Adware.Gexin.2943

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) app.s####.v89.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) i####.v89.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 2####.58.212.142:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.u####.com
and####.b####.qq.com
app.s####.v89.com
c####.g####.ig####.com
c-h####.g####.com
i####.v89.com
loc.map.b####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

i####.v89.com/group1/M00/00/00/rBIy0luDk0uATz1MAAH06MpE2CY559_290*290.png
i####.v89.com/group1/M00/00/00/rBIy0luHgseAIp9LAAYyHDVjoUM310_640*640.png
i####.v89.com/group1/M00/00/00/rBIy0luQ01aAFHeWAAAgWzxS89Q362_162*162.jpg
i####.v89.com/group1/M00/00/00/rBIy0luQ04KAE_IgAAAkQ2-1kgM828_162*162.jpg
i####.v89.com/group1/M00/00/00/rBIy0lubWrqAL2xCAAEECS12AxA363_640*300.png
i####.v89.com/group1/M00/00/00/rBIy0luhvhGATsSGAABjKM6-su4854_320*120.png
i####.v89.com/group1/M00/00/00/rBIy0lujRBqAHXlcAABVofcrX10437_640*240.jpg
i####.v89.com/group1/M00/07/9B/rBAA11sMwBiANLUeAAdpPW2XGDE084_800*800.png
i####.v89.com/group1/M01/00/00/rBIy0ltNReKAbabqAAEjardKnKI200_600*240.png
i####.v89.com/group1/M01/00/00/rBIy0luDk1iAUQCdAAH2cT9tCBY154_290*290.png
i####.v89.com/group1/M01/00/00/rBIy0luDptiALYKsAAfPFMwOqCE897_600*600.png
i####.v89.com/group1/M01/00/00/rBIy0luErkKAYPZkAACZvZyNzxg308_290*290.png
i####.v89.com/group1/M01/00/00/rBIy0luQ01uAZWMzAAAmbL_YmL8036_162*162.jpg
i####.v89.com/group1/M01/00/00/rBIy0luR36mANdG_AAB7cfHC-r4217_600*240.jpg
i####.v89.com/group1/M01/00/00/rBIy0lubWdaAZsfDAABg6cL90p4461_640*300.jpg
i####.v89.com/group1/M01/00/00/rBIy0luhvheAXPqbAABqdk93WWA504_320*120.png
i####.v89.com/group1/M01/07/9B/rBAA11sMvg-ASqAxAAX8JzgxdG8849_800*800.png
i####.v89.com/group1/M02/00/00/rBIy0luDYIKAdschAACGrICqi6U925_290*290.png
i####.v89.com/group1/M02/00/00/rBIy0luDk2qAa6LcAAGbHDXbx9M077_290*290.png
i####.v89.com/group1/M02/00/00/rBIy0luErk-AXFJNAAG3wMU1_Ik960_290*290.png
i####.v89.com/group1/M02/00/00/rBIy0luQ02CAdxHlAAAiotjkvcE244_162*162.jpg
i####.v89.com/group1/M02/00/00/rBIy0lugoXCAQUAnAAadTXaIY2k286_640*300.png
i####.v89.com/group1/M02/00/00/rBIy0luhurWAa_SjAAEvJjXkL74836_600*240.png
i####.v89.com/group1/M02/07/9B/rBAA11sNJDGAKPGxAAlMr8_hfeg435_800*800.png
i####.v89.com/group1/M02/07/9B/rBAA11sWAOqAR9BHAApnVxHCOBw369_800*800.png
i####.v89.com/group1/M03/00/00/rBIy0luDYJKADaLtAACN_lp77lw877_290*290.png
i####.v89.com/group1/M03/00/00/rBIy0luDk3eAf0G5AAGcMd5id0o103_290*290.png
i####.v89.com/group1/M03/00/00/rBIy0luErlqAZUxqAAHAGrnD9oY594_290*290.png
i####.v89.com/group1/M03/00/00/rBIy0luFAjyADZ1EAAhNX4tQY_g781_640*640.png
i####.v89.com/group1/M03/00/00/rBIy0luQ02WASJUBAAAmBz7rz9w266_162*162.jpg
i####.v89.com/group1/M03/00/00/rBIy0luR37qAJl3_AABT8B-05L0052_600*240.jpg
i####.v89.com/group1/M03/00/00/rBIy0luhwXyAa1npAAByxJsGZU8168_320*120.png
i####.v89.com/group1/M04/00/00/rBIy0luDYJ-AGE-gAAHb81XnRf8544_600*600.png
i####.v89.com/group1/M04/00/00/rBIy0luErmSAXbWvAAHFHmmNHa0212_290*290.png
i####.v89.com/group1/M04/00/00/rBIy0luQ02qACjIeAAAiGTnepTo956_162*162.jpg
i####.v89.com/group1/M04/00/00/rBIy0luR386AQH7LAABmerQ1Hzc354_600*240.jpg
i####.v89.com/group1/M04/07/9B/rBAA11sNJF6ANfU0AAjHhcrdZPs157_800*800.png
i####.v89.com/group1/M04/07/9B/rBAA11sWAQmALIROAAn-t9av9x4940_800*800.png
i####.v89.com/group1/M05/00/00/rBIy0luDYKiAVMiNAAB218k8jRo817_290*290.png
i####.v89.com/group1/M05/00/00/rBIy0luGNW6APiaLAAf_6V23HlA620_640*640.png
i####.v89.com/group1/M05/00/00/rBIy0luQ026AZdBMAAAhn1Qf7R4734_162*162.jpg
i####.v89.com/group1/M05/00/00/rBIy0luR39iAOnJHAAB_8s1KI7M923_600*240.jpg
i####.v89.com/group1/M05/00/00/rBIy0luhvbuAMm0KAAC8EijKvL4679_320*240.png
i####.v89.com/group1/M05/07/9B/rBAA11sMwOWABdDKAAjGMkrsbUI598_800*800.png
i####.v89.com/group1/M06/00/00/rBIy0luDYLaAW-l9AABrAVV1RQI866_290*290.png
i####.v89.com/group1/M06/00/00/rBIy0luGL-6AV86OAAglSyjdS8s108_640*640.png
i####.v89.com/group1/M06/00/00/rBIy0luQ03OASRGKAAAjlUO243E468_162*162.jpg
i####.v89.com/group1/M06/00/00/rBIy0luR3-2AMN-TAABstoFLdls401_600*240.jpg
i####.v89.com/group1/M06/00/00/rBIy0lugojWAMxv8AAadTXaIY2k286_640*300.png
i####.v89.com/group1/M06/00/00/rBIy0luhvciAEqHhAABqdk93WWA486_320*120.png
i####.v89.com/group1/M07/00/00/rBIy0luDYMSAR7LCAABZJ5-5_QY695_290*290.png
i####.v89.com/group1/M07/00/00/rBIy0luQ03eAVJgaAAAlbejePQ4579_162*162.jpg
i####.v89.com/group1/M07/00/00/rBIy0lubhd6AcJGsAABg6cL90p4234_640*300.jpg
i####.v89.com/group1/M07/00/00/rBIy0lugokKACdA0AABy4ih91OY818_640*300.jpg
i####.v89.com/group1/M07/00/00/rBIy0lui7lWATA8pAADJnD-Ch0s852_600*240.png
i####.v89.com/group1/M07/07/9B/rBAA11sWAKKAWLCLAAj5kSGrKhM414_800*800.png
i####.v89.com/group1/M07/07/9B/rBAA11sWASSAff6tAAafjdswWlU610_800*800.png
i####.v89.com/group1/M08/00/00/rBIy0luEw0SAAOO1AAaDdhE-Agg855_600*600.png
i####.v89.com/group1/M08/00/00/rBIy0luHg7iAE1T-AAcC3P7lHOc111_640*640.png
i####.v89.com/group1/M08/00/00/rBIy0luQ03uADQ_2AAAlZsrzpe8199_162*162.jpg
i####.v89.com/group1/M08/00/00/rBIy0luhvgmAIcPhAAC8EijKvL4878_320*240.png
i####.v89.com/group1/M08/00/00/rBIy0lui7mOADTZ0AAEF6Pk2Kss509_600*240.png
i####.v89.com/group1/M08/00/00/rBIy0lujRAiAQQ1vAABVofcrX10642_640*240.jpg
i####.v89.com/group1/M08/00/00/rBIy0lujVh-AUEXgAACsoUyMq-Y492_162*162.png
i####.v89.com/group1/M08/07/9B/rBAA11sMvO-AYv9zAAgQ-8VvyeU526_800*800.png
i####.v89.com/group1/M08/07/9B/rBAA11sMvvGAbLMMAAVXsTD2fpM598_800*800.png
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_iGj879
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async?aid=####
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
app.s####.v89.com/appInvite/getIsInviteFriend
app.s####.v89.com/community/getCartInfoByGoodsInfo
app.s####.v89.com/community/getCommunityServicePhone
app.s####.v89.com/community/getDistributionCommunityList
app.s####.v89.com/community/getMyStoreOrderCount
app.s####.v89.com/community/getNewCommodityCategoryList
app.s####.v89.com/community/getNewCommodityPage
app.s####.v89.com/community/getVersion
app.s####.v89.com/community/getWebHomePageMenus
app.s####.v89.com/community/homePage
app.s####.v89.com/community/touristLogin
c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/488992e62cc0
/data/data/####/Hawk
/data/data/####/Hawk-journal
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.ydh.wuye.BETA_VALUES.xml
/data/data/####/com.ydh.wuye_preferences.xml
/data/data/####/com.ydh.wuye_preferences.xml.bak
/data/data/####/crashrecord.xml
/data/data/####/db_default_job_manager-journal
/data/data/####/disk_entries_list_LinJuImagePipelineCacheDefaul...54.xml
/data/data/####/disk_entries_list_LinJuImagePipelineCacheSmall_...03.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu-675290566.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_iGj879
/data/data/####/tdata_iGj879.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/-10441855471758659187
/data/media/####/-1516168681315621134
/data/media/####/-1601062257-1108068484
/data/media/####/-1850023988-1190700458
/data/media/####/-744383834364732069
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/0FNdpjXkULWJL07lxqrYLAHgsxw.-1594254409.tmp
/data/media/####/1116542598573509635
/data/media/####/15600381531547800073
/data/media/####/1989986458-1271095828
/data/media/####/19899864581874529506
/data/media/####/2530822791328946579
/data/media/####/39e50d7b694da48e862c8cc9a4b7cfe6.0.tmp
/data/media/####/3LLF18xX9mFKrpYIlmUNlwxe3Fc.482429231.tmp
/data/media/####/43c9ea35aa17f6609feb9989480625c8.0.tmp
/data/media/####/4f59fe53fd33e9c84d5e4caca6536af6.0.tmp
/data/media/####/53ef666fbd9fa108abc0c31ebb989645.0.tmp
/data/media/####/6330584661731112048
/data/media/####/7hNQafDgGo0cmqAxwgBuYR3qocY.690329215.tmp
/data/media/####/850f8d10f57fa5564bd4b6a35abe083a.0.tmp
/data/media/####/9GjoFu1HOqe3-AwE8Bxx5yAdBSI.1534553547.tmp
/data/media/####/9d6e7df767e59252911511d8cfc33dfc.0.tmp
/data/media/####/AGrxcZmEnHUN5wWaY-bkj7ERFOU.-430510060.tmp
/data/media/####/AR7z38O5t1YGPeyGZNMylGz7gRk.-737285553.tmp
/data/media/####/CAdN9wiHkjcNJ1m-7OudFHkewm0.-1046366600.tmp
/data/media/####/EKBfsPOa--brZk_ej4k5OQ8xjtQ.353864720.tmp
/data/media/####/FYFvzwst4SGOikcr0k-h7BKPdLA.473204172.tmp
/data/media/####/GX6upxEXFFAy6Oo_ETHWHTa0Sfo.-1475697205.tmp
/data/media/####/Hdupk0NaxhIwayfH3sHn4re3sLI.2001304995.tmp
/data/media/####/Hp1VotGDoJIxLj_rfSbPN2MQneo.-445549801.tmp
/data/media/####/Ixcb1wVCbKA3l3P5HGkEAcAT580.1285605249.tmp
/data/media/####/Jgcn5IxFVhnv-s1dJfm05bj2Kes.-1214139704.tmp
/data/media/####/Jrmr1niSMxwu8Bhc8qKoZ7JfKMA.1698731186.tmp
/data/media/####/LOGq0al1xGNv_B52djiuCR3mQyo.-43079170.tmp
/data/media/####/N3NibXZ_J-rJMb6uj8aLZqF2CNg.-208375683.tmp
/data/media/####/NNzShjh-qq1ak4J2WntKE9sQcLs.-744520829.tmp
/data/media/####/PYDXEAiXVHthEGxRwKNJf18m_00.1787676930.tmp
/data/media/####/Q2NMuPl2bcb1G5hIU-Ti8FQtzt8.-1760806144.tmp
/data/media/####/SW2jnqF6DLHc6HVPwpvXc0m-bUQ.481438336.tmp
/data/media/####/VDZ1zDYv3f8yuQjz4YMxys8Psps.1212707249.tmp
/data/media/####/VmtfBHIHuiTQh0DeiafkqjPQFYo.-668827999.tmp
/data/media/####/W2C3pLf9zNkx38X4X3PoMxU314U.1053507808.tmp
/data/media/####/WEaCofz39hKYodEFn9_FRDlSkIo.760611536.tmp
/data/media/####/XdUDeDAG-dxukR_PdjsXpcFp5hI.-758940724.tmp
/data/media/####/YEe7oi7bCD3Di8PQcLaGJOwmXMo.996538176.tmp
/data/media/####/aV1yUkcGTASQ8PyQ7KFOUlbIUsY.-1583832298.tmp
/data/media/####/app.db
/data/media/####/b52b57c758811f1229f7b8adfe80a177.0.tmp
/data/media/####/bIWCXVmne1Volzu4xoQqy3GkvW8.-2111119478.tmp
/data/media/####/c5e6eb44b85a9c1576c8d1efabd9298.0.tmp
/data/media/####/chi4ynwDIVrL1Qbnuk4K-RqXD0c.2017162383.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.ydh.wuye.bin
/data/media/####/com.ydh.wuye.db
/data/media/####/conlts.dat
/data/media/####/cyi3dDcgj3FAFrsPvpHVGBIempM.721982544.tmp
/data/media/####/d06lWF8bAqu1QCTTSi9R9Y3ggwQ.-1736046361.tmp
/data/media/####/d2245f659450a0cd65ef73f343cc6ba3.0.tmp
/data/media/####/dAx71n7MGqup09uSj-iBhLoOxiQ.1477917318.tmp
/data/media/####/fc662b50c5c703fe5a707e455be08fdf.0.tmp
/data/media/####/gG-PNeezvE0xAQ0852dJHgt0HEc.-872558737.tmp
/data/media/####/gJTwtT34xZn_8ekDSEeAm-QHuYA.-1791771767.tmp
/data/media/####/gpZPltX9Cr5dbgt73gkHYv_ERXk.-841316047.tmp
/data/media/####/hHbPkOc3lyKifGRRicn_x5eqNvk.-684585332.tmp
/data/media/####/hWy0tyyVGjTQn2Re1SGb67rfS0c.-976336410.tmp
/data/media/####/hkVJ90GMZfLajIuilHKDhj2NXeA.1925423882.tmp
/data/media/####/ipjyBN6aCDurM08Jrm1QkFNA4OY.-1079691001.tmp
/data/media/####/jOKs3an4Qie7oNz9WWDkCRoIBvU.1522901886.tmp
/data/media/####/journal.tmp
/data/media/####/kGoS7fhtXAsFaXDbwLiSn3LVacg.-1757313412.tmp
/data/media/####/kjpR0B-pqX-8LQ34F1qaU4lCqIc.1649948595.tmp
/data/media/####/kt-jYYpqDSIbO61wV73ubM43Ptw.-823800390.tmp
/data/media/####/laPQO7DZGYkvwoFwbMp9MRV04Ws.737380913.tmp
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/mFgVROHJWHLtmdrMKgqa23_4G90.70830241.tmp
/data/media/####/mzisS7QEzyniwzY28Uo6WP4zxos.-524814967.tmp
/data/media/####/nuoixYQihbcyoocXQNFfYvQsogA.779289772.tmp
/data/media/####/o9NVe3jEUFegp6Syl2fQGQGpt70.-1230288657.tmp
/data/media/####/oIEcLgbFcEyzX4f4Gq96Oj2nWTQ.397281930.tmp
/data/media/####/p7_7N-iLdTkIfEP5YQMq0cIqEbg.-471751915.tmp
/data/media/####/p9pmJORHcaGbD1m5OYRaYBCJ0y8.-527695330.tmp
/data/media/####/pSxkd4h_jO-UGViDd-PKWvKoi2Q.930896335.tmp
/data/media/####/p_g1jd7CtarEynsi4nL9fxUUc9U.166101237.tmp
/data/media/####/t7Z9KJmtGnumuzFsofy9S7NGRaA.834179430.tmp
/data/media/####/tdata_MkX219
/data/media/####/tdata_iGj879
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/w_T02l6RxkdkJ4GuTWpLqQjppdY.520283436.tmp
/data/media/####/xFoumqM2ZSeLXvDTUzu9Tq0dVcw.-2050543428.tmp
/data/media/####/yXS1nEojhtst2p082B1S8gQqJQM.-1468895691.tmp
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/media/####/yx64kP_MULcdaJgo7k5ZDQgMESc.-909530328.tmp
/data/media/####/zM7Iz8p47eADreYzBpcQwnQr0t0.1217540348.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.PushService 24194 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-675290566.so
getprop
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.receiver.PushService 24194 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
imagepipeline
libjiagu-675290566
locSDK6a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней