Adware.Gexin.2981

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) x####.tc.qq.com:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) wild####.q####.cn.####.net:80
TCP(HTTP/1.1) h5.newairc####.com:80
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) oss.newairc####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) cgiac####.tc.qq.com:443
TCP(TLS/1.0) bt####.v####.qq.com:443
TCP(TLS/1.0) v.qq.com.####.net:443
TCP(TLS/1.0) mp.we####.qq.com:443
TCP(TLS/1.0) h5.newairc####.com:443
TCP(TLS/1.0) 1####.217.17.110:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
and####.cli####.go####.com
bt####.v####.qq.com
c####.g####.ig####.com
c-h####.g####.com
c.appj####.com
h####.v####.qq.com
h5.newairc####.com
i.g####.cn
img.newairc####.com
l####.tbs.qq.com
m####.q####.cn
mp.we####.qq.com
oss.newairc####.com
r####.wx.qq.com
s####.ml####.cc
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
v.q####.com
vm.g####.cn

Запросы HTTP GET:

h5.newairc####.com/api/getArticleAdv?sid=####&cid=####&v=####
h5.newairc####.com/api/getComments?sid=####&rootID=####&sourceType=####&...
oss.newairc####.com/qyrb/article/201809/24/c4629838.json
oss.newairc####.com/qyrb/pic/201706/20/49d9536f-6c9f-41e8-ab1d-a83673405...
oss.newairc####.com/qyrb/pic/201706/20/d1b405b8-6282-4988-b84e-23d530261...
oss.newairc####.com/qyrb/pic/201707/06/b53cc14e-a96a-48bf-83d6-ea987b4ec...
oss.newairc####.com/qyrb/pic/201808/23/7fdb6226-fa4c-4576-bf48-40af2efec...
oss.newairc####.com/qyrb/pic/201809/24/a3e254d1-5c10-4b53-a180-06bd8aa6f...
oss.newairc####.com/qyrb/pic/201809/24/bce219ad-2cf2-47d4-8355-d4a04b2fa...
oss.newairc####.com/qyrb/pic/201809/24/ed88f043-3980-4dcb-a63e-3e928eb68...
oss.newairc####.com/qyrb/pic/201809/24/f0a54c79-25ce-48ef-93b5-c14161820...
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_vxj811
ti####.c####.l####.####.com/config/hz-hzv3.conf
wild####.q####.cn.####.net/mmbiz/a5icZrUmbV8qLa7aVNndUPfGbulEZzxnibJIenS...
x####.tc.qq.com/qqlive/images/20121119/i1353305744_1.jpg

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
h5.newairc####.com/api/event
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1312716470
/data/data/####/-1382899378
/data/data/####/-1383850979
/data/data/####/-1383850981
/data/data/####/-1383850982
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/086920d730bf02058e75fd56c9465e4fe63489fa11ee14b....0.tmp
/data/data/####/0c5723da4d3f59ad8ee0223634f964ccc0ee572a9ed6e5a....0.tmp
/data/data/####/1229155666
/data/data/####/1260175473
/data/data/####/1322215087
/data/data/####/1389023919
/data/data/####/1695857311
/data/data/####/1d54a04dfa68208e1a9888406575ba3abbf45fadba1f598....0.tmp
/data/data/####/2004867650
/data/data/####/2014325479
/data/data/####/25b692f565d84f242ed066e356a99e69fd249bec921a12f....0.tmp
/data/data/####/27fca470492f88144f9e889f38b1bfc51baabd3b8fb45e4....0.tmp
/data/data/####/2a8d981766562a515a59d9b43bcddf69e7398987e603ede....0.tmp
/data/data/####/312b1dd6bfb5596e6f7a7d5fb6e3caafc6d869a099090ca...540a.0
/data/data/####/337525857
/data/data/####/35ab2789865c5dd170fed31c284444b35da16ef34ec556c....0.tmp
/data/data/####/3859703591390480e619ef92980c73ebce95f9457066208....0.tmp
/data/data/####/386967948
/data/data/####/3b6239d557eaf316d1f6e5a6317964b9d071b230ce3f748....0.tmp
/data/data/####/3c76dd04cd243eff0d4d437234ec0d3621ee820f483099a....0.tmp
/data/data/####/3ca91da35d684aa4b101f5885957f7e8022addb0820d057....0.tmp
/data/data/####/4623384ae1af524878edcb9b6e3107a9497834c5c140ebb....0.tmp
/data/data/####/4629838_article.js
/data/data/####/49
/data/data/####/491350686
/data/data/####/492263741
/data/data/####/4b8f4a3ffc86f70e199813ed27997954ea9c7421f4f6a6b....0.tmp
/data/data/####/5d67a14534a2cc4122f9ae07d98f00048ca6a67d2550236....0.tmp
/data/data/####/62d0855b53d57704acd42286bc1154de1c3a9600a18f294....0.tmp
/data/data/####/722671268
/data/data/####/727f92ae506680a11a32685ce34eefa2dc41d5136262959....0.tmp
/data/data/####/74928d4875d04dfa9a78bcae09f27f9ebebe1b5358ac580....0.tmp
/data/data/####/7917303b383004c2b7025dff0003c3eaff00ca16c866051....0.tmp
/data/data/####/83f3b44fd31d306ac0635178a9177819d56f52ec7a42d55....0.tmp
/data/data/####/85545a2e49b827603c75b372ca7fd8192e022a5e0d032a7....0.tmp
/data/data/####/9cce51c9f52c59abbb891f8c45867f916c70db06f4e6c27....0.tmp
/data/data/####/9f00539be6203405e476369df866208eca0d1e60118d01b....0.tmp
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/QQ_3x.png
/data/data/####/a888d608dc3060b718ffdf10815cbd218688621d1683d9a....0.tmp
/data/data/####/ad_show_time.xml
/data/data/####/af3ea7c0cec57b9b5215e276123b5072a7e23238f0004b1....0.tmp
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/article.js
/data/data/####/base.css
/data/data/####/c3a23ae73a8460007969ca57fa9abf7b45546761773b4c2....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/columnId.xml
/data/data/####/core_info
/data/data/####/d0091abbbd7179dcb136833e32d6bb6960b7b26b32870fd....0.tmp
/data/data/####/d91fb1541dfb65b0122f555ee6e1c65701360b9e5921656....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db1fa3faf760cd8c856f2988e0a172ba40592ea7a41bef3....0.tmp
/data/data/####/db_founder0-journal
/data/data/####/de3f7fb5fdd38e53db76d96e59ac36d261bba06cff9faa0....0.tmp
/data/data/####/debug.conf
/data/data/####/eaa0443bbdc3913603babc3706ad410e0a8ae7ea6f2537a....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f33a6902016f515ee0a4de9513f19234b4c1feba6c67366....0.tmp
/data/data/####/f6390a221a6fc8fb382b871fd5043bba1b485785775c20a....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/fb4f5fb0e3fcefa5f2af49657b701cace76e441871b97e1....0.tmp
/data/data/####/file__0.localstorage-journal
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/gx_sp.xml
/data/data/####/helpMsg.xml
/data/data/####/https_v.qq.com_0.localstorage-journal
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_praise.png
/data/data/####/icon_praiseStar.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/journal.tmp
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.min.js
/data/data/####/libjiagu.so
/data/data/####/loading.png
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/news_detail.html
/data/data/####/persistent_data.xml
/data/data/####/play.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/shareTimeline_3x.png
/data/data/####/sina_3x.png
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wx_3x.png
/data/media/####/.nomedia
/data/media/####/app.db
/data/media/####/com.founder.qingyuan.bin
/data/media/####/com.founder.qingyuan.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 25042 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 25042 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
RSA
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней