Adware.Gexin.2971

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.ehome####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) www.go####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a.a####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) inter####.ehome####.com:80
TCP(TLS/1.0) ping####.qq.com:443
TCP(TLS/1.0) a.a####.qq.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) isds####.qq.com:443
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.net:5224

Запросы DNS:

3####.qq.com
7j####.c####.z0.####.com
a####.ehome####.com
a####.ehome####.comundefined
a####.ehome####.comuploadfiles
a.a####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
inter####.ehome####.com
isds####.qq.com
loc.map.b####.com
ping####.qq.com
pp.m####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
www.go####.com

Запросы HTTP GET:

a####.ehome####.com/uploadFiles/uploadImgs/20180921/17992cf56162410f9976...
a####.ehome####.com/uploadFiles/uploadImgs/20180921/4b6570d6a0d74984b5b8...
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_bm.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_edu.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_jc.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_jdwx.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_ph.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_xd.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_ye.png
a####.ehome####.com/uploadFiles/uploadImgs/common_ic_ys.png
a####.ehome####.com/uploadFiles/uploadImgs/ico_bjbg01.png
a####.ehome####.com/uploadFiles/uploadImgs/ico_bjbg02.png
a####.ehome####.com/uploadFiles/uploadImgs/ico_kfbjbg.png
a####.ehome####.com/uploadFiles/uploadImgs/jianshen.png
a####.ehome####.com/uploadFiles/uploadImgs/kqzl_sy.png
a.a####.qq.com/o/simple.jsp?pkgname=####
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_vxj811
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.go####.com/complete/search?hl=en&client=android&q=https://a.app.qq.c...

Запросы HTTP POST:

a####.ehome####.com/datatran/server
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
inter####.ehome####.com/datatran/server
inter####.ehome####.com/datatran/server?cityid=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/H5FF191EC.xml
/data/data/####/H5FF191EC_download_dcloud.xml
/data/data/####/H5FF191EC_storages.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-2.10.1.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mobclick_agent_cached_io.dcloud.H5FF191EC100
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/start_statistics_data.xml
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.cuid
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/0.png
/data/media/####/0000000000000001.db
/data/media/####/0000000000000001.db-journal
/data/media/####/0000000000000001.db-journal (deleted)
/data/media/####/1.png
/data/media/####/2.png
/data/media/####/20180923.log
/data/media/####/3.png
/data/media/####/4.png
/data/media/####/5.png
/data/media/####/60x60.gif
/data/media/####/AlertMessage-1.3.js
/data/media/####/Databases.db-journal
/data/media/####/FontAwesome.otf
/data/media/####/aboutme.html
/data/media/####/addr_add.html
/data/media/####/addr_add.js
/data/media/####/addr_choice.html
/data/media/####/addr_choice.js
/data/media/####/addr_list.html
/data/media/####/addr_list.js
/data/media/####/addserverarea.html
/data/media/####/addservertime.html
/data/media/####/adv01.png
/data/media/####/adv02.png
/data/media/####/advertise.html
/data/media/####/agreement.html
/data/media/####/app.db
/data/media/####/app_commons.js
/data/media/####/ayiphoto_f5.png
/data/media/####/ayiphoto_ff.png
/data/media/####/bg_djq.png
/data/media/####/bg_djq_gray.png
/data/media/####/bg_orderstep.png
/data/media/####/bg_store.jpg
/data/media/####/bjservice.jpg
/data/media/####/cityselect.html
/data/media/####/cleanservice.html
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/comblist.html
/data/media/####/combservice.html
/data/media/####/commhelp.html
/data/media/####/common.js
/data/media/####/common_ic_bj.png
/data/media/####/common_ic_bm.png
/data/media/####/common_ic_clean.png
/data/media/####/common_ic_edu.png
/data/media/####/common_ic_elec.png
/data/media/####/common_ic_header.png
/data/media/####/common_ic_home.png
/data/media/####/common_ic_jc.png
/data/media/####/common_ic_ph.png
/data/media/####/common_ic_ye.png
/data/media/####/common_ic_ys.png
/data/media/####/communityconsult.html
/data/media/####/communityintroduce.html
/data/media/####/company_logo.png
/data/media/####/conlts.dat
/data/media/####/consult.html
/data/media/####/couponintroduce.html
/data/media/####/couponselect.html
/data/media/####/cuservice.html
/data/media/####/custcommunity.html
/data/media/####/description.html
/data/media/####/dn_1537742271907.apk
/data/media/####/enternotice.html
/data/media/####/evaluate.html
/data/media/####/evaluatelist.html
/data/media/####/fin.png
/data/media/####/flowerbg.jpg
/data/media/####/focus01.png
/data/media/####/focus02.jpg
/data/media/####/fold_bg_more.png
/data/media/####/font-awesome-ie7.min.css
/data/media/####/font-awesome.min.css
/data/media/####/fontawesome-webfont.bak
/data/media/####/fontawesome-webfont.eot
/data/media/####/fontawesome-webfont.svg
/data/media/####/fontawesome-webfont.ttf
/data/media/####/fontawesome-webfont.vfb
/data/media/####/fontawesome-webfont.woff
/data/media/####/fonts.zip
/data/media/####/housekitchen_detail.html
/data/media/####/housekitchen_detail.js
/data/media/####/housekitchen_list.html
/data/media/####/housekitchen_list.js
/data/media/####/housekitchen_note.html
/data/media/####/housekitchen_order.html
/data/media/####/housekitchen_order.js
/data/media/####/huodong.html
/data/media/####/huodong1.png
/data/media/####/huodong2.jpg
/data/media/####/huodong3.png
/data/media/####/ico_bjbg.png
/data/media/####/ico_orderstep.png
/data/media/####/icon_add.png
/data/media/####/icon_checked.png
/data/media/####/icon_chosradio.png
/data/media/####/icon_clock_s.png
/data/media/####/icon_close.png
/data/media/####/icon_del.png
/data/media/####/icon_dui.png
/data/media/####/icon_estar.png
/data/media/####/icon_have.png
/data/media/####/icon_jia.png
/data/media/####/icon_jian.png
/data/media/####/icon_order_s.png
/data/media/####/icon_people.png
/data/media/####/icon_radio.png
/data/media/####/icon_right.png
/data/media/####/icon_select.png
/data/media/####/icon_star.png
/data/media/####/icon_star_red.png
/data/media/####/icon_tel.png
/data/media/####/ifeng_icon.png
/data/media/####/img_polarids.png
/data/media/####/imgload.js
/data/media/####/immersed.js
/data/media/####/index.html
/data/media/####/information.html
/data/media/####/innerhtml.js
/data/media/####/io.dcloud.H5FF191EC.bin
/data/media/####/io.dcloud.H5FF191EC.db
/data/media/####/jc_orderdetail.html
/data/media/####/jc_orderdetail.js
/data/media/####/jiachu_ico01.png
/data/media/####/jiachu_ico02.png
/data/media/####/jquery-1.8.3.min.js
/data/media/####/listtemplate.html
/data/media/####/listtemplate2.html
/data/media/####/ller.dat
/data/media/####/login.html
/data/media/####/login2.html
/data/media/####/login3.html
/data/media/####/login_logo_feng.png
/data/media/####/login_man.png
/data/media/####/logo_gray.png
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/lxb.js
/data/media/####/mainbg.jpg
/data/media/####/maintainservice.html
/data/media/####/manifest.json
/data/media/####/md5.min.js
/data/media/####/mui.css
/data/media/####/mui.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/myaccount.html
/data/media/####/myaccountsub.html
/data/media/####/mycoupon.html
/data/media/####/mystyle.css
/data/media/####/net_error.html
/data/media/####/net_mui.min.js
/data/media/####/oncerecharge.html
/data/media/####/orderdetail.html
/data/media/####/orderlist.html
/data/media/####/payment.html
/data/media/####/payorderintroduce.html
/data/media/####/peixun.html
/data/media/####/plathelp.html
/data/media/####/readyorder.html
/data/media/####/readyorder.js
/data/media/####/recharge.html
/data/media/####/returnpay.html
/data/media/####/serverEmployee_list.html
/data/media/####/serverEmployee_list.js
/data/media/####/servertime.html
/data/media/####/service.html
/data/media/####/service_bg.jpg
/data/media/####/service_logo.png
/data/media/####/setting.html
/data/media/####/share.html
/data/media/####/sharedetail.html
/data/media/####/sharehuodong.html
/data/media/####/suggest.html
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/temp_jc.jpg
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/testpage.html
/data/media/####/top_housekitchen_list.js
/data/media/####/translate.png
/data/media/####/tuiguangtj.html
/data/media/####/tuiguangtjsub.html
/data/media/####/tuijian.html
/data/media/####/update.js
/data/media/####/user_banner.jpg
/data/media/####/userdetail.html
/data/media/####/usertq_ico01.png
/data/media/####/usertq_ico02.png
/data/media/####/usertq_ico03.png
/data/media/####/usertq_ico04.png
/data/media/####/washservice.html
/data/media/####/webapp.css
/data/media/####/webapp.js
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/media/####/youhui.html

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24499 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.10.1.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.10.1
libufix
locSDK6a
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней