Adware.Gexin.1604

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(TLS/1.0) c####.10####.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
and####.b####.qq.com
c####.10####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_MkX219
sni.c####.q####.####.net/tdata_iGj879
t####.c####.q####.####.com/tdata_EDT356

Запросы HTTP POST:

and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/9a8eee15c0d1
/data/data/####/MultiDex.lock
/data/data/####/WXStorage-journal
/data/data/####/about.js
/data/data/####/agreement.js
/data/data/####/bannerDetail.js
/data/data/####/bike.png
/data/data/####/bugly_db_legu-journal
/data/data/####/chuanranke.png
/data/data/####/company.png
/data/data/####/config.xml
/data/data/####/conversation.js
/data/data/####/danyiwaike.png
/data/data/####/default.png
/data/data/####/doctor.js
/data/data/####/doctorDetail.js
/data/data/####/doctorList.js
/data/data/####/editIllness.js
/data/data/####/editPatient.js
/data/data/####/erbihouke.png
/data/data/####/erduoke.png
/data/data/####/erke.png
/data/data/####/examination.js
/data/data/####/examinationDetail.js
/data/data/####/fengshike.png
/data/data/####/fuchanke.png
/data/data/####/fuke.png
/data/data/####/ganbinke.png
/data/data/####/gangchangke.png
/data/data/####/gangchangwaike.png
/data/data/####/ganzhangke.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/guanjiewaike.png
/data/data/####/guke.png
/data/data/####/gx_sp.xml
/data/data/####/hospital.js
/data/data/####/hospitalList.js
/data/data/####/huxineike.png
/data/data/####/icon-about-blue.png
/data/data/####/icon-account-blue.png
/data/data/####/icon-account-gray.png
/data/data/####/icon-arrow-gray.png
/data/data/####/icon-arrow-white.png
/data/data/####/icon-audio.png
/data/data/####/icon-back.png
/data/data/####/icon-bills-blue.png
/data/data/####/icon-call-blue.png
/data/data/####/icon-call-white.png
/data/data/####/icon-camera.png
/data/data/####/icon-certify.png
/data/data/####/icon-check.png
/data/data/####/icon-clearing-blue.png
/data/data/####/icon-close-gray.png
/data/data/####/icon-close.png
/data/data/####/icon-conversation-bg.png
/data/data/####/icon-conversation-index.jpg
/data/data/####/icon-evaluation-white.png
/data/data/####/icon-examination-blue.png
/data/data/####/icon-experts.png
/data/data/####/icon-group.png
/data/data/####/icon-hangup.png
/data/data/####/icon-honor-white.png
/data/data/####/icon-main-blue.png
/data/data/####/icon-main-gray.png
/data/data/####/icon-merchant.png
/data/data/####/icon-notice-blue.png
/data/data/####/icon-opreations-blue.png
/data/data/####/icon-package-blue.png
/data/data/####/icon-password.png
/data/data/####/icon-phone.png
/data/data/####/icon-radio-check.png
/data/data/####/icon-radio.png
/data/data/####/icon-rate-check.png
/data/data/####/icon-rate.png
/data/data/####/icon-recharge-blue.png
/data/data/####/icon-referral-blue.png
/data/data/####/icon-referral-gray.png
/data/data/####/icon-referral-index.jpg
/data/data/####/icon-registion-blue.png
/data/data/####/icon-registion-gray.png
/data/data/####/icon-registion-index.jpg
/data/data/####/icon-results-white.png
/data/data/####/icon-score-gray.png
/data/data/####/icon-score-red.png
/data/data/####/icon-search.png
/data/data/####/icon-setting-blue.png
/data/data/####/icon-setting-gray.png
/data/data/####/icon-skill-white.png
/data/data/####/icon-star-blue.png
/data/data/####/icon-user-gray.png
/data/data/####/icon-wallet-blue.png
/data/data/####/icon-wallet.png
/data/data/####/index.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jianyanke.png
/data/data/####/jiazhuangxianke.png
/data/data/####/jieheke.png
/data/data/####/jingshenke.png
/data/data/####/jizhuwaike.png
/data/data/####/kangfuke.png
/data/data/####/kangfuliliaoke.png
/data/data/####/kouqiangke.png
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libweexjsb.so
/data/data/####/license.js
/data/data/####/local_crash_lock
/data/data/####/loginBg.jpg
/data/data/####/logo.png
/data/data/####/meirongzhengxingke.png
/data/data/####/miniaoke.png
/data/data/####/miniaowaike.png
/data/data/####/mix.dex
/data/data/####/more.png
/data/data/####/multidex.version.xml
/data/data/####/nanke.png
/data/data/####/native_record_lock
/data/data/####/neifenmike.png
/data/data/####/neike.png
/data/data/####/news.jpg
/data/data/####/newsDetail.js
/data/data/####/notice.js
/data/data/####/noticeDetail.js
/data/data/####/package.js
/data/data/####/packageDetail.js
/data/data/####/packageList.js
/data/data/####/packageOrder.js
/data/data/####/packagePayment.js
/data/data/####/pifuke.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/putongwaike.png
/data/data/####/quanke.png
/data/data/####/registion.js
/data/data/####/registionDetail.js
/data/data/####/registionPayment.js
/data/data/####/resetPassword.js
/data/data/####/run.pid
/data/data/####/schedule.js
/data/data/####/section.js
/data/data/####/sectionDetail.js
/data/data/####/sectionList.js
/data/data/####/security_info
/data/data/####/settingBg.jpg
/data/data/####/settings.js
/data/data/####/shengzhineifenmike.png
/data/data/####/shenjinneike.png
/data/data/####/shenjinwaike.png
/data/data/####/shenwaike.png
/data/data/####/shenzangneike.png
/data/data/####/sicknessHospitalList.js
/data/data/####/sicknessList.js
/data/data/####/suishike.png
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_iGj879
/data/data/####/tdata_iGj879.jar
/data/data/####/tengtongke.png
/data/data/####/tijianzhongxin.png
/data/data/####/transfer.js
/data/data/####/transfer.png
/data/data/####/transferDetail.js
/data/data/####/transferEvaluate.js
/data/data/####/userinfo.js
/data/data/####/waike.png
/data/data/####/wallet.js
/data/data/####/walletBg.jpg
/data/data/####/walletBills.js
/data/data/####/walletClearForm.js
/data/data/####/walletClearing.js
/data/data/####/walletOpreationDetail.js
/data/data/####/walletOpreations.js
/data/data/####/walletRecharge.js
/data/data/####/weichangwaike.png
/data/data/####/wuguanke.png
/data/data/####/xiaoerwaike.png
/data/data/####/xiaohuaneifenmike.png
/data/data/####/xieguanneike.png
/data/data/####/xieguanwaike.png
/data/data/####/xinshengerke.png
/data/data/####/xinzangneike.png
/data/data/####/xinzangwaike.png
/data/data/####/xiongwaike.png
/data/data/####/yanhouke.png
/data/data/####/yanke.png
/data/data/####/yingyangke.png
/data/data/####/yinxiangke.png
/data/data/####/yundongyixueke.png
/data/data/####/zhengxingke.png
/data/data/####/zhiyebinke.png
/data/data/####/zhongliuke.png
/data/data/####/zhongxiyijieheke.png
/data/data/####/zhongyike.png
/data/media/####/app.db
/data/media/####/cn.d4v.referral.bin
/data/media/####/cn.d4v.referral.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_MkX219
/data/media/####/tdata_iGj879
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/data/app-lib/<Package>-1/libweexjsb.so 54 0
/data/app-lib/<Package>-1/libweexjsb.so 60 0
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.peng.one.push.getui.GeTuiPushService 24422 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.peng.one.push.getui.GeTuiPushService 24422 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
ufix
weexjsc

Использует следующие алгоритмы для шифрования данных:

AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней