Adware.Gexin.2159

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) m.t####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) www.t####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) s####.t####.com:8083
TCP(HTTP/1.1) s####.t####.com:80
TCP(HTTP/1.1) whc.t####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 1####.140.144.65:9999
TCP(HTTP/1.1) 2####.211.94.245:8083
TCP(HTTP/1.1) app.t####.com:9003
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) dc1.network####.com:443
TCP ope####.m.ta####.com:443
TCP 2####.119.218.111:80

Запросы DNS:

a####.man.aliy####.com
a####.u####.com
ag####.m.ta####.com
amdc####.m.ta####.com
api.map.b####.com
app.t####.com
dc1.network####.com
log.u####.com
m.t####.com
redi####.network####.com
s####.ml####.cc
s####.t####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
umen####.m.ta####.com
umengj####.m.ta####.com
whc.t####.com
www.t####.com

Запросы HTTP GET:

2####.211.94.245:8083/tyfoSrvEx/imagedeal?path=####
app.t####.com:9003/tebp/css/rui.css
app.t####.com:9003/tebp/css/slider.css
app.t####.com:9003/tebp/homeimg/kfqq.png
app.t####.com:9003/tebp/images/btn00.png
app.t####.com:9003/tebp/images/close.png
app.t####.com:9003/tebp/images/date.png
app.t####.com:9003/tebp/images/head1.png
app.t####.com:9003/tebp/images/header.png
app.t####.com:9003/tebp/images/icon1.png
app.t####.com:9003/tebp/images/icon2.png
app.t####.com:9003/tebp/images/icon3.png
app.t####.com:9003/tebp/images/icon4.png
app.t####.com:9003/tebp/images/text.png
app.t####.com:9003/tebp/js/newpromotion_home.js
app.t####.com:9003/tebp/promotion/promotion_bars.ac?title=####&area_id=#...
et2-na6####.wagbr####.ali####.####.com/bar/get/54913efafd98c5aa83000a46/...
m.t####.com//wap/nbh/index.htm?channelid=####&type=####
m.t####.com/wap/js/virtualRecharge/appToken.js
m.t####.com/wap/jsp/activity2018/nbh2.0/css/layer.css
m.t####.com/wap/jsp/activity2018/nbh2.0/css/rui.css
m.t####.com/wap/jsp/activity2018/nbh2.0/images/btn-1.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/btn-2.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/btn-3.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/buoy.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/footer.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/head-1.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/head-2.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/head-3.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/more0.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/nav-1.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/nav-2.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/nav-3.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/nav-4.png
m.t####.com/wap/jsp/activity2018/nbh2.0/images/nav-5.png
s####.t####.com/count/?uid=####&logo=####&j_pop=####&j_sspop=####
s####.t####.com/count/images/j.gif?5955775####
s####.t####.com/count/images/j.gif?8797158####
s####.t####.com/count/stat_c.asp?uid=3&vpage=http://m.tyfo.com//wap/nbh/...
s####.t####.com/count/stat_t.asp?uid=3&j_vt=0&j_vc=16&j_cw=741&j_lt=16&j...
s####.t####.com/count/stat_t.asp?uid=3&j_vt=0&j_vc=16&j_cw=741&j_lt=240&...
s####.t####.com/count/stat_t.asp?uid=3&vpage=http://m.tyfo.com//wap/nbh/...
s####.t####.com:8083/tyfoSrvEx/imagedeal?path=####
whc.t####.com/js/getNext.js
www.t####.com/common/js/TouchSlide.1.1.js
www.t####.com/common/js/jquery-1.11.1.min.js
www.t####.com/common/js/tui.css
www.t####.com/common/js/tui.js

Запросы HTTP POST:

a####.u####.com/app_logs
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
app.t####.com:9003/tebp/activities/activesxml.ac
app.t####.com:9003/tebp/promotion/promotion!BottomIcon.ac
app.t####.com:9003/tebp/promotion/promotion!classification.ac
app.t####.com:9003/tebp/promotion/promotion!getAdvertData.ac?callback=####
app.t####.com:9003/tebp/promotion/promotion!getPromotionData.ac?callback...
app.t####.com:9003/tebp/promotion/promotionscreen.ac
app.t####.com:9003/tebp/user/isMember.ac
app.t####.com:9003/tebp/user/youlike.ac
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/ACCS_BINDumeng;54913efafd98c5aa83000a46.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/authStatus_com.inphase.tyfo.xml
/data/data/####/authStatus_com.inphase.tyfo;channel.xml
/data/data/####/authStatus_com.inphase.tyfo;pushservice.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.inphase.tyfo_preferences.xml
/data/data/####/com.networkbench.agent.impl.v2_com.inphase.tyfo.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/f_000046
/data/data/####/f_000047
/data/data/####/f_000048
/data/data/####/f_000049
/data/data/####/f_00004a
/data/data/####/f_00004b
/data/data/####/f_00004c
/data/data/####/f_00004d
/data/data/####/f_00004e
/data/data/####/f_00004f
/data/data/####/f_000050
/data/data/####/f_000051
/data/data/####/f_000052
/data/data/####/f_000053
/data/data/####/f_000054
/data/data/####/f_000055
/data/data/####/f_000056
/data/data/####/f_000057
/data/data/####/f_000058
/data/data/####/f_000059
/data/data/####/f_00005a
/data/data/####/f_00005b
/data/data/####/f_00005c
/data/data/####/f_00005d
/data/data/####/f_00005e
/data/data/####/f_00005f
/data/data/####/getui_sp.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/index
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu475163471.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/persistent_data.xml
/data/data/####/pushsdk.db-journal
/data/data/####/tyfo.db
/data/data/####/tyfo.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/-1334065981
/data/media/####/-1374848754
/data/media/####/-455255855
/data/media/####/-997319004
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/1856496153
/data/media/####/2a67925fab5d423c845cd6b5db71d30c
/data/media/####/3217aa6c01914c468d2bbb9d7725d899
/data/media/####/32dff3cc78154aa2a1bf873371928e49
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/c9e494fb154a4a3d97b348323c3a0410
/data/media/####/deviceToken
/data/media/####/journal.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:54913efafd98c5aa83000a46","utdid":"W46SFflC+9cDAGdzx1FBZb6f","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu475163471.so
sh

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_1_1
getuiext2
libjiagu475163471
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней