Adware.Gexin.4548

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) st####.t####.cn:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) we####.g####.sina####.com:443

Запросы DNS:

a####.man.aliy####.com
aexcep####.b####.qq.com
and####.b####.qq.com
hu####.hybrid
st####.t####.cn
ws1.sin####.cn

Запросы HTTP GET:

st####.t####.cn/webapp/tutorial_static/taobao/android/fresh_guide_1.jpg
st####.t####.cn/webapp/tutorial_static/taobao/universal/fresh_guide_star...

Запросы HTTP POST:

aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/1002
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/ZfcSr358tFn3VZpbVBo727iVWC0.2118379353.tmp
/data/data/####/abstract.app.js
/data/data/####/abstract.entity.js
/data/data/####/abstract.model.js
/data/data/####/abstract.storage.js
/data/data/####/abstract.store.js
/data/data/####/abstract.view.js
/data/data/####/alitrip.png
/data/data/####/amoney.css
/data/data/####/amoney.html
/data/data/####/amoney.js
/data/data/####/amoney_tip.gif
/data/data/####/api.js
/data/data/####/app.ui.header.html
/data/data/####/app.ui.header.js
/data/data/####/back.js
/data/data/####/background-header.png
/data/data/####/bg-hd-daily-sign.png
/data/data/####/bg-hd-sign-alert.png
/data/data/####/bind_wechat.css
/data/data/####/bind_wechat.html
/data/data/####/bind_wechat.js
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/buy_tip.css
/data/data/####/buy_tip.html
/data/data/####/buy_tip.js
/data/data/####/c.geolocation.js
/data/data/####/c.highlight.js
/data/data/####/c.user.js
/data/data/####/c.validate.js
/data/data/####/cash.png
/data/data/####/cash_extract.css
/data/data/####/cash_extract.html
/data/data/####/cash_extract.js
/data/data/####/change_alipay.html
/data/data/####/change_alipay.js
/data/data/####/change_email.html
/data/data/####/change_email.js
/data/data/####/change_gender.html
/data/data/####/change_gender.js
/data/data/####/change_mobile.html
/data/data/####/change_mobile.js
/data/data/####/change_password.html
/data/data/####/change_password.js
/data/data/####/change_qq.html
/data/data/####/change_qq.js
/data/data/####/change_tbusername.html
/data/data/####/change_tbusername.js
/data/data/####/change_username.css
/data/data/####/change_username.html
/data/data/####/change_username.js
/data/data/####/check_vcode_tip.png
/data/data/####/close_page.js
/data/data/####/com.shanjing.fanli.BETA_VALUES.xml
/data/data/####/com.shanjing.fanli_preferences.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/common_tool.js
/data/data/####/complete_imformation.css
/data/data/####/complete_imformation.html
/data/data/####/complete_imformation.js
/data/data/####/config
/data/data/####/costomer_service.js
/data/data/####/coupon_search.css
/data/data/####/coupon_search.html
/data/data/####/coupon_search.js
/data/data/####/crashrecord.xml
/data/data/####/daily_sign.css
/data/data/####/daily_sign.html
/data/data/####/daily_sign.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/deal_after_login.js
/data/data/####/dropload.css
/data/data/####/dropload.min.js
/data/data/####/error.css
/data/data/####/error.html
/data/data/####/error.js
/data/data/####/error.png
/data/data/####/eye-close-min.png
/data/data/####/eye-open-min.png
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/fanli-min.png
/data/data/####/fastclick.js
/data/data/####/feedback.css
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/feedback_success.css
/data/data/####/feedback_success.html
/data/data/####/feedback_success.js
/data/data/####/find.css
/data/data/####/find.html
/data/data/####/find.js
/data/data/####/find_jd.css
/data/data/####/find_jd.html
/data/data/####/find_jd.js
/data/data/####/focus_input.js
/data/data/####/fresh_guide_1.jpg
/data/data/####/fresh_guide_start.jpg
/data/data/####/get_data.js
/data/data/####/get_query_string.js
/data/data/####/global.css
/data/data/####/go_page.js
/data/data/####/gruntcfg.json
/data/data/####/guide.html
/data/data/####/homepage-dialog-logo-min.png
/data/data/####/homepage.css
/data/data/####/homepage.html
/data/data/####/homepage.js
/data/data/####/hongbao-min.png
/data/data/####/hongbao.css
/data/data/####/hongbao.html
/data/data/####/hongbao.js
/data/data/####/how_get_alipay.png
/data/data/####/httpdns_config_cache.xml
/data/data/####/hybrid_data_version
/data/data/####/hybrid_to_nohybrid.html
/data/data/####/hybrid_to_nohybrid.js
/data/data/####/icon-more.png
/data/data/####/iconfont.eot
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/image_default.jpg
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/index_extend.css
/data/data/####/init_page.js
/data/data/####/introduce.png
/data/data/####/item-alert.png
/data/data/####/item-wechat.png
/data/data/####/jd_getting_order.css
/data/data/####/jd_getting_order.html
/data/data/####/jd_getting_order.js
/data/data/####/jd_goods_detail.css
/data/data/####/jd_goods_detail.html
/data/data/####/jd_goods_detail.js
/data/data/####/jd_success.css
/data/data/####/jd_success.html
/data/data/####/jd_success.js
/data/data/####/jifenbao.png
/data/data/####/jifenbao_extract.html
/data/data/####/jifenbao_extract.js
/data/data/####/jifenbao_extract_banner.png
/data/data/####/jquery.marquee.min.js
/data/data/####/jquery.min.js
/data/data/####/lazy_load.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/load_more.js
/data/data/####/local_crash_lock
/data/data/####/logo.png
/data/data/####/main.js
/data/data/####/mall.css
/data/data/####/mall.html
/data/data/####/mall.js
/data/data/####/mall_list.css
/data/data/####/mall_list.html
/data/data/####/mall_list.js
/data/data/####/mall_search.css
/data/data/####/mall_search.html
/data/data/####/mall_search.js
/data/data/####/md5.min.js
/data/data/####/mix.dex
/data/data/####/module.view.js
/data/data/####/multiple_account.css
/data/data/####/multiple_account.html
/data/data/####/multiple_account.js
/data/data/####/multiple_account_detail.css
/data/data/####/multiple_account_detail.html
/data/data/####/multiple_account_detail.js
/data/data/####/my_wallet.css
/data/data/####/my_wallet.html
/data/data/####/my_wallet.js
/data/data/####/native_record_lock
/data/data/####/net_check.js
/data/data/####/net_error.css
/data/data/####/net_error.html
/data/data/####/net_error.js
/data/data/####/no-data.png
/data/data/####/openapp.js
/data/data/####/quicklogin-qq-min.png
/data/data/####/quicklogin-renren-min.png
/data/data/####/quicklogin-taobao-min.png
/data/data/####/raven.min.js
/data/data/####/rebate_zero.css
/data/data/####/rebate_zero.html
/data/data/####/rebate_zero.js
/data/data/####/render_mall.css
/data/data/####/require.css.js
/data/data/####/require.js
/data/data/####/require.text.js
/data/data/####/search_no_result.png
/data/data/####/security_info
/data/data/####/self_tool.js
/data/data/####/set_eye.js
/data/data/####/set_header.js
/data/data/####/set_jifenbao_tip.png
/data/data/####/share.png
/data/data/####/shopping_cart_tip.css
/data/data/####/shopping_cart_tip.html
/data/data/####/shopping_cart_tip.js
/data/data/####/sign_alert.css
/data/data/####/sign_alert.html
/data/data/####/sign_alert.js
/data/data/####/success.css
/data/data/####/success.html
/data/data/####/success.js
/data/data/####/success.png
/data/data/####/success_extract.css
/data/data/####/success_extract.html
/data/data/####/success_extract.js
/data/data/####/super_buy_tip.css
/data/data/####/super_buy_tip.html
/data/data/####/super_buy_tip.js
/data/data/####/swiper.jquery.min.js
/data/data/####/swiper.js
/data/data/####/swiper.min.css
/data/data/####/taobao.css
/data/data/####/taobao.html
/data/data/####/taobao.js
/data/data/####/taobao_android.css
/data/data/####/taobao_android.html
/data/data/####/taobao_android.js
/data/data/####/taobao_ios.css
/data/data/####/taobao_ios.html
/data/data/####/taobao_ios.js
/data/data/####/taobao_search.css
/data/data/####/taobao_search.html
/data/data/####/taobao_search.js
/data/data/####/tmall_supermarket.png
/data/data/####/total_extract_tip.gif
/data/data/####/tpl.layout.html
/data/data/####/tutorial-min.png
/data/data/####/tutorial.common.css
/data/data/####/tutorial_tool.js
/data/data/####/tutorial_wechat_qr.png
/data/data/####/ui.abstract.view.js
/data/data/####/ui.alert.html
/data/data/####/ui.alert.js
/data/data/####/ui.calendar.box.html
/data/data/####/ui.calendar.box.js
/data/data/####/ui.calendar.html
/data/data/####/ui.calendar.js
/data/data/####/ui.datetimepicker.html
/data/data/####/ui.datetimepicker.js
/data/data/####/ui.download.html
/data/data/####/ui.download.js
/data/data/####/ui.group.select.html
/data/data/####/ui.group.select.js
/data/data/####/ui.group.select2.html
/data/data/####/ui.header.html
/data/data/####/ui.header.js
/data/data/####/ui.identitycard.html
/data/data/####/ui.identitycard.js
/data/data/####/ui.image.slider.js
/data/data/####/ui.layer.js
/data/data/####/ui.layer.list.html
/data/data/####/ui.layer.list.js
/data/data/####/ui.loading.html
/data/data/####/ui.loading.js
/data/data/####/ui.mask.js
/data/data/####/ui.nuomi.header.js
/data/data/####/ui.page.view.js
/data/data/####/ui.radio.list.html
/data/data/####/ui.radio.list.js
/data/data/####/ui.rated.html
/data/data/####/ui.rated.js
/data/data/####/ui.scroll.js
/data/data/####/ui.scroll.layer.html
/data/data/####/ui.scroll.layer.js
/data/data/####/ui.select.html
/data/data/####/ui.select.js
/data/data/####/ui.slider.html
/data/data/####/ui.slider.js
/data/data/####/ui.toast.html
/data/data/####/ui.toast.js
/data/data/####/underscore.extend.js
/data/data/####/underscore.js
/data/data/####/user_imformation.css
/data/data/####/user_imformation.html
/data/data/####/user_imformation.js
/data/data/####/verify_alipay.css
/data/data/####/verify_alipay.html
/data/data/####/verify_alipay.js
/data/data/####/verify_email.css
/data/data/####/verify_email.html
/data/data/####/verify_email.js
/data/data/####/verify_mobile.js
/data/data/####/verify_phone.css
/data/data/####/verify_phone.html
/data/data/####/verify_phone.js
/data/data/####/view.js
/data/data/####/wait.gif
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wechat-min.png
/data/data/####/wechat_extract.html
/data/data/####/wechat_extract.js
/data/data/####/wechat_qr.png
/data/data/####/weui.min.css
/data/data/####/weui.min.js
/data/data/####/zepto.js
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/journal.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

Bugly
bitmaps
libnfix
libshella-2.9.0.2
libufix
memchunk
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней