Adware.Gexin.1971

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.w####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) lo####.w####.com:9443
TCP(HTTP/1.1) g####.w####.com:80
TCP(HTTP/1.1) lo####.w####.com:9442
TCP(HTTP/1.1) cms####.w####.com.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) cm####.w####.com:80
TCP(HTTP/1.1) log.w####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) awake-s####.j####.cn:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) sgv-ne####.w####.com:443
TCP(TLS/1.0) u####.j####.cn:443
TCP(TLS/1.0) l####.tbs.qq.com:443
TCP(TLS/1.0) adser####.go####.com:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.b####.qq.com
a####.w####.com
adser####.go####.com
aexcep####.b####.qq.com
and####.b####.qq.com
awake-s####.j####.cn
c####.g####.ig####.com
c-h####.g####.com
cm####.w####.com
cms####.w####.com
g####.w####.com
l####.tbs.qq.com
lo####.w####.com
log.u####.com
log.w####.com
norma-e####.m####.com
plb####.u####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sgv-ne####.w####.com
ssl.gst####.com
u####.j####.cn
u####.u####.com
up####.sdk.jig####.cn
www.go####.com
www.go####.nl
www.gst####.com

Запросы HTTP GET:

cms####.w####.com.####.com/uploads/image/20180831/2018083110141210353500...
cms####.w####.com.####.com/uploads/image/20180831/2018083110141310353500...
cms####.w####.com.####.com/uploads/image/20180831/2018083110141410353500...
cms####.w####.com.####.com/uploads/image/20180831/2018083110374610353559...
cms####.w####.com.####.com/uploads/jpg/20180314/20180314044404GA.jpg
cms####.w####.com.####.com/uploads/jpg/20180828/201808280350501034347560...
cms####.w####.com.####.com/uploads/jpg/20180828/201808280536511034374242...
cms####.w####.com.####.com/uploads/jpg/20180829/201808290212391034685238...
cms####.w####.com.####.com/uploads/jpg/20180829/201808290222551034687824...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300533311035098176...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300534301035098426...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300535201035098636...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300625331035111273...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300634171035113469...
cms####.w####.com.####.com/uploads/jpg/20180830/201808300638331035114545...
cms####.w####.com.####.com/uploads/jpg/20180831/201808311201551035195920...
cms####.w####.com.####.com/uploads/png/20180809/20180809115332uk.png
cms####.w####.com.####.com/uploads/png/20180809/20180809115658ON.png
cms####.w####.com.####.com/uploads/png/20180809/20180809115914g2.png
cms####.w####.com.####.com/uploads/png/20180809/20180809120050Tk.png
norma-e####.m####.com/android/exchange/getpublickey.do
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.w####.com/v2/ad
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
cm####.w####.com/uSystem/v1/getMoByDev
cm####.w####.com/uSystem/v1/getui/userGather
cm####.w####.com/uSystem/v1/link/getUserData
cm####.w####.com/uSystem/v3/level/list
cm####.w####.com/v1/banner/list
cm####.w####.com/v1/couponList
cm####.w####.com/v1/emptyAd/info
cm####.w####.com/v1/notice/list
cm####.w####.com/v1/publicNews/list
cm####.w####.com/v1/stationAcRules
cm####.w####.com/v1/version/patch
cm####.w####.com/v1/version/upgrade
cm####.w####.com/v2/operate/list
cm####.w####.com/v3/adNew/config
cm####.w####.com/v3/article/pgc
cm####.w####.com/v3/clientConfig/list
cm####.w####.com/v5/channel/list
cm####.w####.com/v5/linkPage/config
g####.w####.com/JsonApi.ashx
lo####.w####.com:9442/mksdk/
lo####.w####.com:9443/mkdev/
log.w####.com/v1/log/getConfig
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1505772727-518599727
/data/data/####/-1505772727-681022346
/data/data/####/-1505772727-882857438
/data/data/####/-15057727271663118309
/data/data/####/-1505772727173592797
/data/data/####/-1505772727513551288
/data/data/####/-1505772727705470373
/data/data/####/-18368152921143731967
/data/data/####/-1836815292183046623
/data/data/####/-18368152921995329118
/data/data/####/.imprint
/data/data/####/.old_file_converted
/data/data/####/0dee12ac-c67a-4242-af1b-a52c35000e8d
/data/data/####/1004
/data/data/####/1198352672-291097941
/data/data/####/1614064461-471281025
/data/data/####/1QxeHV6hIzbmr4Te1zEHEJ4RJwQ.1111607871.tmp
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/3452921575928.0
/data/data/####/356389887-156258778
/data/data/####/3563898871042933663
/data/data/####/3563898872083103147
/data/data/####/40106727562937.0
/data/data/####/429679080-1651026430
/data/data/####/4748472704470.0
/data/data/####/495cd4f7-038f-4428-8c39-0c7b2b56228f
/data/data/####/4YFRKoiXLteNxNlQs-nQ22mlY4k.-28592865.tmp
/data/data/####/50111434197011.0
/data/data/####/565685775431034297
/data/data/####/565685775600572857
/data/data/####/6275633772110.0
/data/data/####/96452e29-f3fe-426d-8407-799f6af1906d
/data/data/####/9d2c9f3c-51b0-4e6c-9966-c687dea0999e
/data/data/####/ConnPreference.xml
/data/data/####/JPdlk4Yflr-PuLHTOdxy2cJrIKo.1705325910.tmp
/data/data/####/JPushSA_Config.xml
/data/data/####/JlhPyRx4wsvteF3x_WCED80Hntg.-773812297.tmp
/data/data/####/MultiDex.lock
/data/data/####/NZZtvMeoiUK0W5M6TT12b8m3YoI.1418863662.tmp
/data/data/####/OJfNfOBgFcj8D2syePrfjl_iDBE.1132973273.tmp
/data/data/####/PscMO53RZw7OuXlOh4j0AxMQ3m8.-1383811398.tmp
/data/data/####/QKW81-roo_cY_0Y4kt3QtCBeWic.924482088.tmp
/data/data/####/WogIOOfq7ialPMoDSCQKEfYQazo.-191539026.tmp
/data/data/####/YpX30_WreDv6LS2edEL8C1AfsTg.2030593087.tmp
/data/data/####/_nohttp_cache_db.db
/data/data/####/_nohttp_cache_db.db-journal
/data/data/####/_nohttp_cookies_db.db
/data/data/####/_nohttp_cookies_db.db-journal
/data/data/####/appPackageNames_v2
/data/data/####/b201d9b2-540d-43c0-8668-0d35329c970f
/data/data/####/bf2bd654-6f24-4be9-92e6-a5be4d40b7d1
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c3JffY_NOt7F-dpdv0jQf-4tHUI.2095569196.tmp
/data/data/####/cn.jiguang.wakesdk.preferences.xml
/data/data/####/cn.jiguang.wakesdk.preferences.xml.bak (deleted)
/data/data/####/com.x.y.1.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/daemon
/data/data/####/dh6JdFVsbrzbnkOOh4oFjcPCoBE.1255423196.tmp
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/e03504f3-a4f5-4276-9f88-75820614b770
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/filedownloader.db-journal
/data/data/####/getui_sp.xml
/data/data/####/hEZCzcsaxjRJHesTK2tquh_b6Ns.-1135102919.tmp
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/hsad.db
/data/data/####/hsad.db-journal
/data/data/####/hsad.xml
/data/data/####/hsad_download.db
/data/data/####/hsad_download.db-journal
/data/data/####/hsbb.db-journal
/data/data/####/hslog.db
/data/data/####/hslog.db-journal
/data/data/####/hslog.xml
/data/data/####/i==1.2.0&&5.4_1535696640017_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/iufjklE0KP8XtTksLqquJoelIAU.-777519854.tmp
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_uncaughtexception_file
/data/data/####/k.store
/data/data/####/lBaro5dTEcvUP3kz29E0YQ7i26Y.-1595185102.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/local_crash_lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mJs6gRwM5E3VkF5TR5PujPY7g8U.1334837598.tmp
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sdk-db-journal
/data/data/####/sdk_info.xml
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/t_eQgTxCT0-fa379D97zBUxe23g.496593505.tmp
/data/data/####/tapkDaLfNXzoxprQCa3YBTECIqk.425048632.tmp
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/uhkyS87ViQwjw88Hkc7R8pvrPWc.1785373611.tmp
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/xmUHY3NfE5BnHzxRLzPcnNnwN-k.-1778674728.tmp
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.umm.dat
/data/media/####/1535696639645.db
/data/media/####/1535696644090.db
/data/media/####/1535696666981.db
/data/media/####/1535696697762.db
/data/media/####/2018-08-31.log.txt
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/com.nfyg.hsbb.bin
/data/media/####/com.nfyg.hsbb_log.txt
/data/media/####/config.ini
/data/media/####/style.data
/data/media/####/tbslog.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.carrier.name
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.region
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

Bugly
getuiext2
libimagepipeline
libnfix
libshella-2.9.0.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней