Adware.Gexin.4629

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ruji####.wh####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) 0a22####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
h####.b####.com
l####.tbs.qq.com
loc.map.b####.com
ruji####.wh####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.wh####.com

Запросы HTTP GET:

0a22####.cdn.uc####.####.cn/upload/VideoCover/ONECOLUMNIMG/2018103117131...
0a22####.cdn.uc####.####.cn/upload/VideoCover/ONECOLUMNIMG/2018110716442...
0a22####.cdn.uc####.####.cn/upload/VideoCover/VIDEOSOURCEURL/20181023153...
0a22####.cdn.uc####.####.cn/upload/icons/usercenter/ownership_aboutus.png
0a22####.cdn.uc####.####.cn/upload/icons/usercenter/ownership_collection...
0a22####.cdn.uc####.####.cn/upload/icons/usercenter/ownership_level.png
0a22####.cdn.uc####.####.cn/upload/icons/usercenter/ownership_scanqrcode...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/babyp...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/cours...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/kmba....
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/polic...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/teach...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/zerop...
ruji####.wh####.com/web/Service.asmx/getOnlineClassMainPage?category=###...
ruji####.wh####.com/web/Service.asmx/getPersonalCenter?platform=####&ver...
ruji####.wh####.com/web/VersionCheck.ashx?platform=####&ostype=####&vers...
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_YJA893

Запросы HTTP POST:

a####.exc.mob.com/errconf
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
ruji####.wh####.com/web/Service.asmx/PushBindingForAppId
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/01ced91112a8cdbe97249763a5b695283f91f13b05ab9e4....0.tmp
/data/data/####/09239879fe8a538696277a99e17542aa01a43ae41313e9e....0.tmp
/data/data/####/1c612916feb4f9350e4fd0feb07f9fb9
/data/data/####/2053b6f2c8357f13fee2e723ff9d9a9a72d2ab9ac7c4ff4....0.tmp
/data/data/####/31c173eac15b47519565f68318f5c2c790b65a8f9086337....0.tmp
/data/data/####/3cdd25a5bcbc7fbab1b10ef069ac6673
/data/data/####/53c1047195421cd2cb1e713be19b6f41325527b9f0d86c5....0.tmp
/data/data/####/76534a76376939a71a05cf3a84b89a9a1eb387ebdcb0515....0.tmp
/data/data/####/81246479970c34851a949db3f63e880fa7336ec76833d15....0.tmp
/data/data/####/998bc15ca64cee201a66ec957da67e45999a1e9c8500ff3....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1541812482075
/data/data/####/ad207521d33ac016f70b02d4b19059537224eec79e7d0ab....0.tmp
/data/data/####/ae135d72daaa6d25f8b55439fbe3fd744fe3e5c5fd7327b....0.tmp
/data/data/####/authStatus_com.rjwh_yuanzhang.dingdong.clients;remote.xml
/data/data/####/bc916baf5c43a5178180423dda59e24c340abf5a2f7913e....0.tmp
/data/data/####/core_info
/data/data/####/d418a113b2d2aeca57cf4247a5b4aa7c57098c406d5875b....0.tmp
/data/data/####/db_ddbb_2-journal
/data/data/####/domain_1
/data/data/####/e94ed24e70ea9675c1fdd5502bd868be1d5afa980166314....0.tmp
/data/data/####/ea96fb862b8d283a9b210f43c6b1c98f0d406f087acb2b4....0.tmp
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu-1600181424.so
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/null.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_YJA893
/data/data/####/tdata_YJA893.jar
/data/media/####/.artc_lock
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.timestamp
/data/media/####/Gray_Big_Number.fnt
/data/media/####/Gray_Big_Number_0.png
/data/media/####/Gray_Small_Number.fnt
/data/media/####/Gray_Small_Number_0.png
/data/media/####/Orange_Big_Number.fnt
/data/media/####/Orange_Big_Number_0.png
/data/media/####/Orange_Small_Number.fnt
/data/media/####/Orange_Small_Number_0.png
/data/media/####/app.db
/data/media/####/beeStar.png
/data/media/####/bg.jpg
/data/media/####/bg_7f53930b.png
/data/media/####/bgm_51bcd9c7.mp3
/data/media/####/bmFont.fnt
/data/media/####/bmFont.png
/data/media/####/button.mp3
/data/media/####/button_41c43e93.mp3
/data/media/####/clap.mp3
/data/media/####/clap_sound.mp3
/data/media/####/close.png
/data/media/####/cloud.js
/data/media/####/cloud.plist
/data/media/####/cloud.png
/data/media/####/cloud1.png
/data/media/####/cloud2.png
/data/media/####/cocos2djs.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.rjwh_yuanzhang.dingdong.clients.bin
/data/media/####/com.rjwh_yuanzhang.dingdong.clients.db
/data/media/####/conn.js
/data/media/####/correctEnd.mp3
/data/media/####/default.js
/data/media/####/default.res.json
/data/media/####/description.json
/data/media/####/dingdong.js
/data/media/####/dingdong.json
/data/media/####/dingdong.plist
/data/media/####/dingdong.png
/data/media/####/dingdongCar_ske_2687ffc8.json
/data/media/####/dingdongCar_tex_1e1d3141.png
/data/media/####/dingdongCar_tex_2986cc11.json
/data/media/####/dingdongSister.json
/data/media/####/dingdongSister.plist
/data/media/####/dingdongSister.png
/data/media/####/dingdong_ske_2f0411f1.json
/data/media/####/dingdong_tex_3a260d16.png
/data/media/####/dingdong_tex_4914634d.json
/data/media/####/dragonBones.min.js
/data/media/####/effectStar.png
/data/media/####/egret.min.js
/data/media/####/egret.web.min.js
/data/media/####/egret_icon.png
/data/media/####/end1.png
/data/media/####/end2.png
/data/media/####/erWeiMa.png
/data/media/####/evaType0.mp3
/data/media/####/evaType1.mp3
/data/media/####/evaType2.mp3
/data/media/####/evaType3.mp3
/data/media/####/evaType4.mp3
/data/media/####/evaType5.mp3
/data/media/####/favicon.ico
/data/media/####/fontLoading_5e199f55.fnt
/data/media/####/fontLoading_e9ea92c.png
/data/media/####/fontsRed_30dd8c73.fnt
/data/media/####/fontsRed_50c178dd.png
/data/media/####/game.js
/data/media/####/game.min.js
/data/media/####/gameDefault.plist
/data/media/####/gameDefault.png
/data/media/####/gamePay.plist
/data/media/####/gamePay.png
/data/media/####/groupGame.js
/data/media/####/hand.png
/data/media/####/iconDingDong.png
/data/media/####/iconFloor.png
/data/media/####/iconSpeak.png
/data/media/####/index.html
/data/media/####/info.png
/data/media/####/infoWord1.png
/data/media/####/infoWord2.png
/data/media/####/infoWord3.png
/data/media/####/infoWord4.png
/data/media/####/infoWord5.png
/data/media/####/infoWord6.png
/data/media/####/kown.png
/data/media/####/label1.png
/data/media/####/label2.png
/data/media/####/label3.png
/data/media/####/label4.png
/data/media/####/label5.png
/data/media/####/label6.png
/data/media/####/light.plist
/data/media/####/light.png
/data/media/####/lightBall.png
/data/media/####/load-0sheet_58478695.json
/data/media/####/load-0sheet_7ef842de.png
/data/media/####/loadScene.js
/data/media/####/loadingBg.png
/data/media/####/loadingBg_4a85ab2c.png
/data/media/####/loadingCloud.png
/data/media/####/loadingStar1.png
/data/media/####/main.min.js
/data/media/####/manifest.json
/data/media/####/mapCloseButton.png
/data/media/####/mapDataSet.js
/data/media/####/mapMethodSet.js
/data/media/####/mapPromptBox.png
/data/media/####/mapRetryButton.png
/data/media/####/mapSpriteClass.js
/data/media/####/map_1.png
/data/media/####/map_2.png
/data/media/####/map_3.png
/data/media/####/map_4.png
/data/media/####/map_5.png
/data/media/####/map_6.png
/data/media/####/map_bg.png
/data/media/####/p3.gif
/data/media/####/panelBg.png
/data/media/####/paopao.png
/data/media/####/pay_buyEnter.mp3
/data/media/####/pet_ske_528beccd.json
/data/media/####/pet_tex_23b83d10.png
/data/media/####/pet_tex_6d5c0ec6.json
/data/media/####/popBg.png
/data/media/####/preload-0sheet_48780feb.json
/data/media/####/preload-0sheet_65b935ed.png
/data/media/####/project.json
/data/media/####/promise.min.js
/data/media/####/res.min.js
/data/media/####/resource.js
/data/media/####/result0.mp3
/data/media/####/result1.mp3
/data/media/####/result2.mp3
/data/media/####/rightStar.png
/data/media/####/sceneC.js
/data/media/####/sceneCSub.js
/data/media/####/server.js
/data/media/####/sound1_1_1_baozha_191163b4.mp3
/data/media/####/startWord_3e261e2.mp3
/data/media/####/store.js
/data/media/####/store.min.js
/data/media/####/sub_map_1.png
/data/media/####/sub_map_1_1.png
/data/media/####/sub_map_2.png
/data/media/####/sub_map_2_1.png
/data/media/####/sub_map_3.png
/data/media/####/sub_map_3_1.png
/data/media/####/sub_map_4.png
/data/media/####/sub_map_4_1.png
/data/media/####/sub_map_5.png
/data/media/####/sub_map_5_1.png
/data/media/####/sub_map_6.png
/data/media/####/sub_map_6_1.png
/data/media/####/tdata_BAI450
/data/media/####/tdata_YJA893
/data/media/####/test.log
/data/media/####/tips.png
/data/media/####/tween.min.js
/data/media/####/web_cache_3_1_sound1.mp3
/data/media/####/web_cache_button.mp3
/data/media/####/web_cache_lose.mp3
/data/media/####/web_cache_win.mp3
/data/media/####/web_public_background_music1.mp3
/data/media/####/web_public_checkpoint_back_music.mp3
/data/media/####/web_public_defeated1.mp3
/data/media/####/web_public_defeated2.mp3
/data/media/####/web_public_defeated3.mp3
/data/media/####/web_public_drawing.mp3
/data/media/####/web_public_effect1.mp3
/data/media/####/web_public_effect_waou.mp3
/data/media/####/web_public_lose.mp3
/data/media/####/web_public_patch_puzzle_succeed1.mp3
/data/media/####/web_public_patch_puzzle_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed1.mp3
/data/media/####/web_public_pull_figure_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed3.mp3
/data/media/####/web_public_success.mp3
/data/media/####/web_public_ye.mp3
/data/media/####/web_public_yinzhang.mp3
/data/media/####/word0_0_0_6d9e2071.mp3
/data/media/####/word0_0_1_6d522e2c.mp3
/data/media/####/word0_0_2_36668334.mp3
/data/media/####/word0_0_3_692baf68.mp3
/data/media/####/word0_0_4_3edc9bf0.mp3
/data/media/####/word0_1_0_1d42039d.mp3
/data/media/####/word0_2_0_5e3239f3.mp3
/data/media/####/word0_3_0_401992ba.mp3
/data/media/####/word0_4_0_566b1d40.mp3
/data/media/####/xinsui.plist
/data/media/####/xinsui.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.AppPushService 26572 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.AppPushService 26572 300 0

Загружает динамические библиотеки:

crash_analysis
getuiext2
libjiagu-1600181424
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней