Adware.Gexin.1949

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) log.r####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) h####.b####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t####.growi####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) a####.w####.cn:80
TCP(HTTP/1.1) w####.w####.cn:80
TCP(HTTP/1.1) dn-gro####.q####.me:80
TCP(HTTP/1.1) t####.talking####.net:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) img.w####.cn:80
TCP(TLS/1.0) w####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) jic.talking####.com:443
TCP(TLS/1.0) a####.w####.cn:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) dn-gro####.q####.me:443
TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) w####.w####.cn:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) cras####.growi####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) img.w####.cn:443
TCP(TLS/1.0) x####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.w####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
api.growi####.com
api.w####.com
as####.growi####.com
c####.g####.ig####.com
c-h####.g####.com
cras####.growi####.com
dn-gro####.q####.me
h####.b####.com
i####.cn
img.w####.cn
jic.talking####.com
log.r####.com
r####.wx.qq.com
s####.ml####.cc
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.growi####.com
t####.talking####.net
t.growi####.com
w####.oss-cn-####.aliy####.com
w####.w####.cn
x####.com

Запросы HTTP GET:

dn-gro####.q####.me/vds.js
img.w####.cn/upload/035d2f16-e596-4b9e-85b6-745eb1c592c1.jpg
img.w####.cn/upload/275d108b-8a2e-4e7f-ae2b-16851f5dfa8c.jpg
img.w####.cn/upload/32422504-3c34-4487-9743-0a43fa26be56.jpg
img.w####.cn/upload/9cd4fcad-a57f-48a9-94fd-487fef4f8421.jpg
img.w####.cn/upload/c1dfd3b3-5361-49ca-bb84-6834587a3b49.jpg
log.r####.com/receive/gettime
s####.tc.qq.com/open/js/jweixin-1.0.0.js
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_YJA893
t####.growi####.com/products/a7bedd1e59d5cf94/web/wmall.wochu.cn/setting...
ti####.c####.l####.####.com/config/hz-hzv3.conf
w####.w####.cn/client/v1/goods/activityTemplate?parameters=####
w####.w####.cn/h5/activityTemplate/css/common.css?v=####
w####.w####.cn/h5/activityTemplate/css/template.css?v=####
w####.w####.cn/h5/activityTemplate/html/activityPage.html?activityId=####
w####.w####.cn/h5/activityTemplate/img/ac-back.png
w####.w####.cn/h5/activityTemplate/img/ac-cart.png
w####.w####.cn/h5/activityTemplate/img/ac-share.png
w####.w####.cn/h5/activityTemplate/img/cart-btn.png
w####.w####.cn/h5/activityTemplate/img/go_top.png
w####.w####.cn/h5/activityTemplate/img/share-icon.png
w####.w####.cn/h5/activityTemplate/js/activity.js?v=####
w####.w####.cn/h5/activityTemplate/js/browser.js
w####.w####.cn/h5/activityTemplate/js/hammer.min.js
w####.w####.cn/h5/activityTemplate/js/jquery.js
w####.w####.cn/h5/css/jsTools.css?v=####
w####.w####.cn/h5/js/common.js
w####.w####.cn/h5/js/jqueryMore.js
w####.w####.cn/h5/js/jsTools.js

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
a####.w####.cn/client/v1/member/appactivation
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
h####.b####.com/app.gif
log.r####.com/receive/pkginfo
log.r####.com/receive/tkio/install
log.r####.com/receive/tkio/startup
sdk.o####.p####.####.com/api.php?format=####&t=####
t####.talking####.net/g/d

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/CookiePersistence.xml
/data/data/####/MultiDex.lock
/data/data/####/Reyun.db
/data/data/####/Reyun.db-journal
/data/data/####/TD_CHANNEL_ID.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/bugly_db_legu-journal
/data/data/####/com.wicture.wochu;pushservice.growing.db
/data/data/####/com.wicture.wochu;pushservice.growing.db-journal
/data/data/####/com.wicture.wochu_preferences.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/growingio_diagnose.xml.bak (deleted)
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/native_record_lock
/data/data/####/netflow.xml
/data/data/####/persistent_data.xml
/data/data/####/pkgInfo.xml
/data/data/####/pref_longtime.xml
/data/data/####/pref_longtime.xml.bak (deleted)
/data/data/####/pref_shorttime.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reyunchannel_interval.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share.xml
/data/data/####/talkingdata_file_prefence.xml
/data/data/####/td.lock
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_YJA893
/data/data/####/tdata_YJA893.jar
/data/data/####/tdid.xml
/data/data/####/trackAppIntall.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weibo_sdk_aid1
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.config
/data/media/####/.cuid
/data/media/####/.tcookieid
/data/media/####/0062b4bba493dcc4aa18fc46e69a409d2cbaf706d20acc....0.tmp
/data/media/####/02341871000b2bab60e983714f81571df83ffc2b61e51c....0.tmp
/data/media/####/040356e04ea16278b6c73f78e1703aad82101d17909b63....0.tmp
/data/media/####/06c92a6bf020b3ad5459ff5d0443d02ba742e24e4a8182....0.tmp
/data/media/####/0b69ac6517ccf61fcbee1796eb1f7e6396e1a2042efe00....0.tmp
/data/media/####/0d0037744d1f26d70758716a3ee42cb2e32b74142a1065....0.tmp
/data/media/####/0d3a6d08556edcf1421d8f13c0a5e27ba33b248ea9c360....0.tmp
/data/media/####/0d5ca6a3f0126b4e542bd1417227616e215df00c4070e7....0.tmp
/data/media/####/10ff6cf28aaf3863318893398e070d1fdc670ed5fbf6ff....0.tmp
/data/media/####/1107e02dfefaec1b56e9f5626ad638aabc854adf0e1a00....0.tmp
/data/media/####/1323bb1012de783aaa2d559882f78bcb393bab7f6e3f66....0.tmp
/data/media/####/1429da16c57e55f3e536bbacc7390299afe978401587bc....0.tmp
/data/media/####/150aac66db2adb62d96a5dcbc4a82e9219f4e57c57ed9b....0.tmp
/data/media/####/1c11922f31535e27389e22d541b5660aa1ceecec6f0f72....0.tmp
/data/media/####/1c510ac6140f9b879565fc5f343a4c10693c51d4f4fdf0....0.tmp
/data/media/####/1c84188ccde39b2d1fba4b89fa58392438f7780e70d397....0.tmp
/data/media/####/2612e0a31d0aa25e8e64b7610f81411b51234fa6a37852....0.tmp
/data/media/####/2982f6d04f6ae076acebcb1350a4095493eb51da128d6b....0.tmp
/data/media/####/2c789cef59144fb8e67c3096919d7c8adf37d6854281f3....0.tmp
/data/media/####/30e80161c011217cf659a6d1bda68e7dd4b20e60aa6ac2....0.tmp
/data/media/####/34601a5d1d473610dd2d0e1719bf99185c95fe097233b5....0.tmp
/data/media/####/3472e2a81772ae88d2120aee653c86493116848575e6d8....0.tmp
/data/media/####/34a9d77f945d41a048776c3b32d1befde8de34241fa483....0.tmp
/data/media/####/34cc33ad1dd87500815021b0feaa59bb58ce3cefe63f65....0.tmp
/data/media/####/35c153fa9b5eac51a10f286befb0ddb0c112cf9ea10706....0.tmp
/data/media/####/3ef78da0f133b9a92fb9de1595fbe5ca79fc0b38669be5....0.tmp
/data/media/####/4130aa44920778a7bb691417dea1900fba7ffc1cb426b6....0.tmp
/data/media/####/47040d80d003e082f1469854cff6bbe159d1b1ddcca8e9....0.tmp
/data/media/####/47f12a97889a0cc61bcc46def0f1d86a0cafa45fe67fcd....0.tmp
/data/media/####/48489318f3ea3a017b61c2b067ced42b94737f47d288ab....0.tmp
/data/media/####/495af61ee82e220b5a7f66dad6b32acb5f5b9061b8b39b....0.tmp
/data/media/####/5621da5f5e2fd2c8fb7940f813e0c24d026491d1124b78....0.tmp
/data/media/####/5c27938b0b37713db1287a78a45b4128d19d0eb0b39381....0.tmp
/data/media/####/5cda670ff9b16eb850472dc06e8aecd4122c7e8fea5e97....0.tmp
/data/media/####/5eadd08dd8fcda9dc7ef0b878122f3efc8d55b3d8b9837....0.tmp
/data/media/####/63060acd80a7cfc1acbe28e191e1a8b371458b27290163....0.tmp
/data/media/####/63c0923dd96884cae701d1fba170d552c2901105a849bb....0.tmp
/data/media/####/63cc008a34eb822597a890c1da8c3466ae3a728878781a....0.tmp
/data/media/####/65ca492e31fbf0d433343e25bd36c384078a400810b416....0.tmp
/data/media/####/661816da2d84330a2e11c8848b17ca0f0c17d154088330....0.tmp
/data/media/####/66441b8e8e2be100a4a4f4315d645636d52dcb49229235....0.tmp
/data/media/####/666990315e9045a2e176362df197838a884f51912f9954....0.tmp
/data/media/####/67b6c9b30d912a4df55e5378848141388ded5b70f66508....0.tmp
/data/media/####/7105bea0cbe56092abf56c6d36659ca250723cfe22ac74....0.tmp
/data/media/####/719dba3535e26bea4c4b1b49f45914b5ef1d58752b9187....0.tmp
/data/media/####/7220c60ff7efc045168546a047789e067902af5a541339....0.tmp
/data/media/####/73b7681c06a33c6076a150e0bd953d9f8932b216c3f395....0.tmp
/data/media/####/770cef78021243c94c729b1ce6a450d7030bf809663204....0.tmp
/data/media/####/79abf5cf644ca515eb51260b33909479d28a5812e5c18a....0.tmp
/data/media/####/7a95a68e29dd73a881dd8f6a4008d1e01f028ac3d37835....0.tmp
/data/media/####/7aca5a74f1e2d928964dc0549b50264be1f420062fa66e....0.tmp
/data/media/####/7b724e2693a64416f255741dc198e9c364454bf14d86c6....0.tmp
/data/media/####/7bb8ce8e148f2d10ecde2e00f1c55a733afa411609b3a0....0.tmp
/data/media/####/8346ffe8f783dbb88a0581f4710bc866218f587f45fb49....0.tmp
/data/media/####/83733d0e257f7d03b264f447d232ffbc836f8a905b58bc....0.tmp
/data/media/####/84a016563222234b88ddd0077fddf901445fdad60e8340....0.tmp
/data/media/####/8ac3d90d44c39971ec829996ee1e353c366b376636e4ac....0.tmp
/data/media/####/8c3e177896a996effd27ae2f528abff2fe925b0c8164ae....0.tmp
/data/media/####/8e51465c0615f086df0b55cb8e3550ebb95068691a5fb4....0.tmp
/data/media/####/8ea6b84138ff969dccee97f5e941246fde24e0523b9538....0.tmp
/data/media/####/915641c1d1b5d388f40268398d9efe78abd1653e8c03e9....0.tmp
/data/media/####/922eb34efc8b43945b748c7bd0aadd9c449593b5fd1e84....0.tmp
/data/media/####/9518220d26e9493e59ffa7aab79a14fc680ba341e95c12....0.tmp
/data/media/####/98e91566305c245261ec066524e86b6499ea722edf73f8....0.tmp
/data/media/####/9a50f8150822bf979ab51f6b14eb86cfb8c132518b09a7....0.tmp
/data/media/####/9cc9d0f8397052d63724d77d9b40b130a2ac32cf8bec2b....0.tmp
/data/media/####/a2d4101af4506dc401efe0ff6763bc2d8ebe71ad9448c9....0.tmp
/data/media/####/a35914d33d22983b2cde789e7b48b33c970d91661ce0a2....0.tmp
/data/media/####/a92d71bc81b8dbe18efab664f5a7b8f2f8bf6d70a58b05....0.tmp
/data/media/####/a954c343bd6800e5e1f6ed642ce3b1b451bd6c198a6116....0.tmp
/data/media/####/ad02171f887d9e0b4ee1257846131a9b9141a369021a62....0.tmp
/data/media/####/af12c6b93cde55c73f5c4c092a8ff52c34c32afcc5b45a....0.tmp
/data/media/####/af9a270a8889fb6d751cd1f437d689f65ed1239cfbb36f....0.tmp
/data/media/####/app.db
/data/media/####/b4d7ba95a1d0a7c4e80fc85f7c6659851f91255a640b31....0.tmp
/data/media/####/b79fbd0ccbfcba41c0caa5f322809913d7f50de0200feb....0.tmp
/data/media/####/b7e3c9cbbd32e33d2535720a87d5a597d7c6dd7e44df96....0.tmp
/data/media/####/bd0c62813c112eda6d1a45b05d3c19b93e53324f8cf2cc....0.tmp
/data/media/####/bd2cc706490fb428b4817a98ab0b4ffd068d82d1fc05bb....0.tmp
/data/media/####/c390909a0f2d569a4241316538fd78eee08c7ff9b95dec....0.tmp
/data/media/####/c8333235784d84509808cedfa7d9b17df1f28d38060e28....0.tmp
/data/media/####/cdd7eaf426f795f4f71836e2f7ec908ddec8fdd783e177....0.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.wicture.wochu.db
/data/media/####/d1051cafd57bfca3a6b53bd80d8c33ae3551a1d92d98f7....0.tmp
/data/media/####/d31ec170589d778ce9d2912d3360fda02244b8ba0984fe....0.tmp
/data/media/####/d4064c30f18196fd41cfef1a29a5877503fe2bf0b64906....0.tmp
/data/media/####/d4a5a14f2285e2af0bb87af291ff17f1bbee3a57a73c71....0.tmp
/data/media/####/d55ca59db199976741307710412de5a0cbfa413ffda408....0.tmp
/data/media/####/d688e98c5cffafd57f38705c7616b90e12084118af8af6....0.tmp
/data/media/####/d918a64a5a36063d4d36a24ccb2a33679019c48bef491c....0.tmp
/data/media/####/dc23dec4c40ce585e277aa63e9477a6fe32fb614b8e0a7....0.tmp
/data/media/####/dd35966c16e30b5e7892880ec8dd75e862b79d2feeefbd....0.tmp
/data/media/####/ddf2530db7195b4b91da48a75fd09af1635c4712c6110f....0.tmp
/data/media/####/e005293551e94f226fc1f6d7ff0811868b5b20160f4018....0.tmp
/data/media/####/e22099024af48a1ad9661811d47a274a19b32dadf5543b....0.tmp
/data/media/####/e57e939ae12be34c89d4496c60e4114bb6ff0a66d53eab....0.tmp
/data/media/####/e632790122b677dee80293cd921e3b336e029f9044ed51....0.tmp
/data/media/####/e723ba9d57417eac64beca239649f92508278e6f63b681....0.tmp
/data/media/####/e8b5ad96dd3c6c830b11122fcc28dadaa3156358141e67....0.tmp
/data/media/####/e8c0d338aeea3a58e0febe46e51182d6e6dcbba9844587....0.tmp
/data/media/####/e940c38ef350c36eccbab73749f18aa756db3919981ef7....0.tmp
/data/media/####/ed0358b4ff7e3fd2c558fc13be8d3672f34df23643563e....0.tmp
/data/media/####/eda1a9a8ae1d1a32331178561242b76c4785cd9c60d4f6....0.tmp
/data/media/####/ef15c1045256e100ac91973dc49d29c1c604c699b31c1e....0.tmp
/data/media/####/f19510a89eb347ce9bc3739556860dfac4636e466d18a0....0.tmp
/data/media/####/f8285e1178926777c7035974c11d1cda20d5fa1c0bbce8....0.tmp
/data/media/####/f966b1ccaafb57f2770539addea8608412bef58ff5838f....0.tmp
/data/media/####/fda0c605d813a55a43eb71e4f62e0785a11b5332db7468....0.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_BAI450
/data/media/####/tdata_YJA893
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24732 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24732 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
ufix
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней