Adware.Gexin.3729

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) v2.g####.qq.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) f####.f####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) img.f####.com.####.net:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) 61.55.1####.34:8088
TCP(HTTP/1.1) d.g####.qq.com:80
TCP(HTTP/1.1) 61.55.1####.1:8088
TCP(HTTP/1.1) 2####.192.139.100:8088
TCP(HTTP/1.1) c.g####.qq.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) s####.e.qq.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.exc.mob.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
c.g####.qq.com
d.g####.qq.com
f####.f####.com
img.f####.com
imgc####.qq.com
mi.g####.qq.com
p####.ugd####.com
pub-####.qin####.com
qzones####.g####.cn
s####.e.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
v.g####.qq.com
v2.g####.qq.com

Запросы HTTP GET:

c.g####.qq.com/gdt_mclick.fcg?viewid=####&jtype=####&i=####&os=####&asi=...
d.g####.qq.com/fcg-bin/gdt_appdetail.fcg?ico=####&op_appid=####
f####.f####.com/Flux4AdData.aspx?id=####&appversion=####&Type=####
img.f####.com.####.net/Novel/166x235/0/145/000145795.jpg
img.f####.com.####.net/Novel/166x235/0/163/000163482.jpg
img.f####.com.####.net/Novel/166x235/0/170/000170963.jpg
img.f####.com.####.net/Novel/166x235/0/175/000175984.jpg
img.f####.com.####.net/Novel/166x235/0/186/000186540.jpg
img.f####.com.####.net/Novel/166x235/0/187/000187205.jpg
img.f####.com.####.net/Novel/166x235/0/187/000187261.jpg
img.f####.com.####.net/Novel/166x235/0/187/000187757.jpg
img.f####.com.####.net/Novel/166x235/0/195/000195343.jpg
img.f####.com.####.net/Novel/166x235/0/195/000195864.jpg
img.f####.com.####.net/Novel/166x235/0/204/000204234.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220662.jpg
img.f####.com.####.net/Novel/166x235/0/220/000220917.jpg
img.f####.com.####.net/Novel/166x235/0/222/000222003.jpg
img.f####.com.####.net/Novel/166x235/0/222/000222380.jpg
img.f####.com.####.net/Novel/166x235/0/224/000224675.jpg
img.f####.com.####.net/Novel/166x235/0/226/000226210.jpg
img.f####.com.####.net/Novel/166x235/0/226/000226296.jpg
img.f####.com.####.net/hpic/2018/10/12/1a494aad-0bf2-49ee-b935-9eb227a40...
img.f####.com.####.net/hpic/2018/10/12/3a303561-1fd8-4b4c-953b-b1e0e1d39...
img.f####.com.####.net/hpic/2018/10/12/c30dab8c-0241-4dd7-9568-72e0ecead...
img.f####.com.####.net/hpic/2018/10/12/cb62e038-be41-4980-a55a-981f21e38...
img.f####.com.####.net/ou/2018/20180815093800.png
img.f####.com.####.net/ou/2018/20181018171433.jpg
mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.appcache
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.html
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/banner_close_b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg03.jpg
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg07.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close03.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon....
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon_...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/gdt_logo_black...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/icon-ad.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/sdk_bg.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tc-gdt-sdk-ope...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js-release/20170821/b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js/lib/require.js
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
s####.tc.qq.com/gdt/0/DAAZYMBAKAAPAAAmBaXHE3CjBNQAqd.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OABIABIAAFBbru5iAxTpVtYb.jpg/0?ck=####
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_fyR930
v.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&gap=####
v2.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
s####.e.qq.com/activate
s####.e.qq.com/click
s####.e.qq.com/msg
sdk.o####.p####.####.com/api.php?format=####&t=####
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1154778678
/data/data/####/-2042153535
/data/data/####/.duid
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/1004
/data/data/####/2289.yaqcookie
/data/data/####/384416aec342
/data/data/####/5e1e153c1e50ddae979a0bf163b795fa.temp
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/ApplicationCache.db-journal
/data/data/####/BuglySdkInfos.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MultiDex.lock
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/config.xml
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82894129.dat
/data/data/####/domain_1
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/faloodb.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libyaqbasic.82894129.so
/data/data/####/libyaqpro.82894129.so
/data/data/####/local_crash_lock
/data/data/####/mfbook.db
/data/data/####/mfbook.db-journal
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/okgo.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_fyR930
/data/data/####/tdata_fyR930.jar
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaqsdkcookie
/data/media/####/.artc_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/03bfc82ab4831a1d69e673fe8b325abe846aba76e21433....0.tmp
/data/media/####/077f72a62dd94e05032b5c35b762e2c8e0cb878e62d738....0.tmp
/data/media/####/07c2c2e851d4c80ebb75cfc5c98e2028fc0d95cd27a4dc....0.tmp
/data/media/####/0a5111c2762661efcfbe676714e5d0e17e92f6f276ff6e....0.tmp
/data/media/####/13fc1f3ad39f170b2a074f57cb326ca3e32d1854c685e4....0.tmp
/data/media/####/295a339c9deb0694b5e992b3a359c0e91ae0ce3f30e442....0.tmp
/data/media/####/2ce684809a1075e20a2be87983793862e2800f2436a194....0.tmp
/data/media/####/39ea5559b7ba2d91a77e1bf71765397fa48598c346fa04....0.tmp
/data/media/####/3f83e7181dfa91d4e644dce804a74b8e94ffa5bf9f8ae2....0.tmp
/data/media/####/5459cd550457f7105d255f77b58ed4334483cb268d8e43....0.tmp
/data/media/####/59158984e6ce0e0879d6a2516f65b67cf105deaba20a58....0.tmp
/data/media/####/67050e57357e14d4743d91c99a878fdd4466dee9bf68a2....0.tmp
/data/media/####/686e664d0c13065fb1c1fe79ee535a5ee1725e4cbde5c3....0.tmp
/data/media/####/68ee38b1566644644383dce27844daa3ccd8f38a2bec41....0.tmp
/data/media/####/6ea4ad0bfb6e56648855e95c83bdee32a8708fd67739e0....0.tmp
/data/media/####/82d8f29484598709759ff86eb65c143e0890db988f9e14....0.tmp
/data/media/####/84b1a0c3e56552fccefaa89f283e8e44f21249adedcf30....0.tmp
/data/media/####/8fc81199536eb79d78f64c99f4bc8c4952659d3903cd40....0.tmp
/data/media/####/app.db
/data/media/####/b1600b65c7af6415135346f98508296d708a2f7f8b9115....0.tmp
/data/media/####/b320cbc594099ae455328e414e37eb825dc801457d4f65....0.tmp
/data/media/####/c1059c93b0c009e12cc03a329323c5a06a24d3c5e0fcf4....0.tmp
/data/media/####/cded6fc6643ca00396dde697b0855dd70c9ab151f87f66....0.tmp
/data/media/####/ce0d280605f2fb0b8045e42ce91bc4ba110fcab3699ff2....0.tmp
/data/media/####/com.faloo.BookReader4Android.bin
/data/media/####/com.faloo.BookReader4Android.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/e809b8d2c69d554529c4cfb11150cb5c8da29096b3ff33....0.tmp
/data/media/####/eebd59681993662330ab1b7dc21608fbdc63a591acf132....0.tmp
/data/media/####/f39155358da4bdfc7bdafa97265c31c9b6a783fadc1dbf....0.tmp
/data/media/####/ff277fc27a11a08062b3cdc747ed2c8e60f1daba6f6563....0.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_bca864
/data/media/####/tdata_fyR930
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.faloo.service.getui.GeTuiPushService 25687 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat *:e *:i | grep (2289)
logcat *:e *:i | grep (2357)
logcat -d -v threadtime
mount

Загружает динамические библиотеки:

Bugly
encrypt
getuiext3
libnfix
libshella-2.9.0.2
libufix
libyaqbasic.82894129
libyaqpro.82894129
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней