Adware.Gexin.4796

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pub-####.qin####.com:80
TCP(HTTP/1.1) m.baby####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) m.me####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) i####.meitu####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(HTTP/1.1) trac####.me####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) trac####.baby####.com:80
TCP(HTTP/1.1) i####.meitu####.com.####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

12.253.159.####.arpa
145.206.89.####.arpa
176.140.171.####.arpa
7j####.c####.z0.####.com
a####.man.aliy####.com
a####.u####.com
amap####.cn-hang####.oss####.####.com
api.baby####.com
c####.g####.ig####.com
c-h####.g####.com
cu.me####.com
g.kexi####.com
i####.meitu####.com
i####.meitu####.com
i####.meitu####.com
i####.meitu####.com
i####.meitu####.com
m.me####.com
oc.u####.com
pub-####.qin####.com
pv.s####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
trac####.baby####.com
trac####.me####.com
www.go####.com
www.gst####.com

Запросы HTTP GET:

gdv.a.s####.com/cityjson?ie=####
i####.meitu####.com.####.com/group1/M00/5B/6D/5c0f176ddc024865b36590ff8e...
i####.meitu####.com.####.com/group1/M00/6E/C2/ef88c704a2c74dc198c246c6ef...
i####.meitu####.com.####.com/group1/M00/87/67/33f67c0ffdb2481b871fde9d4d...
i####.meitu####.com.####.com/group1/M00/8E/20/974ae2671bd648e3b34452081f...
i####.meitu####.com.####.com/group1/M00/8F/F1/a300578048044987903d8520e8...
i####.meitu####.com.####.com/group1/M00/A8/2C/e480bace70424844b4ad02a8c2...
i####.meitu####.com/group1/M00/11/C6/c6d39bda8f8e497eb77741141b54b9f2.png
i####.meitu####.com/group1/M00/13/B3/b3568d913dbe4b07a57a1d4f00f5f9ea.png
i####.meitu####.com/group1/M00/14/6F/d38c5b6fba4143f283a620ead74b9239.jp...
i####.meitu####.com/group1/M00/17/BD/7bd75baa2c8a4bd9b3d13017426ea0f9.jp...
i####.meitu####.com/group1/M00/1C/82/c20eb3305a1c4ee585e59d4c05c7d82a.jp...
i####.meitu####.com/group1/M00/25/FC/2a2ec885255a47c2b8c3b3a8fcb5b22b.jp...
i####.meitu####.com/group1/M00/2A/1B/e03b308d31bc43d9a499adfa2ab79e4e.png
i####.meitu####.com/group1/M00/46/46/85f7151d12204a46a1ae53fbbbff7e59.jp...
i####.meitu####.com/group1/M00/51/D4/82b65b09be6d46238f451a559b8b866f.jpg
i####.meitu####.com/group1/M00/5F/4E/e5f85664e7be4cb8827ad37fc016043b.jpg
i####.meitu####.com/group1/M00/62/AD/618d62e7ade04040aa504e1039e705d6.jp...
i####.meitu####.com/group1/M00/78/FB/4afeadce786f4cc4b3d7ed08bf9fbe59.jpg
i####.meitu####.com/group1/M00/8A/70/970e238a8a71431d8a8ff813e350bd29.png
i####.meitu####.com/group1/M00/9D/BC/7c9d6549bc5047fbb2b23d24a24d5846.png
i####.meitu####.com/group1/M00/A8/32/917061e31a3c4288a8e5b6325a76668a.png
i####.meitu####.com/group1/M00/C8/74/132b1687f4e7494983c5618b1c8d6d13.png
i####.meitu####.com/group1/M00/CD/0A/f8d0afea99fb4ee9a49a5f760d3cd840.png
i####.meitu####.com/group1/M00/D1/A5/41acbd0c839e4bd1aff8a5c24f989c43.png
i####.meitu####.com/group1/M00/D6/9B/5ad6deda534e4c69b74443abe6943704.jpg
i####.meitu####.com/group1/M00/DE/89/617d55d1786d489db9fdeade235897aa.png
i####.meitu####.com/group1/M00/EA/80/f84ad5c3f28340dea51dbb8074128802.png
i####.meitu####.com/group1/M00/EC/C0/d1dec98e4c904246a74c05470b7a6f71.png
i####.meitu####.com/group1/M00/FE/63/689ce40ac088463c967407a35afe340d.jp...
m.baby####.com/conf.do?version=####&releaseDateTime=####
m.baby####.com/monitor_sdk_intf/hotfix/patch/get?app_id=####&app_version...
m.baby####.com/monitor_sdk_intf/hotfix/switch/get_status?app_id=####&app...
m.me####.com/mobile/app/upgrade.htm?apptype=####&appversion=####&cityid=...
m.me####.com/mobile/system/getRequestBaseInfo.htm?apptype=####&appversio...
m.me####.com/mobile/system/getcurrenttime.htm?apptype=####&appversion=##...
m.me####.com/newapi/cms/findHomeModuleList?agekeyids=####&ageweek=####&c...
m.me####.com/newapi/cms/findHomeWordNavigator?cityid=####&protocol=####&...
m.me####.com/newapi/cms/findModuleInfoList?cityid=####&curpage=####&page...
m.me####.com/newapi/cms/findTopicHotZone?cityid=####&protocol=####&provi...
m.me####.com/newapi/cms/findUserAgeData?birthday=####&cityid=####&protoc...
m.me####.com/newapi/mobile/common/close_site_notice?cityid=####&protocol...
m.me####.com/newapi/mobile/common/querySwitch?cityid=####&protocol=####&...
m.me####.com/newapi/topic/topicdetail/topicDetail?cityid=####&protocol=#...
m.me####.com/newapi/topic/topicdetail/topicFloorItemList?cityid=####&cur...
m.me####.com/newapi/topic/topicflow/findTopicListByChannelType?channelty...
pub-####.qin####.com/tdata_EDT356
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_vxj811

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
m.baby####.com/api/adv1/get_config
m.baby####.com/api/api_monitor/getMonitorUrl
m.baby####.com/api/api_monitor/sendInfo
m.me####.com/mobile/appbase/newestPatch.htm
m.me####.com/mobile/community/getAppInitAdvertiseInfo.htm
m.me####.com/newapi/price/query/byspuandsku
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
trac####.baby####.com/warlock-collector/service/T0002
trac####.baby####.com/warlock-collector/service/T0003
trac####.me####.com/service/T0001

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-3157421091129340108
/data/data/####/-DqOnt7Pk0zg9eWRcalxDlX2IoI.-1638949948.tmp
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/26wR-SKC-qfJvAoVppcYb1302WA.708258175.tmp
/data/data/####/3HsYRqwzqDSsQNpqGbl4GsX22XQ.1245654175.tmp
/data/data/####/3wDXf_3FA5hayqSCVxMGS9qtn2A.-1913658180.tmp
/data/data/####/44599993-432247954
/data/data/####/9-JU69R52WtWlGhH02Em-0fhLWA.983953316.tmp
/data/data/####/Alvin2.xml
/data/data/####/BAF-Dns-sp.xml
/data/data/####/Constant.xml
/data/data/####/ContextData.xml
/data/data/####/GASu_OxQjIHqXsR_G8u9JW_HDFU.1417528646.tmp
/data/data/####/GvxXXPRYwL0vENYA4RMu8R5R0zY.-610098337.tmp
/data/data/####/N9zbVvJipfDKMWsv9iny-YTxt-g.203843635.tmp
/data/data/####/Njjw4xd8QQaj-ub7mY4vRWRy0FE.1137111016.tmp
/data/data/####/OZ4JmRQGUqUvnl_1JYerZ_6W0Q0.365748262.tmp
/data/data/####/Tzqp5Ov_4dEVXfheE546orouJvQ.1359764641.tmp
/data/data/####/U3KoV80XX0r_upSJ3UO2SUlGuMc.1406244153.tmp
/data/data/####/UroQOR3IDSHAP6sg2KSurqb0c60.1957753823.tmp
/data/data/####/VhUjcZ_F4odUOhxMgkXQVG5XUx0.1873922296.tmp
/data/data/####/XNSDKStore1.0.xml
/data/data/####/XNclientid.xml
/data/data/####/XNmachineid.xml
/data/data/####/ZDeKmzO84biiVnPssaTuujHygUk.1319312254.tmp
/data/data/####/_andfix_.xml
/data/data/####/aliclound_httpdns.db
/data/data/####/aliclound_httpdns.db-journal
/data/data/####/analytic.db-journal
/data/data/####/b_monitor.db-journal
/data/data/####/babytree-baf-hotfix-sp.xml
/data/data/####/babytree-baf-hotfix.db-journal
/data/data/####/baf-ad-new.xml
/data/data/####/baf-new-ad.db-journal
/data/data/####/bb-ad.db-journal
/data/data/####/bb_adsdk_prefer.xml.xml
/data/data/####/bb_analytic_prefer.xml.xml
/data/data/####/bb_monitor_prefer.xml.xml
/data/data/####/bwFRw_h18YPwDJyMsVXphUH3x8c.1646935846.tmp
/data/data/####/com.meitun.mama_preferences.xml
/data/data/####/eylLJu1WOjpfUJ2PoZb1kYVyeFI.-411201579.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/httpdns_config_cache.xml
/data/data/####/iO_6XOy1fWvX5_5IBlJJuWC4h_Y.1324628956.tmp
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/kKqCChz2cjotP6rx28YR9TR0AIs.-488746280.tmp
/data/data/####/lE5uhVWh3LkZatgVR_uFs0y7Kuw.-1045375733.tmp
/data/data/####/libjiagu-434152877.so
/data/data/####/lich_udid_prefs_2017_#@#.xml
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/meitun_statistics.db-journal
/data/data/####/mobclick_agent_online_setting_com.meitun.mama.xml
/data/data/####/mt_1000_ISME9754_guest7040343894504603844468665...ournal
/data/data/####/multidex.version.xml
/data/data/####/mvp23Dh1AVXwg67FG5PvlKRCVM8.-1672336437.tmp
/data/data/####/patch.properties
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rhFWlVDEmABC6TQ485rTs8gg4w0.-1847028451.tmp
/data/data/####/rov7fKbRMtZEAwjyPLUYKvRDB_Y.-1984042982.tmp
/data/data/####/run.pid
/data/data/####/s0CJuiQBXcEL-GSYQPZw3EaeQfM.1403525522.tmp
/data/data/####/setting.db-journal
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/uGzc9GKknMAWJzMcOWk83Ch9YI8.-7068713.tmp
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/xQIp79WI_fCSy0EEnZyumHn9sGg.738818771.tmp
/data/data/####/xnsdkconfig.xml
/data/data/####/y7wYJS_zMwa0FsGjt5gqQSdTGtY.-338087998.tmp
/data/data/####/yk1E6saXvQYE_bRRfuOGJeGieeY.1366889553.tmp
/data/media/####/.lich_udid_prefs_2017_#@#
/data/media/####/.nomedia
/data/media/####/1542011279375.db
/data/media/####/1542011281537.db
/data/media/####/1542011283178.db
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.meitun.mama.bin
/data/media/####/com.meitun.mama.db
/data/media/####/journal.tmp
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.getui.GetuiPushService 24481 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop net.dns1
mount
ping -c 10 -W 2 cu.meitun.com
ping -c 10 -W 2 img01.meituncdn.com
ping -c 10 -W 2 m.meitun.com

Загружает динамические библиотеки:

andfix
api_encrypt
bitmaps
getuiext2
libjiagu-434152877
memchunk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DESede
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней