Adware.Gexin.3809

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) log.r####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) h####.b####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t####.growi####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) a####.w####.cn:80
TCP(HTTP/1.1) w####.w####.cn:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) dn-gro####.q####.me:80
TCP(HTTP/1.1) t####.talking####.net:80
TCP(HTTP/1.1) img.w####.cn:80
TCP(TLS/1.0) w####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) jic.talking####.com:443
TCP(TLS/1.0) a####.w####.cn:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) as####.growi####.com.####.net:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) 2####.58.212.142:443
TCP(TLS/1.0) img.w####.cn:443
TCP(TLS/1.0) x####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.w####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
api.growi####.com
api.w####.com
as####.growi####.com
c####.g####.ig####.com
c-h####.g####.com
dn-gro####.q####.me
h####.b####.com
i####.cn
img.w####.cn
jic.talking####.com
log.r####.com
r####.wx.qq.com
s####.ml####.cc
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.growi####.com
t####.talking####.net
t.growi####.com
w####.oss-cn-####.aliy####.com
w####.w####.cn
x####.com

Запросы HTTP GET:

dn-gro####.q####.me/vds.js
img.w####.cn/upload/275d108b-8a2e-4e7f-ae2b-16851f5dfa8c.jpg
img.w####.cn/upload/32422504-3c34-4487-9743-0a43fa26be56.jpg
img.w####.cn/upload/9cd4fcad-a57f-48a9-94fd-487fef4f8421.jpg
img.w####.cn/upload/c1dfd3b3-5361-49ca-bb84-6834587a3b49.jpg
log.r####.com/receive/gettime
s####.tc.qq.com/open/js/jweixin-1.0.0.js
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_YJA893
t####.growi####.com/products/a7bedd1e59d5cf94/web/wmall.wochu.cn/setting...
w####.w####.cn/h5/activityTemplate/css/common.css
w####.w####.cn/h5/activityTemplate/css/template-59c779bfea.css
w####.w####.cn/h5/activityTemplate/html/activityPage.html?activityId=####
w####.w####.cn/h5/activityTemplate/img/ac-back.png
w####.w####.cn/h5/activityTemplate/img/ac-cart.png
w####.w####.cn/h5/activityTemplate/img/ac-share.png
w####.w####.cn/h5/activityTemplate/img/go_top.png
w####.w####.cn/h5/activityTemplate/img/share-icon.png
w####.w####.cn/h5/activityTemplate/js/activity-519ce8fa4d.js
w####.w####.cn/h5/activityTemplate/js/browser.js
w####.w####.cn/h5/activityTemplate/js/hammer.min.js
w####.w####.cn/h5/activityTemplate/js/jquery.js
w####.w####.cn/h5/css/jsTools.css
w####.w####.cn/h5/js/common.js
w####.w####.cn/h5/js/jqueryMore.js
w####.w####.cn/h5/js/jsTools.js

Запросы HTTP POST:

a####.w####.cn/client/v1/member/appactivation
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
h####.b####.com/app.gif
log.r####.com/receive/pkginfo
log.r####.com/receive/tkio/install
log.r####.com/receive/tkio/startup
sdk.o####.p####.####.com/api.php?format=####&t=####
t####.talking####.net/g/d

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/CookiePersistence.xml
/data/data/####/MultiDex.lock
/data/data/####/Reyun.db
/data/data/####/Reyun.db-journal
/data/data/####/TD_CHANNEL_ID.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/bugly_db_legu-journal
/data/data/####/com.wicture.wochu;pushservice.growing.db
/data/data/####/com.wicture.wochu;pushservice.growing.db-journal
/data/data/####/com.wicture.wochu_preferences.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libshella-2.9.0.4.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/native_record_lock
/data/data/####/netflow.xml
/data/data/####/persistent_data.xml
/data/data/####/pkgInfo.xml
/data/data/####/pref_longtime.xml
/data/data/####/pref_shorttime.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reyunchannel_interval.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share.xml
/data/data/####/talkingdata_file_prefence.xml
/data/data/####/td.lock
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_YJA893
/data/data/####/tdata_YJA893.jar
/data/data/####/tdid.xml
/data/data/####/trackAppIntall.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/weibo_sdk_aid1
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.config
/data/media/####/.cuid
/data/media/####/.tcookieid
/data/media/####/07f6d9bbf620d2f3789a46471546486e0f7658a546f3dd....0.tmp
/data/media/####/07f9eb0572f968ca4a1e12601b7b5e2c3489f1ce053a8b....0.tmp
/data/media/####/08f4cc48ee559816bed9755cd83ab6a47c4ef5c495d79e....0.tmp
/data/media/####/0b69ac6517ccf61fcbee1796eb1f7e6396e1a2042efe00....0.tmp
/data/media/####/0dbc509e59a504724dcc3f024528669330b2b2b8755be1....0.tmp
/data/media/####/10ff6cf28aaf3863318893398e070d1fdc670ed5fbf6ff....0.tmp
/data/media/####/127fb1254afc1c8b8f5e61b4b5bca0417b021a58e24bb8....0.tmp
/data/media/####/150aac66db2adb62d96a5dcbc4a82e9219f4e57c57ed9b....0.tmp
/data/media/####/1c510ac6140f9b879565fc5f343a4c10693c51d4f4fdf0....0.tmp
/data/media/####/1cfea52637137f61a891b28fb75a85b3496cad840cb2a8....0.tmp
/data/media/####/2982f6d04f6ae076acebcb1350a4095493eb51da128d6b....0.tmp
/data/media/####/2c8940ceb6ac3b933ea0eddcf05b0a55a332ed299da6df....0.tmp
/data/media/####/2f8f1a2ed6cac02b1df042783783d57f14a63e3ed0d2fe....0.tmp
/data/media/####/32acb88abd3056ee6b5dfead43893535d11b9460d209d6....0.tmp
/data/media/####/343afa5e35cf4525e7df656ccc42be3a3fe5509a73c678....0.tmp
/data/media/####/34cc33ad1dd87500815021b0feaa59bb58ce3cefe63f65....0.tmp
/data/media/####/3574213dae7f944647b35f95bb3f18c155f82b3ab3b385....0.tmp
/data/media/####/367b20f1b75b1d44239a8c342ebd7baa31cee27b0d8bbe....0.tmp
/data/media/####/37922b3faf1c8d1786e989fa3569b8643036cc6b19c62d....0.tmp
/data/media/####/3a2079559ac5c1c02f66ccef56c8142e9188bd599729d2....0.tmp
/data/media/####/3c238440095635acc9f50e83a857b02e490b038122822c....0.tmp
/data/media/####/3c665d1713488d564e161afda4555c40153c0f23f81994....0.tmp
/data/media/####/3ef78da0f133b9a92fb9de1595fbe5ca79fc0b38669be5....0.tmp
/data/media/####/3f61aaeb25c6e4f064dae8a347bee18844e4e9e2ba77b8....0.tmp
/data/media/####/4078497bc6ca990b4e4eda0069832b9de7714f427ea797....0.tmp
/data/media/####/46c07b7f7dfd2d6ba590d2ad55937905256cb534f1d4b2....0.tmp
/data/media/####/495af61ee82e220b5a7f66dad6b32acb5f5b9061b8b39b....0.tmp
/data/media/####/4c286b3a23732c3db7cb97afb0746eabea8b1064af6ff4....0.tmp
/data/media/####/4e5c3691894f8a961bc7e0fb4fd380566348f4263d1739....0.tmp
/data/media/####/553434dde89c0e3219b028920200b958b78932b9607be1....0.tmp
/data/media/####/55e6c202e67da1dc647076a77736c413e8691b8f98867f....0.tmp
/data/media/####/57cacb28bcbae37b56508f0ae551eb2ed88ffa1d5c9e17....0.tmp
/data/media/####/5c27938b0b37713db1287a78a45b4128d19d0eb0b39381....0.tmp
/data/media/####/5d496a8ef163e7c4ceae48cec18e232a6ef32ff0184dc4....0.tmp
/data/media/####/5f0922174c4a19af586c7abc69e627c90b20bdf3090ce7....0.tmp
/data/media/####/60e4649dedafce1d267183ac3293d886635cc005d02e4e....0.tmp
/data/media/####/61dc325d4683ea4867d333dda2682bb8582cb237b46ec7....0.tmp
/data/media/####/624496bbb09a0ee80ee0be9b220fce6e8d356c60a0bce8....0.tmp
/data/media/####/624848c85811a51e19afa5cfac66769d12d4c3f5826df0....0.tmp
/data/media/####/62ea55ad485b286b70f7b9c9ec4326a6b78022e2929f46....0.tmp
/data/media/####/63060acd80a7cfc1acbe28e191e1a8b371458b27290163....0.tmp
/data/media/####/65ca492e31fbf0d433343e25bd36c384078a400810b416....0.tmp
/data/media/####/67f48ef4d10a838ddcc8aedd4d75f8dc4e1535af48de7a....0.tmp
/data/media/####/6f1abb7b34fb34f9064d7d297a7d1e611b420743c7a003....0.tmp
/data/media/####/719dba3535e26bea4c4b1b49f45914b5ef1d58752b9187....0.tmp
/data/media/####/7a95a68e29dd73a881dd8f6a4008d1e01f028ac3d37835....0.tmp
/data/media/####/7ad3821cd215489caef12dcf8c870c6c0fa2ef2565ec91....0.tmp
/data/media/####/7ae25d9991065d2f2d0d093655372041bc5fa9dd0f2352....0.tmp
/data/media/####/7c3dd7a3656f6fac18100ccf93322e48d49cbcb7430ce6....0.tmp
/data/media/####/7cbeaac5fb26966afd2e890d167d75d69971d1aab33956....0.tmp
/data/media/####/7f311d282907b5010c342ee3c11eb10a80a75bcff0f4d1....0.tmp
/data/media/####/83848497fc6538f7c3def0fa9baea6aaadcda0f96211e0....0.tmp
/data/media/####/85f71a4c9803268b54a6802a820d4cf677cb660fac5ca9....0.tmp
/data/media/####/86cbd6b2e149ed6cbb6c0b80a777fb34f3bc6bd62207ca....0.tmp
/data/media/####/8ac3d90d44c39971ec829996ee1e353c366b376636e4ac....0.tmp
/data/media/####/8cea41ee2abd0a5155d6c5b6162c3c54d292975c9c92dd....0.tmp
/data/media/####/8dd08cb7e78ed8aa944ea61814e14415e12bd3fecc947f....0.tmp
/data/media/####/8de1fb0c17ac508495373cd8faa3cd7fc71a035b7647ed....0.tmp
/data/media/####/8e51465c0615f086df0b55cb8e3550ebb95068691a5fb4....0.tmp
/data/media/####/903ef27c3854ec0919c8a209fa3a8f14f2644eb4afec8b....0.tmp
/data/media/####/908ede7b08eb1db80df16a7fb99b88541d1541a843caf3....0.tmp
/data/media/####/915641c1d1b5d388f40268398d9efe78abd1653e8c03e9....0.tmp
/data/media/####/9518220d26e9493e59ffa7aab79a14fc680ba341e95c12....0.tmp
/data/media/####/9d6597c5bba48f29b3a9da836d8ffb6c4c73c4bdc1cdf0....0.tmp
/data/media/####/9e1206b396edb9520c6fc1a008a95bd437eaeedd7251a0....0.tmp
/data/media/####/a9e0d1ac97092ecc831a4c2cb6870b1a31943385e4adf7....0.tmp
/data/media/####/af12c6b93cde55c73f5c4c092a8ff52c34c32afcc5b45a....0.tmp
/data/media/####/af9a270a8889fb6d751cd1f437d689f65ed1239cfbb36f....0.tmp
/data/media/####/afd5a9d424965958c2dd83e750b85d83c06f8d3e7ba580....0.tmp
/data/media/####/app.db
/data/media/####/b0a5b525af0e794ccbf75d9e10f4e0a2806c79ca4e3fcc....0.tmp
/data/media/####/b36f6fdaa6fdf7b51fbaee875d35611d833378867f3d6f....0.tmp
/data/media/####/b4d7ba95a1d0a7c4e80fc85f7c6659851f91255a640b31....0.tmp
/data/media/####/b6baffbddf2ecbde1e7e116eacbe373b0e85adc3cd85f0....0.tmp
/data/media/####/b79fbd0ccbfcba41c0caa5f322809913d7f50de0200feb....0.tmp
/data/media/####/b81ae4ac554fa8302cd9777a8055e80c71c11024089c56....0.tmp
/data/media/####/ba763d0782c4d277039b86e4a327484b7bbc6204cb39fa....0.tmp
/data/media/####/bd2cc706490fb428b4817a98ab0b4ffd068d82d1fc05bb....0.tmp
/data/media/####/c04d9dc519fb43504259f07f3c36300e543132c2044b9f....0.tmp
/data/media/####/c0ab2ac9f2bc3fe5f14d305e88b25af509582d1c6fe25b....0.tmp
/data/media/####/c278d1f5609fad9cd677e7fe0721f9c198a3ac654291e4....0.tmp
/data/media/####/c5ac9cd5f6bdfc3fabae09916aaf2cb9d8b2397f100334....0.tmp
/data/media/####/c69cd0060eacb650922e0b92ba4a69aef969b565a60326....0.tmp
/data/media/####/c7178bac30042be4823de9cf4126e08271dcef2056ff4d....0.tmp
/data/media/####/c9950a1366f39815ad2cffcdbe1dff4260c69497d0b5dc....0.tmp
/data/media/####/ca7576afc61219caf62271fd38f1f61520f880cd5718a3....0.tmp
/data/media/####/caf21fcaa474580f0f0d41a25adfc93d50eefb826c4b79....0.tmp
/data/media/####/cdd7eaf426f795f4f71836e2f7ec908ddec8fdd783e177....0.tmp
/data/media/####/ce1f6ac4d7e7183993c247ed0ac87ae72875d0cd2686f3....0.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.wicture.wochu.db
/data/media/####/d0cbba356d25ac1b6ec4ff7732dda17726697ff8a3be4f....0.tmp
/data/media/####/d31f6d81f3192d42cf18a53ca516b1a8df2b0fe0d3347f....0.tmp
/data/media/####/d3941637e76d86bebeac23621b77e75d575ac8ec7c9a98....0.tmp
/data/media/####/d688e98c5cffafd57f38705c7616b90e12084118af8af6....0.tmp
/data/media/####/d876eb270859b8a9442be52f976e617f78a3f203372612....0.tmp
/data/media/####/d8f90ad363338b5011b9f59a29c2dc2b32c293e7226c93....0.tmp
/data/media/####/dda6888547db6366527eaf88b1c5e0871d1c6211e93bac....0.tmp
/data/media/####/ddd77c1540a1a58b5206ec88bed59627f45457fbd5c73f....0.tmp
/data/media/####/decc9bd8659301f1d4b3e60305b0b564db041933c2c4dd....0.tmp
/data/media/####/dffbfc8b1c0ff848c0b8eeb459b564d0629eba2c2a610c....0.tmp
/data/media/####/e22099024af48a1ad9661811d47a274a19b32dadf5543b....0.tmp
/data/media/####/e53027b5b1b1aa2125e1bc443c41ee03b360d49224b522....0.tmp
/data/media/####/e57e939ae12be34c89d4496c60e4114bb6ff0a66d53eab....0.tmp
/data/media/####/e723ba9d57417eac64beca239649f92508278e6f63b681....0.tmp
/data/media/####/e8c0d338aeea3a58e0febe46e51182d6e6dcbba9844587....0.tmp
/data/media/####/ea096237b86e3cc1d8a275016e36726be5346a96f51800....0.tmp
/data/media/####/eac3ee96d860a084b19b036552c4bec089770b8d29c2af....0.tmp
/data/media/####/ed2efe28dfec4b553f47beb4972fa154429ffbe322b646....0.tmp
/data/media/####/f0273b1937e90237e2ccc809b9ce1e624c657362161e7f....0.tmp
/data/media/####/f1d1adc49126ba12f782817025fccc41317979eaadb473....0.tmp
/data/media/####/f39d63e63ede7760a7498a58c20ececd5bdb8e23ff9d26....0.tmp
/data/media/####/f4829c94bc8a97a47ca6726c8f617c0761cc51da1dedd9....0.tmp
/data/media/####/f5327be035bddaf9f06600756a1415f646e2dd1be68348....0.tmp
/data/media/####/f78e6879302bebce78c68454aa19c8509b3738b539608a....0.tmp
/data/media/####/f8285e1178926777c7035974c11d1cda20d5fa1c0bbce8....0.tmp
/data/media/####/fb3f950ffa0c054d75e2e8a4c4d73c2da56f6a26e44e7c....0.tmp
/data/media/####/journal.tmp
/data/media/####/tdata_BAI450
/data/media/####/tdata_YJA893
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24732 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.4.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24732 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
leguhelper
libshella-2.9.0.4
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней