Adware.Gexin.1850

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) h5####.newairc####.com:80
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(TLS/1.0) oss.newairc####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
d####.opensp####.cn
h####.opensp####.cn
h5####.newairc####.com
h5.newairc####.com
img.newairc####.com
oss.newairc####.com
sdk.c####.ig####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

h####.opensp####.cn/launchconfig?t=####&p=####
h5####.newairc####.com/api/getArticle?sid=####&aid=####&cid=####
h5####.newairc####.com/api/getArticleAdv?sid=####&cid=####&v=####
h5####.newairc####.com/api/getArticles?sid=####&cid=####&lastFileID=####...
h5####.newairc####.com/api/getColumns?sid=####&cid=####
h5####.newairc####.com/api/getComments?sid=####&rootID=####&sourceType=#...
h5####.newairc####.com/api/getConfig?sid=####
oss.newairc####.com/jcrb/article/201705/10/c1612236.json
oss.newairc####.com/jcrb/pic/201610/18/4bb64264-94de-4de6-8f49-bb236a6f6...
oss.newairc####.com/jcrb/pic/201610/18/66cc7df8-8a60-426c-a5ca-fe7346957...
oss.newairc####.com/jcrb/pic/201610/18/af6630f2-4e3c-4e2a-8e17-b16d3cd1c...
oss.newairc####.com/jcrb/pic/201610/18/fd28b180-24eb-4b54-95d7-df8bf3e7e...
oss.newairc####.com/jcrb/pic/201705/10/0df9ec99-121f-4418-9d98-2882415f5...
oss.newairc####.com/jcrb/pic/201705/10/1c6548dd-1eef-4e24-9ca1-b90d7da2c...
oss.newairc####.com/jcrb/pic/201705/10/4071b094-64fe-4d9a-b204-00f5f395a...
oss.newairc####.com/jcrb/pic/201705/10/48b28d21-0daf-4ec7-b5dd-615dca656...
oss.newairc####.com/jcrb/pic/201705/10/5d8744e3-eda8-4e95-86cc-072c9f768...
oss.newairc####.com/jcrb/pic/201705/10/620c6a0a-c206-43cf-83fe-ac7b54f47...
oss.newairc####.com/jcrb/pic/201705/10/73b9b945-fb53-490d-881f-3f09220ac...
oss.newairc####.com/jcrb/pic/201705/10/7775ec73-cc71-4077-9240-5bb30a9ed...
oss.newairc####.com/jcrb/pic/201705/10/7b736695-5b93-43bc-b4c1-da931d339...
oss.newairc####.com/jcrb/pic/201705/10/92d93697-b563-445c-9cff-f0e8877b8...
oss.newairc####.com/jcrb/pic/201705/10/a92589b4-3489-490e-a62d-6e08c238e...
oss.newairc####.com/jcrb/pic/201705/10/b0193cf8-88a1-42b1-866d-fe13ad340...
oss.newairc####.com/jcrb/pic/201705/10/c29f5a67-bd23-4c2b-9e8c-e0e219cd4...
oss.newairc####.com/jcrb/pic/201705/10/d3093ecd-47c3-45c5-8210-0ecdd4651...
sni.c####.q####.####.net/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456

Запросы HTTP POST:

aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
h5####.newairc####.com/api/event
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1118183991
/data/data/####/-1312716470
/data/data/####/-1375285505
/data/data/####/-1958329165
/data/data/####/-1989348972
/data/data/####/-2020368779
/data/data/####/-2051388586
/data/data/####/-626064106
/data/data/####/1348705193
/data/data/####/1389023919
/data/data/####/1509597072
/data/data/####/1530123149
/data/data/####/1561142956
/data/data/####/1612236_article.js
/data/data/####/1695857311
/data/data/####/2014143751
/data/data/####/337525857
/data/data/####/386967948
/data/data/####/49
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/QQ_3x.png
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/article.js
/data/data/####/base.css
/data/data/####/bugly_db_lejiagu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/file__0.localstorage-journal
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/gx_sp.xml
/data/data/####/helpMsg.xml
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_praise.png
/data/data/####/icon_praiseStar.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.founder.jinchang.xml
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.min.js
/data/data/####/libshella-2.4.2.1.so
/data/data/####/loading.png
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mobclick_agent_cached_com.founder.jinchang20
/data/data/####/native_record_lock
/data/data/####/news_detail.html
/data/data/####/play.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/security_info
/data/data/####/shareTimeline_3x.png
/data/data/####/sina_3x.png
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/umeng_general_config.xml
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wx_3x.png
/data/media/####/0033fed9b9aa016fd0ec73630e88f210f0084c25b5ddd6....0.tmp
/data/media/####/0151efa4012bd3e11926123f8d310832bc9aab9c5aeca3....0.tmp
/data/media/####/01ddea51fde9cd2c68bf4a1f2fe72c0e90b6aded8f59b2....0.tmp
/data/media/####/02b3f108e1739d2b6381c84185952a17082b2816d33976....0.tmp
/data/media/####/0394592fac0df0fd40ac1186c145a01d39e3710625a30e....0.tmp
/data/media/####/092a232c52fed6090b2befa3ea366aaf4d41729513f830....0.tmp
/data/media/####/0d5be6015cc33f8587570849f9634552ec5db42bad0513....0.tmp
/data/media/####/157cfafabb572c99a1c328578563528733be788d3745d0....0.tmp
/data/media/####/15b7e05d527cd65e9f11ded5cd1b5b5fb33a1eb2f6dbb7....0.tmp
/data/media/####/16bdb81b08e1055e08169cc23676e6f49fc77185fb16e9....0.tmp
/data/media/####/18162cd1291268360bbd67aca05df9ca3780038fe2dfc6....0.tmp
/data/media/####/186ada582797b86397369fb5644126b02785a6ac2f84d2....0.tmp
/data/media/####/1925e04c1b23a654c82edb2953e9d497f876d5b63c2ddf....0.tmp
/data/media/####/194a83dc62c8f8797ebe98fee95bb0fc33ddcd7337be4c....0.tmp
/data/media/####/19c46d576073848c41ed14f600fa4ad869ea4c95c08110....0.tmp
/data/media/####/1dee71e9e9eb717db541f8c6e9428c81de2287799e5d0f....0.tmp
/data/media/####/2008e6603448a732d30c780e2ac01951935edf00b14faa....0.tmp
/data/media/####/2020c13743c1822826ca8fa0f3f44a118ff49d969b5e06....0.tmp
/data/media/####/23dfa8877288ec7782185e5fdb618f6e78454c66067832....0.tmp
/data/media/####/2792763d8d84f1dc8b856d87697eaa62fab60fd52b4cd1....0.tmp
/data/media/####/2abcadf1061be4338f973764082d5273a89062ef0f0e61....0.tmp
/data/media/####/2c410c704d734557a3a5375272f0e2adf5fd70307e0882....0.tmp
/data/media/####/2dd63579a8c07c3ea4a08a0cc20467c15ce35691bd392b....0.tmp
/data/media/####/36d66630ae7252f7d50b5be3ab437e03affa7ae4b027ba....0.tmp
/data/media/####/37883ce84b62ffd18082f603b2da98a7e0a173d8520337....0.tmp
/data/media/####/386bbd3e6828e703562e0d7ff2a6096caf9bd816ced9b5....0.tmp
/data/media/####/392a47c3596f4b538d07fd827d44f4480b97260eaf878d....0.tmp
/data/media/####/3d9eb5ad0fac1d39b6988f66e08b48ec38c21c59bbaf5e....0.tmp
/data/media/####/3e40bc4d015c59f23a9c3e024673a818e6c7256d82e19e....0.tmp
/data/media/####/3e4a37e96e365d0d7a54eb850343a3b5505062ea7cb9c3....0.tmp
/data/media/####/410e3b31928248e819fe4b57f3da488ccd52cb8a35026d....0.tmp
/data/media/####/4257a60e49c0f4bfb46e775d26482219038d30ba2534e4....0.tmp
/data/media/####/42a1bd53db1bcf692cc61411d5e5c69c48d1f6a663f6a0....0.tmp
/data/media/####/43d3f964eeacabb1cbc9c167c55321dc67fce56896f143....0.tmp
/data/media/####/452a1784c96d7291c1d56f59a3d8bd5e0a42f68ad754fa....0.tmp
/data/media/####/45a87231b571b9301bc2ab19dd1f74e5552aa6a95fb0bb....0.tmp
/data/media/####/471597d08d76cef6b69278b645e0690c56a5fbbb994180....0.tmp
/data/media/####/4a7fb507db17fc3ac0e93f10affd79ab857a9925881043....0.tmp
/data/media/####/505d9b1a13b6dd3f86f8cb8ea59f05ecc7183171e7b27c....0.tmp
/data/media/####/520430d196e0ba608f747f7f4386a39cdfc3d3e415bf55....0.tmp
/data/media/####/52e3fd210d386bf48c3d1aa3bf52efb76ce179ce9d7c97....0.tmp
/data/media/####/5933fc38464e9c59f35d62cfb5b4bf8121b2837c67deb1....0.tmp
/data/media/####/6347ec97c778cb95ceaf66709910f840c53e2845cc09ca....0.tmp
/data/media/####/660b9e1662cbd10f6dd9c78fe687c571da576bc55b8411....0.tmp
/data/media/####/673432861dcaf5abcae503ae700de47a25f6bc3e61c800....0.tmp
/data/media/####/67a44162a25506c0b8eff43de5ce7bc0eb8cc86d7fb781....0.tmp
/data/media/####/6ad6d5922395c62cf61b4fe9b9764a6ba2ef2edb7fc890....0.tmp
/data/media/####/6d9a9f4334aaf8dd0f9734050a3aaa233ce76a02463602....0.tmp
/data/media/####/6dc8940704097541f25cbd6d4db91fff8722b139fdc9d0....0.tmp
/data/media/####/7104e815cdfe8000496e11aae507bf5a183dd391cdf2dc....0.tmp
/data/media/####/779930192304c14cc44ad17cdda170e0af02fe34873989....0.tmp
/data/media/####/81e6970b8fe88c87792096fb055e4b099b2703f8563d0f....0.tmp
/data/media/####/84b9550571acd1db98fe041683b5fd48ba88226e9350ab....0.tmp
/data/media/####/84f24c711a1e03c84f34de32c69848a14f8c2d52f40eee....0.tmp
/data/media/####/85b53e519c985b3c160286b62816aaee1bb2c67dc72716....0.tmp
/data/media/####/8aaa19c834389ad07330bbbb26c43f6b32b7e7b8b8ffd0....0.tmp
/data/media/####/8d47eb16d86befbeeb5b30991e73e6e374aeb927f1d5c0....0.tmp
/data/media/####/910cd05150d00cee6d9550e3442e5f1653299c56300241....0.tmp
/data/media/####/962203a6f86b669c6a44488ba9f9371054d1a5543bfb35....0.tmp
/data/media/####/978e607537ab46d0c2075f3e5191779a6d1babc8327075....0.tmp
/data/media/####/9b32967f3da27c1c86e6cd7aeb76f3a996e1971571cbf0....0.tmp
/data/media/####/9daaf08fcc442137f1cbc5b2ca4013e4c28802e624f4a0....0.tmp
/data/media/####/9de022703961e506a4251174a0c445b90b109487b00ad9....0.tmp
/data/media/####/9eea5db1d09df96edfc2e22132a0aca7a7da1a5248e465....0.tmp
/data/media/####/a75d0942ac76af93ee2737c4e069fba744c088b761312d....0.tmp
/data/media/####/aa4b5597c84a392a71e1b35969fd8ac5db59d248e2ed3a....0.tmp
/data/media/####/ad2ae47361e85bd8e3f622c11e8fd6b2f41b15c3eb5dc1....0.tmp
/data/media/####/app.db
/data/media/####/b121fee8aa4fddb43495926773fb8e74f709aa072f776d....0.tmp
/data/media/####/b226aa40db4160c85e5007f2c5a0e67a91234d873ce98d....0.tmp
/data/media/####/ba0cebc7aa4c577be17c1942a3b6556e21a8cb098ddf4a....0.tmp
/data/media/####/c0b3c11718bfa04acb2c7c9811ab198a73f89c254db9ba....0.tmp
/data/media/####/c1f04f7acac043f9fd5f32b64107275c955c362791fca7....0.tmp
/data/media/####/c408a5c553d34a04173b15f89d8629f46a37bafb7af9ad....0.tmp
/data/media/####/c560ba8a9da7d4e72f4561a8b331bf4be479dae0b0538e....0.tmp
/data/media/####/c94aa3acde9a1a8b2a075b55ad7ee6cb2ab76d03d5137c....0.tmp
/data/media/####/cb18d48fd1d4cff2c0e10ff03ed2fab241821628f1a99e....0.tmp
/data/media/####/cc1ca52666feeedbd249fbecb17725e51a33927d5de63d....0.tmp
/data/media/####/cf09845c92fba157d70c7c1e2e9e36c3ddf4f80cf3ce45....0.tmp
/data/media/####/com.founder.jinchang.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d3de92f9fd468c44998fddc2f9f8c74ade6670eb3cb9e9....0.tmp
/data/media/####/d512e491f5d998d7965a7f121657cfb3dac29ef5ca957c....0.tmp
/data/media/####/d596a3eb76ec8c8381459e2e8912e8f265ce206266d497....0.tmp
/data/media/####/da8ef14a654caad7b24ae8321cec6340bb38affc408033....0.tmp
/data/media/####/e21fe50ed0df29ae15a9a7a8c997ca7ee7927ac606d7a6....0.tmp
/data/media/####/e2ebd0ecf74f6c575a129964df60471be7cd2e2b8f7452....0.tmp
/data/media/####/eac6a71abc36bba0cbd94279348db437c59d8e2af71107....0.tmp
/data/media/####/eb411b6304f09b556f1eff8dc2cadc8a082b409528cb3e....0.tmp
/data/media/####/ef8bfa17322daa1b583e22ce2d088e3cb5fb997fa54013....0.tmp
/data/media/####/efb0c219bf660313c96ade7e6f7ca503f46dd095c61a2e....0.tmp
/data/media/####/efb56b492dd7d6bb6a9d2d35e0997edc3a4cea91aa2b1d....0.tmp
/data/media/####/f0ab4b0f3d9dc79fb5c509a2a676f129acc7eb312df398....0.tmp
/data/media/####/f0eefc0791c93d8ad78d6a475e5142d8758f84e5788fa0....0.tmp
/data/media/####/fbdbcfe3b20607397269654ba6eab2adf90cce3386758b....0.tmp
/data/media/####/fbec310718636e7cd8166738ff63341eef856758004122....0.tmp
/data/media/####/ffdba5770265d5ec1ed5216f6aaafe35e782c60930fe50....0.tmp
/data/media/####/iflyworkdir_test
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25000 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libshella-2.4.2.1.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25000 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libshella-2.4.2.1
msc

Использует следующие алгоритмы для шифрования данных:

AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней