp.abe####.com:443
TCP(TLS/1.0) u####.j####.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
a####.w####.com
amap####.cn-hang####.oss####.####.com
and####.b####.qq.com
awake-s####.j####.cn
bt####.v####.qq.com
c####.g####.ig####.com
c-h####.g####.com
cm####.w####.com
cms####.w####.com
g####.w####.com
h####.v####.qq.com
i.g####.cn
l####.tbs.qq.com
lmp.abe####.com
lo####.w####.com
log.u####.com
log.w####.com
m####.q####.cn
mp.we####.qq.com
plb####.u####.com
r####.wx.qq.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.lbs.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sgv-ne####.w####.com
u####.j####.cn
u####.u####.com
up####.sdk.jig####.cn
v.q####.com
vm.g####.cn

Запросы HTTP GET:

cms####.w####.com.####.com/uploads/jpg/20180717/20180717112434sz.jpg
cms####.w####.com.####.com/uploads/jpg/20180717/201807171124525Q.jpg
cms####.w####.com.####.com/uploads/jpg/20180717/20180717112510NS.jpg
cms####.w####.com.####.com/uploads/jpg/20180717/20180717112528em.jpg
cms####.w####.com.####.com/uploads/jpg/20180726/201807260350121022388600...
cms####.w####.com.####.com/uploads/jpg/20180726/201807260351251022388907...
cms####.w####.com.####.com/uploads/jpg/20180726/201807260352491022389261...
cms####.w####.com.####.com/uploads/jpg/20180726/201807260411271022393949...
cms####.w####.com.####.com/uploads/jpg/20180726/201807260420351022396247...
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_GgS168
sni.c####.q####.####.net/tdata_YYn966
sni.c####.q####.####.net/tdata_eOt091
sni.c####.q####.####.net/tdata_xzN627
x####.tc.qq.com/qqlive/images/20121119/i1353305744_1.jpg

Запросы HTTP POST:

a####.u####.com/app_logs
a####.w####.com/v2/ad
a####.w####.com/v2/config/sync
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
cm####.w####.com/uSystem/v1/getMoByDev
cm####.w####.com/uSystem/v1/getui/userGather
cm####.w####.com/uSystem/v1/link/getUserData
cm####.w####.com/uSystem/v3/level/list
cm####.w####.com/v1/banner/list
cm####.w####.com/v1/couponList
cm####.w####.com/v1/emptyAd/info
cm####.w####.com/v1/notice/list
cm####.w####.com/v1/publicNews/list
cm####.w####.com/v1/stationAcRules
cm####.w####.com/v1/version/patch
cm####.w####.com/v1/version/upgrade
cm####.w####.com/v2/operate/list
cm####.w####.com/v3/adNew/config
cm####.w####.com/v3/article/pgc
cm####.w####.com/v3/clientConfig/list
cm####.w####.com/v5/channel/list
cm####.w####.com/v5/linkPage/config
g####.w####.com/JsonApi.ashx
l####.tbs.qq.com/ajax?c=####&k=####
lo####.w####.com:9442/mksdk/
lo####.w####.com:9443/mkdev/
log.w####.com/v1/log/getConfig
sdk.o####.lbs.####.com/api.htm?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1505772727-518599727
/data/data/####/-1505772727-681022346
/data/data/####/-1505772727-882857438
/data/data/####/-15057727271663118309
/data/data/####/-1505772727173592797
/data/data/####/-1505772727513551288
/data/data/####/-1505772727705470373
/data/data/####/-18368152921143731967
/data/data/####/-1836815292183046623
/data/data/####/-18368152921995329118
/data/data/####/.imprint
/data/data/####/.old_file_converted
/data/data/####/1-cH-ptIOmsFi6vT2Q1Keud7IJQ.742926370.tmp
/data/data/####/1004
/data/data/####/1169538401150.0
/data/data/####/1198352672-291097941
/data/data/####/1538057693730.0
/data/data/####/1614064461-1566615052
/data/data/####/1614064461-471281025
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/356389887-156258778
/data/data/####/3563898871042933663
/data/data/####/3563898872083103147
/data/data/####/429679080-1651026430
/data/data/####/4c00bd3f-e82a-4dd4-865f-3783047c6600
/data/data/####/5599507442113.0
/data/data/####/565685775431034297
/data/data/####/565685775600572857
/data/data/####/8907b8cc-eb43-400e-bac5-e84e95685683
/data/data/####/ApplicationCache.db-journal
/data/data/####/CHAO1HlfNF5JQtStpaYyG9VbLiA.-49597922.tmp
/data/data/####/ConnPreference.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/MultiDex.lock
/data/data/####/SRGBzB0Sh9pbE-zHnDc0-CIP3e4.1399703643.tmp
/data/data/####/TE0XcLtT_KROpPL8tu66eWjmR3E.-1265326988.tmp
/data/data/####/TE0XcLtT_KROpPL8tu66eWjmR3E.cnt
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/VGwdmgK8g1SA6ePCSCOnoNYUwnE.-948798077.tmp
/data/data/####/_nohttp_cache_db.db
/data/data/####/_nohttp_cache_db.db-journal
/data/data/####/_nohttp_cookies_db.db
/data/data/####/_nohttp_cookies_db.db-journal
/data/data/####/appPackageNames_v2
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cn.jiguang.wakesdk.preferences.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/daemon
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f92dc8bf-0831-42bc-ab94-37de14327d88
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/filedownloader.db-journal
/data/data/####/gAXlhscmUcUU4S1430LopyytjXQ.1585971391.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gks_download.db-journal
/data/data/####/haCKELn5MOIYgTgtrR7Pla8C7nA.1887042271.tmp
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/hsad.db
/data/data/####/hsad.db-journal
/data/data/####/hsad.xml
/data/data/####/hsbb.db-journal
/data/data/####/hslog.db
/data/data/####/hslog.db-journal
/data/data/####/hslog.xml
/data/data/####/https_mp.weixin.qq.com_0.localstorage-journal
/data/data/####/https_mp.weixin.qq.com_0.localstorage-journal (deleted)
/data/data/####/https_v.qq.com_0.localstorage-journal
/data/data/####/i==1.2.0&&5.3.2_1532611786029_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jks.db-journal
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.1.so
/data/data/####/local_crash_lock
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/oL1YaR-BbaV5CP8GSXF0vl5PimU.-575689276.tmp
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sdk-db-journal
/data/data/####/sdk_info.xml
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_GgS168
/data/data/####/tdata_GgS168.jar
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/tdata_xzN627
/data/data/####/tdata_xzN627.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/zM1rPfzpo7m6NI8pqjZkDWgN4J4.1581308001.tmp
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.umm.dat
/data/media/####/1532611785342.db
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.nfyg.hsbb.bin
/data/media/####/com.nfyg.hsbb.db
/data/media/####/com.nfyg.hsbb_log.txt
/data/media/####/config.ini
/data/media/####/style.data
/data/media/####/tdata_GgS168
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/tdata_xzN627
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.getui.GetuiPushService 24262 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.1.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.carrier.name
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.region
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
ps
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.getui.GetuiPushService 24262 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libimagepipeline
libnfix
libshella-2.9.0.1
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней