Adware.Gexin.2611

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) a####.xys.ren:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) 1####.215.252.48:88
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) lbs.net####.im:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) idv####.qini####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) jimoo####.xys.ren:443
TCP sdk.o####.t####.####.com:5224
TCP l####.net####.im:8080
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.m.ta####.com
a####.u####.com
a####.xys.ren
and####.b####.qq.com
api.s####.mob.com
c####.g####.ig####.com
c-h####.g####.com
c.d####.mob.com
d####.d####.mob.com
j####.xys.ren
jimoo####.xys.ren
l####.net####.im
lbs.net####.im
m.d####.mob.com
nim.qi####.com
oxyev####.bkt.clo####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
www.go####.com
www.gst####.com

Запросы HTTP GET:

a####.xys.ren/interface/uploadToqiniujimoo.php?uid=####
idv####.qini####.com/jimo-app-file/2018/2/1518158517145800.jpeg
idv####.qini####.com/jimo-app-file/2018/2/1518160514190279.jpeg
idv####.qini####.com/jimo-app-file/2018/2/1518174509267846?vframe/####
idv####.qini####.com/jimo-app-file/2018/2/1518174590995443?vframe/####
lbs.net####.im/lbs/conf.jsp?tp=####&sv=####&pv=####&id=####&k=####
m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
t####.c####.q####.####.com/tdata_imh016
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/upload/gift/20180130/gift2018013001.zip

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c-h####.g####.com/api.php?format=####&t=####
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/05523ed4c5f591da3a343523cc416dc85ccff8747e8dd0c....0.tmp
/data/data/####/090cd0adb4111d8cf9acb3d3f8cd4490fbe9592b6cafc1b....0.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/APicture.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_6a88ffcb12ede2f1408b2c464435ae7c.xml
/data/data/####/NIMSDK_Config_7c729326c29eecf450ea25afae0e8128.xml
/data/data/####/NIMSDK_Config_7c729326c29eecf450ea25afae0e8128_...6d.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf-1886600330.xml
/data/data/####/UTMCConf-709822173.xml
/data/data/####/UTMCConf675250263.xml
/data/data/####/UTMCConf760728957.xml
/data/data/####/UTMCLog-1886600330.xml
/data/data/####/UTMCLog-709822173.xml
/data/data/####/UTMCLog675250263.xml
/data/data/####/UTMCLog760728957.xml
/data/data/####/Unicorn.7c729326c29eecf450ea25afae0e8128.xml
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ccccc11a5690e3f1a8bf30f2230dfc2d.0
/data/data/####/com.xys.yiban.BETA_VALUES.xml
/data/data/####/crashrecord.xml
/data/data/####/ec705ff2311b435ac488768e964c58d3.0
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/iLt6x8pHXzvgqk-5_1czH3ov3j8.-1823303439.tmp
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu-2110713910.so
/data/data/####/local_crash_lock
/data/data/####/lock_dm
/data/data/####/lock_gt
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/msg.db-journal
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qiyu_save_7c729326c29eecf450ea25afae0e8128.xml
/data/data/####/qos.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/settingProperties.properties
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/system_config.xml
/data/data/####/tdata_imh016
/data/data/####/tdata_imh016.jar
/data/data/####/tmpd8.db-journal
/data/data/####/uJdAjwVSffNgGkH8uhWnoC3WRoo.1401211429.tmp
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unicorn#cheese#
/data/media/####/.DS_Store
/data/media/####/._.DS_Store
/data/media/####/._bangbangtang.png
/data/media/####/._dangao.png
/data/media/####/._fanchuan.png
/data/media/####/._gift
/data/media/####/._hongchun.png
/data/media/####/._huoche.png
/data/media/####/._jiezhe.png
/data/media/####/._kouhong.png
/data/media/####/._makalong.png
/data/media/####/._miantiao.png
/data/media/####/._pengqian.png
/data/media/####/._qiche.png
/data/media/####/._upload
/data/media/####/._xianglian.png
/data/media/####/._xiangshui.png
/data/media/####/._yaowan.png
/data/media/####/._yinghua.png
/data/media/####/._yuanhua.png
/data/media/####/.al
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.mps
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/12001477821471.png
/data/media/####/12851478660978.png
/data/media/####/13041478599224.png
/data/media/####/13901478661775.png
/data/media/####/1536955066817.db
/data/media/####/15481478661434.png
/data/media/####/15611477821342.png
/data/media/####/15711478595775.png
/data/media/####/15731478661112.png
/data/media/####/16181478660561.png
/data/media/####/16511478661737.png
/data/media/####/18801478660628.png
/data/media/####/18821478596629.png
/data/media/####/20001478662072.png
/data/media/####/20221478599600.png
/data/media/####/22341478662105.png
/data/media/####/22711477821459.png
/data/media/####/22891478599477.png
/data/media/####/23471478661308.png
/data/media/####/23561477819938.png
/data/media/####/23911477821622.png
/data/media/####/24481477819951.png
/data/media/####/27501477821647.png
/data/media/####/28131478598451.png
/data/media/####/28241478662227.png
/data/media/####/28501477821404.png
/data/media/####/28941478660948.png
/data/media/####/29891478598775.png
/data/media/####/30351478488457.png
/data/media/####/32111477821289.png
/data/media/####/34861477821516.png
/data/media/####/35401478599125.png
/data/media/####/36331478661984.png
/data/media/####/36641478660873.png
/data/media/####/37251478660786.png
/data/media/####/39411478662364.png
/data/media/####/40521478596032.png
/data/media/####/40941478657048.png
/data/media/####/43261477819965.png
/data/media/####/43381477821268.png
/data/media/####/43741478660690.png
/data/media/####/44041478662011.png
/data/media/####/45631477821659.png
/data/media/####/46481477821600.png
/data/media/####/46861478661461.png
/data/media/####/47121477821611.png
/data/media/####/48781478598620.png
/data/media/####/49151477821501.png
/data/media/####/50381478596677.png
/data/media/####/50561478660816.png
/data/media/####/51901477821532.png
/data/media/####/52071478597109.png
/data/media/####/53061477821543.png
/data/media/####/53561478598851.png
/data/media/####/56041478662298.png
/data/media/####/57151477821586.png
/data/media/####/59261478658462.png
/data/media/####/60171478599070.png
/data/media/####/61941478662181.png
/data/media/####/62261478598936.png
/data/media/####/63041477821420.png
/data/media/####/64961478661225.png
/data/media/####/66201478661871.png
/data/media/####/66721478596597.png
/data/media/####/67441478599747.png
/data/media/####/67761478661340.png
/data/media/####/69531478661801.png
/data/media/####/70011477821488.png
/data/media/####/72351478597022.png
/data/media/####/72471477821372.png
/data/media/####/72601478597140.png
/data/media/####/73241478660507.png
/data/media/####/73701478596715.png
/data/media/####/74141478661023.png
/data/media/####/74601477821391.png
/data/media/####/74691478660362.png
/data/media/####/76491478660594.png
/data/media/####/77231478599265.png
/data/media/####/77601478598895.png
/data/media/####/77821478599542.png
/data/media/####/78271477821633.png
/data/media/####/78391478661394.png
/data/media/####/78821478661684.png
/data/media/####/79321478661903.png
/data/media/####/79781478662140.png
/data/media/####/79911478598813.png
/data/media/####/80961477821576.png
/data/media/####/83061477821435.png
/data/media/####/84771478661648.png
/data/media/####/84931478661532.png
/data/media/####/85861478662258.png
/data/media/####/86081477821358.png
/data/media/####/86281478661596.png
/data/media/####/89041478661497.png
/data/media/####/89861478661045.png
/data/media/####/90511478598991.png
/data/media/####/90701478661366.png
/data/media/####/90951478599640.png
/data/media/####/92061478660884.png
/data/media/####/94291478599351.png
/data/media/####/94341478595904.png
/data/media/####/95001478596954.png
/data/media/####/95011477821555.png
/data/media/####/97241478595863.png
/data/media/####/97751478598555.png
/data/media/####/98381478661928.png
/data/media/####/99291478661252.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/app.db
/data/media/####/bangbangtang.png
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xys.yiban.bin
/data/media/####/com.xys.yiban.db
/data/media/####/dangao.png
/data/media/####/emoji.zip
/data/media/####/fanchuan.png
/data/media/####/gift.zip
/data/media/####/hongchun.png
/data/media/####/huoche.png
/data/media/####/jiezhe.png
/data/media/####/kouhong.png
/data/media/####/makalong.png
/data/media/####/miantiao.png
/data/media/####/nim_sdk.log
/data/media/####/pengqian.png
/data/media/####/qiche.png
/data/media/####/tdata_imh016
/data/media/####/xianglian.png
/data/media/####/xiangshui.png
/data/media/####/yaowan.png
/data/media/####/yinghua.png
/data/media/####/yuanhua.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.renxing.jimo.service.GeTuiPushService 24298 300 0
app_process /system/bin com.android.commands.pm.Pm list packages
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-2110713910.so
getprop
getprop ro.miui.ui.version.code
grep -E -v root|shell|system
pm list packages
sh
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
QPlayer
cosine
daemon_api20
getuiext2
imagepipeline
libjiagu-2110713910
neh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней