Adware.Gexin.1731

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) 2####.192.139.100:8088
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) f####.f####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 61.55.1####.34:8088
TCP(HTTP/1.1) img.f####.com.####.net:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
f####.f####.com
img.f####.com
mi.g####.qq.com
p####.ugd####.com
pub-####.qin####.com
qzones####.g####.cn
s####.e.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
v.g####.qq.com

Запросы HTTP GET:

f####.f####.com/Flux4AdData.aspx?id=####
img.f####.com.####.net/Novel/166x235/0/171/000171085.jpg
img.f####.com.####.net/Novel/166x235/0/184/000184169.jpg
img.f####.com.####.net/Novel/166x235/0/201/000201531.jpg
img.f####.com.####.net/Novel/166x235/0/202/000202514.jpg
img.f####.com.####.net/Novel/166x235/0/204/000204234.jpg
img.f####.com.####.net/Novel/166x235/0/204/000204240.jpg
img.f####.com.####.net/Novel/166x235/0/205/000205811.jpg
img.f####.com.####.net/Novel/166x235/0/206/000206753.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207731.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207778.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207829.jpg
img.f####.com.####.net/Novel/166x235/0/207/000207867.jpg
img.f####.com.####.net/Novel/166x235/0/210/000210971.jpg
img.f####.com.####.net/Novel/166x235/0/210/000210993.jpg
img.f####.com.####.net/Novel/166x235/0/211/000211502.jpg
img.f####.com.####.net/Novel/166x235/0/211/000211557.jpg
img.f####.com.####.net/Novel/166x235/0/211/000211824.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212665.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212744.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212766.jpg
img.f####.com.####.net/Novel/166x235/0/212/000212914.jpg
img.f####.com.####.net/Novel/166x235/0/213/000213342.jpg
img.f####.com.####.net/Novel/166x235/0/213/000213614.jpg
img.f####.com.####.net/Novel/166x235/0/213/000213788.jpg
img.f####.com.####.net/Novel/166x235/0/214/000214068.jpg
img.f####.com.####.net/Novel/166x235/0/215/000215863.jpg
img.f####.com.####.net/Novel/166x235/0/216/000216080.jpg
img.f####.com.####.net/Novel/166x235/0/216/000216569.jpg
img.f####.com.####.net/Novel/166x235/0/216/000216606.jpg
img.f####.com.####.net/Novel/166x235/0/216/000216634.jpg
img.f####.com.####.net/hpic/2018/7/14/920c9639-bd83-4327-b962-ea96f75d9f...
img.f####.com.####.net/hpic/2018/8/21/05c153cd-a87d-490d-9eb6-1da6d6809e...
img.f####.com.####.net/hpic/2018/8/21/3224c9f4-9ae9-4040-b6f4-e94b29ab72...
img.f####.com.####.net/hpic/2018/8/21/918b48e9-070e-45f4-88bb-a13421af30...
img.f####.com.####.net/ou/2018/20180714132756.jpg
img.f####.com.####.net/ou/2018/20180815093800.png
mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.appcache
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.html
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/banner_close_b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg03.jpg
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg07.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close03.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon....
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon_...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/gdt_logo_black...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/icon-ad.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/sdk_bg.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tc-gdt-sdk-ope...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js-release/20170821/b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js/lib/require.js
s####.tc.qq.com/gdt/0/DAAHwmeABIABIAAGBYnCpQC1HGHe5x.jpg/0?ck=####
sni.c####.q####.####.net/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456

Запросы HTTP POST:

a####.exc.mob.com/errconf
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
s####.e.qq.com/activate
s####.e.qq.com/msg
sdk.o####.p####.####.com/api.php?format=####&t=####
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1154778678
/data/data/####/.duid
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/1004
/data/data/####/2096.yaqcookie
/data/data/####/384416aec342
/data/data/####/ApplicationCache.db-journal
/data/data/####/BuglySdkInfos.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MultiDex.lock
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/config.xml
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82560842.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/faloodb.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_suid
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libyaqbasic.82560842.so
/data/data/####/libyaqpro.82560842.so
/data/data/####/local_crash_lock
/data/data/####/mfbook.db
/data/data/####/mfbook.db-journal
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/okgo.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaqsdkcookie
/data/media/####/.artc_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/01ffa161ca715ba5fc724bcb6183baebf8f63208e8903a....0.tmp
/data/media/####/04fab51c026d77a927097a08cfbd75be2e6c2a4f292a00....0.tmp
/data/media/####/060ea30710a7769fd56854a62c72fe8825f2c87e51af4d....0.tmp
/data/media/####/1427e0984f2a82b1897891fb04f8e2e75bcbbf8575cdbe....0.tmp
/data/media/####/260b6326f676a7ab354dcbceac7811354d91036c4e053b....0.tmp
/data/media/####/2ec9c451165f1bb7d4921cbb6c41c688f225b7bdec3c7d....0.tmp
/data/media/####/343d07af87dd89044ec7afe1ebd38daf0dd525bb0a0cb1....0.tmp
/data/media/####/3b2ce1cd65caadf76436061da10b3d8e23a63e52d0b3d1....0.tmp
/data/media/####/408e46661ff620df660c9c5b667008ffd31f9f00bc77f7....0.tmp
/data/media/####/46040fe4441f400379afd2efb95994f153160202ea7d3d....0.tmp
/data/media/####/49ffb9f79e7e06156c660752d0e37077994b21f583c19c....0.tmp
/data/media/####/4e4e59ba50a22eeea642f050ef9a8576381b064058d40b....0.tmp
/data/media/####/57281834153f3033ee306ba40f63ccc7ce285bd6814ece....0.tmp
/data/media/####/65daadd32e2585fe211564dc170482398ac8b276b3988f....0.tmp
/data/media/####/6691f358f231f07b95fbfc63750f2c7360c253aa3bbce7....0.tmp
/data/media/####/6a5679d72c15a85e7a295a1d759d8594c3d6168648daf8....0.tmp
/data/media/####/7cf3f919835738d99edaa4e590f775221279d71e9606c1....0.tmp
/data/media/####/8fc81199536eb79d78f64c99f4bc8c4952659d3903cd40....0.tmp
/data/media/####/9c70910fa1e43b2d102171fbebac221a3ab3ff7512f8ab....0.tmp
/data/media/####/9d5e0d43ac1b55666cd535e0ce536246bd4ebb81b45df9....0.tmp
/data/media/####/a072c3e8a9252884aa2538a71bb0ce43a25d55772b7cce....0.tmp
/data/media/####/a860201bb25195ee8959d2cc084784a90cabca44670523....0.tmp
/data/media/####/app.db
/data/media/####/b7f27a2fecb3f58e93a2dbe8ab931fde0fa90512ee0fde....0.tmp
/data/media/####/c3b84bf3f5f30595c1656c3a3bfcdb7588f19f7e00149a....0.tmp
/data/media/####/c5abe1370824d27b5ebbae4422af8caa6a2993b74d1e16....0.tmp
/data/media/####/com.faloo.BookReader4Android.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d69acfecced364831efd9497f81f16fd39dc563bbcd8e5....0.tmp
/data/media/####/d794faf3a22409adf2875e578dacf4711ef96592525289....0.tmp
/data/media/####/d9ba58271b3f271bd07330cc037ded3f86d7e94c1f74d7....0.tmp
/data/media/####/dbff6eab9ca797784b8687574c30f1268db5c237f667aa....0.tmp
/data/media/####/e22ce1e52aff084378ea80030097273a63d20134f4c137....0.tmp
/data/media/####/e2d1c02b2179829cfe04d79cd1f8502b7ee2e51f13e9f4....0.tmp
/data/media/####/eac8ef76dcf7b21e596f0921f1064b806355e995294013....0.tmp
/data/media/####/ed446d69b741b4fba8e5a7f83d44852504252ff442b46b....0.tmp
/data/media/####/f87b5fbe25fbcd501da689d23610089052f315ad37ab3f....0.tmp
/data/media/####/fe0eca895bcfd1c55d526d4ea3132c0d5c56318f97fc10....0.tmp
/data/media/####/fed5b4088ee5ce682fc70cd3d4c86a1a03e1f43751755d....0.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat *:e *:i | grep (2096)
logcat *:e *:i | grep (2157)
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25687 300 0

Загружает динамические библиотеки:

Bugly
encrypt
getuiext2
libnfix
libshella-2.9.0.2
libufix
libyaqbasic.82560842
libyaqpro.82560842
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней