Adware.Gexin.3921

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.w####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 163.vgu####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 39.1####.54.68:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(TLS/1.0) pass####.s####.cn:443
TCP(TLS/1.0) statson####.pu####.b####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) api.tui####.b####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP(TLS/1.0) cap####.appl####.com:443
TCP sdk.o####.t####.####.com:5224
TCP sa8.tui####.b####.com:5287
TCP 4####.62.94.2:443
TCP c####.g####.ig####.com:5226
TCP 47.74.1####.155:5222

Запросы DNS:

163.vgu####.com
7j####.c####.z0.####.com
a####.exc.mob.com
a####.tui####.b####.com
a####.u####.com
and####.b####.qq.com
api.s####.mob.com
api.tui####.b####.com
c####.g####.ig####.com
c-h####.g####.com
cap####.w####.com
pass####.s####.cn
pass####.w####.cn
pub-####.qin####.com
regi####.xm####.xi####.com
reso####.msg.xi####.net
sa8.tui####.b####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.w####.com
statson####.pu####.b####.com

Запросы HTTP GET:

163.vgu####.com/img/icon-160.png
163.vgu####.com/priapi1/my_info?myversion=####&myclient=####
163.vgu####.com/priapi1/set_push_info/?channel_name=####&device_model=##...
163.vgu####.com/pubapi1/advert_one?position=####&myversion=####&myclient...
163.vgu####.com/pubapi1/advert_one?position=####&myversion=####&token=##...
163.vgu####.com/pubapi1/cert_no?myversion=####&token=####&myclient=####
163.vgu####.com/pubapi1/comment_list?feed_id=####&myversion=####&myclien...
163.vgu####.com/pubapi1/get_baogao?myversion=####&token=####&myclient=####
163.vgu####.com/pubapi1/get_blog_list?myversion=####&token=####&myclient...
163.vgu####.com/pubapi1/get_feed_info?feed_id=####&myversion=####&myclie...
163.vgu####.com/pubapi1/get_index_feed_select?limit=####&lt_gt=####&myve...
163.vgu####.com/pubapi1/get_pay_info/?myversion=####&token=####&myclient...
163.vgu####.com/pubapi1/get_puber_info?puber_id=####&myversion=####&mycl...
163.vgu####.com/pubapi1/get_pubers/?limit=####&myversion=####&page=####&...
163.vgu####.com/pubapi1/get_stock_notice_list?myversion=####&token=####&...
163.vgu####.com/upload/feed/2018/10/10/030fdbd017658eb0dddf2d0551c343ba....
163.vgu####.com/upload/feed/2018/10/10/6302635bb4c823256ba9fb9aab207f1f....
163.vgu####.com/upload/feed/2018/10/22/201810221653481297.jpg
163.vgu####.com/upload/feed/2018/10/22/201810221653486339.jpg
163.vgu####.com/upload/feed/2018/10/22/201810221653486498.jpg
163.vgu####.com/upload/feed/2018/10/23/0cd27f1e74c0d4ceeaf30a1095509a9a....
163.vgu####.com/upload/feed/2018/10/23/201810230955515108.jpg?size=####
163.vgu####.com/upload/feed/2018/10/23/201810231302281650.jpg
163.vgu####.com/upload/feed/2018/10/23/201810231302288910.jpg
163.vgu####.com/upload/feed/2018/10/23/201810231302289125.jpg
163.vgu####.com/upload/feed/2018/10/23/34f389a671536eb19453ef54cabbdd23....
163.vgu####.com/upload/feed/2018/10/23/c518c72b1ed2e7884a4e6226db70ff44....
163.vgu####.com/upload/feed/2018/10/23/f5465284fda231315cfb596743ae115a....
163.vgu####.com/upload/feed/2018/10/24/201810240952586000.jpg
163.vgu####.com/upload/feed/2018/10/24/201810240952586664.jpg
163.vgu####.com/upload/feed/2018/10/24/fd37ef421d9cbf49c5eb088cf207ec94....
163.vgu####.com/upload/head/2018/10/201810141424032650.jpg
163.vgu####.com/upload/head/2018/9/201809141540191789.jpg
163.vgu####.com/upload/head/2018/9/201809141540504686.jpg
163.vgu####.com/upload/head/2018/9/201809141540512093.jpg
163.vgu####.com/upload/head/2018/9/201809141540513775.jpg
163.vgu####.com/upload/head/2018/9/201809141540536520.jpg
163.vgu####.com/upload/head/2018/9/201809141540539566.jpg
163.vgu####.com/upload/head/2018/9/201809141540549479.jpg
163.vgu####.com/upload/head/2018/9/201809141540549571.jpg
163.vgu####.com/upload/head/2018/9/201809141540556430.jpg
163.vgu####.com/upload/head/2018/9/201809141540566046.jpg
163.vgu####.com/upload/head/2018/9/201809141540574367.jpg
163.vgu####.com/upload/head/2018/9/201809141559228564.jpg
163.vgu####.com/upload/head/2018/9/201809261211399767.jpg
163.vgu####.com/upload/head/2018/9/201809261326513915.jpg
163.vgu####.com/upload/head/2018/9/201809291046291690.png
163.vgu####.com/upload/head/default_icon.jpg
163.vgu####.com/upload/imglib/thumb/210_140/finance_201808231523504577.jpg
163.vgu####.com/upload/imglib/thumb/210_140/finance_201808231524386280.jpg
reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
ser####.w####.com/share/mobilesdk.php?title=####&source=####&access_toke...
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_vHH584
t####.c####.q####.####.com/tdata_wmL809

Запросы HTTP POST:

163.vgu####.com/pubapi1/get_version
163.vgu####.com/pubapi1/site_info
a####.exc.mob.com/errconf
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/snsconf
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.w####.com/share/mobilesdk_uppic.php

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/01d0e8951e45dceffbd1a92fdd2925d6f3a4bb908f2add5....0.tmp
/data/data/####/04ab40685f74a3dbee481676ea9afffe3c429e7d941a51d....0.tmp
/data/data/####/0ab76e6a436fd8018b25cc2ec551b212.0.tmp
/data/data/####/0ab76e6a436fd8018b25cc2ec551b212.1.tmp
/data/data/####/0b746651abb00e7cf668f51fe1d13afc76731469630c279....0.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/20a5ff32a8ea36fb8e151b641c9ba17fbc28c99cf11f475....0.tmp
/data/data/####/22e29f9da095bf7063669f59fef924d5.0.tmp
/data/data/####/22e29f9da095bf7063669f59fef924d5.1.tmp
/data/data/####/23b57c1989d9846cb2bdbd3b855152eeaa611adc9efd9fe....0.tmp
/data/data/####/282750d7364c1695911d228895ed709f.0.tmp
/data/data/####/282750d7364c1695911d228895ed709f.1.tmp
/data/data/####/2a1082f0ca4ae5d7bef0b011fdb913679f7ad75a947cce9....0.tmp
/data/data/####/3008634238adb88024f035410ac62e3c7a14512dbef360d....0.tmp
/data/data/####/36e1cde8ceeb9ab2c9f7e370532b50e05d50f50a38d7106....0.tmp
/data/data/####/3d6fcc168256d6b00ed24b33901a5eb9698d43476130679....0.tmp
/data/data/####/3e284dfd4beadd5ffc7c094020f0f64c.0.tmp
/data/data/####/3e284dfd4beadd5ffc7c094020f0f64c.1.tmp
/data/data/####/3f6eee1a0944a0ea1d389469624cf2ab9e1b016948cff30....0.tmp
/data/data/####/4d45ac2250f8ac1d9d70a428abacfe5a.0.tmp
/data/data/####/4d45ac2250f8ac1d9d70a428abacfe5a.1.tmp
/data/data/####/50fe27ba638b526941e6193461d86d3c.0.tmp
/data/data/####/50fe27ba638b526941e6193461d86d3c.1.tmp
/data/data/####/54b32ecb58f4f280fefae71f4d21bf6f8f424f43e071bc7....0.tmp
/data/data/####/5ef415d418730776deb73482048ac8d6.0.tmp
/data/data/####/5ef415d418730776deb73482048ac8d6.1.tmp
/data/data/####/67b9cb2407911add66dde16a22158ce2d112cc551d9298e....0.tmp
/data/data/####/6a7096377d5c69c9edb4a498611835285349c07feb14d52....0.tmp
/data/data/####/704499eb050dfafafb1f522e2e525ddc5a811e7cefd88ff....0.tmp
/data/data/####/7362c308039446ccd487c3c8d612e9947e7670460fff5ab....0.tmp
/data/data/####/73bad9861f00f8761fbb5153cf29e5dfa332c5f69620d0f....0.tmp
/data/data/####/791ee212e3b4ee07c3ceb04fdcba5ad4d3a51b1e0669a54....0.tmp
/data/data/####/7b90ae8fc669b4bfcbd39ef394d8a2c86630e3a871a3e51....0.tmp
/data/data/####/7d98885149c5ba1195b4f688186caf9f2fd9e150066c7fd....0.tmp
/data/data/####/7fc5e83277bc606579ba4cc76d4e5293db87fccba596b1a....0.tmp
/data/data/####/803e4fa6b31b94f919c0aa8089046f1f4f4ae8c0aa5d92c....0.tmp
/data/data/####/8de7e6d3d921427abe3c7f1035520e973ffd8ce6e7db41f....0.tmp
/data/data/####/9ed036157ef0dc090c164955bc9ae0ca868bc67e096b1cc....0.tmp
/data/data/####/9f9ed465d88d9c73808f280bfdff835c41c39afb8c51cc1....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/XMPushServiceConfig.xml
/data/data/####/a307e021d134
/data/data/####/a350e60ae1f312ca9d685eb1edf336c2.0.tmp
/data/data/####/a350e60ae1f312ca9d685eb1edf336c2.1.tmp
/data/data/####/b16e84fa4e6c7dd4ab4026d1de295ab31983fa5572a6335....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/c7f4b6a0ab55d642aca41e6cca0eb97b.0.tmp
/data/data/####/c7f4b6a0ab55d642aca41e6cca0eb97b.1.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.baidu.pushservice.BIND_CACHE.xml
/data/data/####/com.baidu.pushservice.app_stat.xml
/data/data/####/com.jhjr.jingubang.BETA_VALUES.xml
/data/data/####/com.jhjr.jingubang.push_sync.xml
/data/data/####/com.jhjr.jingubang.self_push_sync.xml
/data/data/####/com.jhjr.jingubang.xml
/data/data/####/com.jhjr.jingubang;pushservice
/data/data/####/com.jhjr.jingubang_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/d4d50eacb3c0fb23d4024b2687baae7a50b62cf04f746ca....0.tmp
/data/data/####/d646e16d205ca67754b2f7b191b38f62.0.tmp
/data/data/####/d646e16d205ca67754b2f7b191b38f62.1.tmp
/data/data/####/d99023cd7d7738ed2702b321fcc6e4e1108536a2f64b925....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/e16e2248b7d95c2ecbcba088e4cc653385a45d281a17f58....0.tmp
/data/data/####/e564fce6fe23516b8eacb1a30441aee138aad4cfb1e47d6....0.tmp
/data/data/####/ecd26bdc32c00b637e160f18e97266cab6866e73d494838....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f1821155e1e12369ffddaa3322b93f98ff36e8a9c29f42a....0.tmp
/data/data/####/f216cb605d96f7bccdc510fb47335149.0.tmp
/data/data/####/f216cb605d96f7bccdc510fb47335149.1.tmp
/data/data/####/f9adedc892d020d3844fd5c57c3fbcf01a2e68becd82aa7....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/fc173fc3fc3b40a12fe8cbee1e7cbc67ae9be82c516ca41....0.tmp
/data/data/####/fc3cd34ca49ae1b8a7f468a0c9eda1b727dd82854e98810....0.tmp
/data/data/####/feec6176e2c6d4f8745056a5271ef6b93e6839171875002....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.bkp (deleted)
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu-930698520.so
/data/data/####/local_crash_lock
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/pst.xml
/data/data/####/push.pid
/data/data/####/pushclient.xml
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushinfo.db
/data/data/####/pushinfo.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushstat_6.0.0.db
/data/data/####/pushstat_6.0.0.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/tdata_vHH584
/data/data/####/tdata_vHH584.jar
/data/data/####/tdata_wmL809
/data/data/####/tdata_wmL809.jar
/data/data/####/tiny_data.data
/data/data/####/tiny_data.lock
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.artc_lock
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/022584ecebc2f85026d6ca9469789fa2.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jhjr.jingubang.bin
/data/media/####/com.jhjr.jingubang.db
/data/media/####/tdata_vHH584
/data/media/####/tdata_wmL809
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.wcx.oxlib.push.getui.GetuiService 24790 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-930698520.so
getprop
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.wcx.oxlib.push.getui.GetuiService 24790 300 0

Загружает динамические библиотеки:

Bugly
bdpush_V2_9
getuiext2
libjiagu-930698520

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней