Adware.Gexin.2140

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) t.jiao####.net:80
TCP(HTTP/1.1) s####.jom####.com:80
TCP(HTTP/1.1) ms.jiao####.net:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) tj.jiao####.net:90
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) zhg.ali####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.jiao####.net:80
TCP(HTTP/1.1) a####.umengc####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) p.jiao####.net:80
TCP(HTTP/1.1) sc.zj####.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) m.jiao####.net:80
TCP(HTTP/1.1) api.mob####.mob.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) wap.n.sh####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(TLS/1.0) ae.bdst####.com.####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) api.mob####.mob.com:443
TCP(TLS/1.0) wap.n.sh####.com:443
TCP c####.g####.ig####.com:5227
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.man.aliy####.com
a####.u####.com
a####.umengc####.com
ad####.m.ta####.com
ada####.m.ta####.com
ae.bdst####.com
and####.b####.qq.com
and####.cli####.go####.com
api.jiao####.net
api.mob####.mob.com
api.s####.b####.com
c####.g####.ig####.com
c####.g####.ig####.com
c-h####.g####.com
c.c####.com
chan####.s####.com
hm.b####.com
l####.tbs.qq.com
m####.b####.com
m.jiao####.net
ms.jiao####.net
mt####.go####.com
p####.zhanz####.b####.com
p.jiao####.net
r####.wx.qq.com
s22.c####.com
sc.zj####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t.jiao####.net
tj.jiao####.net
www.jiao####.net
xiongz####.b####.com
y####.al####.com
z1.c####.com

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
api.jiao####.net/jiaodongtop/Adv/20180901/10a299c7bd261f67b235afd42418b3...
api.jiao####.net/jiaodongtop/V10/Adv/getAdv?width=####&height=####
api.jiao####.net/jiaodongtop/V10/Config/getSystemConfig
api.jiao####.net/jiaodongtop/V10/News/getBlockNews?guideid=####&related=...
api.jiao####.net/jiaodongtop/V10/News/getChannels
api.jiao####.net/jiaodongtop/V10/News/getNews?channelid=####&related=###...
api.jiao####.net/jiaodongtop/V10/Push/bindClientid?clientid=####
api.jiao####.net/jiaodongtop/V10/Round/getBids?pageSize=####
api.jiao####.net/jiaodongtop/V10/Update/checkVersion?version=####
c.c####.com/core.php?web_id=####&t=####
c.c####.com/z_stat.php?id=####
gdv.a.s####.com/api/2/topic/load?page_size=####&style=####&hot_size=####...
gdv.a.s####.com/stat/uvstat?platform=####&uuid=####&client_id=####
m.jiao####.net/a/js/toutiao/content_top.js
m.jiao####.net/images/back.png
m.jiao####.net/images/cd-top-arrow.svg
m.jiao####.net/js/common.js
m.jiao####.net/js/jquery-2.1.4.min.js
m.jiao####.net/pic/003/004/950/00300495014_f665ab30.png
m.jiao####.net/pic/003/004/951/00300495179_96b4cc98.jpg
m.jiao####.net/pic/003/004/953/00300495399_1f8ef4cf.png
m.jiao####.net/sys/online_calc.js?ver=####
ms.jiao####.net/V10/jdtt/getQuestionDetail?aid=####
ms.jiao####.net/V10/jdtt/getQuestionList?p=####&pageSize=####
ms.jiao####.net/upload/20180904/5b8df5c5d3133.jpg
p.jiao####.net/tencentshare/index.php/index/makeJssdkCode?url=http://t.j...
s####.jom####.com/push.js
s####.jom####.com/s.gif?l=/t.jiaodong.net/system/2018/09/04/013740047.sh...
sc.zj####.cn/SDJD831?ed=####
sc.zj####.cn/a6g799fhjt34SDJD831.js
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_YJA893
t.jiao####.net/css/content.css
t.jiao####.net/css/public.css
t.jiao####.net/pic/003/004/941/00300494157_47a3e9fd.jpg
t.jiao####.net/pic/003/004/950/00300495058_0a5f99a0.jpg
t.jiao####.net/pic/003/004/951/00300495179_96b4cc98.jpg
t.jiao####.net/pic/003/004/954/00300495417_1cc3a0d1.jpg
t.jiao####.net/pic/003/004/955/00300495561_i1000300000200be_fc5657a5.jpg
t.jiao####.net/pic/003/004/956/00300495654_e338eb24.jpg
t.jiao####.net/pic/003/004/957/00300495743_3cf93265.jpg
t.jiao####.net/pic/003/004/957/00300495750_03ac81ea.jpg
t.jiao####.net/pic/003/004/957/00300495793_c51bc9bc.jpg
t.jiao####.net/pic/003/004/958/00300495821_99d84810.jpg
t.jiao####.net/pic/003/004/958/00300495865_i1000300000200be_ce6561ac.jpg
t.jiao####.net/pic/003/004/958/00300495873_ecb43652.jpg
t.jiao####.net/pic/003/004/958/00300495874_789fee4c.jpg
t.jiao####.net/pic/003/004/958/00300495875_5ed29d6c.jpg
t.jiao####.net/pic/003/004/958/00300495885_906d8106.jpg
t.jiao####.net/pic/003/004/959/00300495915_610b2908.jpg
t.jiao####.net/pic/003/004/959/00300495916_6b16b6a0.jpg
t.jiao####.net/system/2018/09/04/013740047.shtml?from=####
tj.jiao####.net:90/real_calc/CalcWriteServlet?newsId=####
wap.n.sh####.com/sdk/c.js?appid=####
z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
a####.umengc####.com/app_logs
ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
and####.b####.qq.com/rqd/async
api.mob####.mob.com/conf
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
zhg.ali####.com/saveWb.json

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.vpl_lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/21c22f492aba3de8.lock
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MOBLINK_1
/data/data/####/MultiDex.lock
/data/data/####/Q0VSVC5SU0EK.txt823
/data/data/####/RefreshLayoutHeaderlivehoodfocus.xml
/data/data/####/RefreshLayoutHeaderlivehoodquestion.xml
/data/data/####/RefreshLayoutHeadernews0.xml
/data/data/####/RefreshLayoutHeadernews2001000000000000.xml
/data/data/####/RefreshLayoutHeadernews2007000000000000.xml
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/UTCommon.xml.bak (deleted)
/data/data/####/ap.Lock
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.jiaodong_preferences.xml
/data/data/####/cookie_db-journal
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libsgmainso-5.1.96.so.tmp
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/news_channels_db-journal
/data/data/####/push.pid
/data/data/####/push.xml
/data/data/####/pushext.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/register.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sp.lock
/data/data/####/system_config1.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1536046820877.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/uuid.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.artc_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/01d1afddb3e337f0001090dc5830917f5cfe81306a284d....0.tmp
/data/media/####/1be30b7c7fc3788b5a5243419395bce3406744d69540b0....0.tmp
/data/media/####/284ecd9dd426d063aede2aa36ce2eba30aa2c8f672ee6d....0.tmp
/data/media/####/6272e1972bb50cba8fcac762cf7fa1e8a338da227b9a52....0.tmp
/data/media/####/6b003b0bfa91426b0d0c1f94299e0ef197eb77f6f56ab0....0.tmp
/data/media/####/6c709c11d2d46a7b
/data/media/####/7f49dbb91225cf9f9f87691f42c51fd12bf66395dfde45....0.tmp
/data/media/####/85a2b182eb9b7b5e56867ac20c02c7a4a6878b4e8b2bbb....0.tmp
/data/media/####/8f4be5ce45984d068a07070645fb0e10e28c6e6fd9a81e....0.tmp
/data/media/####/941e4d58451610ee6f3b657a8a9f3082ca9ff917d355b3....0.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/aa53a380fcb7f8574a19acaf7314f05943c018d35c3c9c....0.tmp
/data/media/####/ad33e6ebad701adfc8159f8396214458f8d2a4ec06e2c0....0.tmp
/data/media/####/app.db
/data/media/####/b51dd51bd54e8a7ed3ae8f63c096d4ba4a3ec9d089423b....0.tmp
/data/media/####/c2b4551d17295d6291f8be424dfe8f32ecfef2fa44d336....0.tmp
/data/media/####/c7b223f885f3284207db58b29da94ab5b81393b7fbe41a....0.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jiaodong.bin
/data/media/####/com.jiaodong.db
/data/media/####/d14ad8a022d38723c743dbd62b35be578d04cb20656d82....0.tmp
/data/media/####/dd7893586a493dc3
/data/media/####/f01ccf3880d72125f90d6d3ace0442ab72c5a25a72b299....0.tmp
/data/media/####/f1daa8feaa36377c01bbbf69589b2cd499186b627eed0b....0.tmp
/data/media/####/hid.dat
/data/media/####/journal.tmp
/data/media/####/tdata_BAI450
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24208 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24208 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
sgmainso-5.1
ufix
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней