Adware.Gexin.5160

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pub-####.qin####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) mai####.xiaom####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) www.go####.nl:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) adser####.go####.com:443
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
adser####.go####.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
loc.map.b####.com
mai####.xiaom####.com
o####.map.b####.com
pub-####.qin####.com
r####.uu.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
www.go####.com
www.go####.nl
www.gst####.com

Запросы HTTP GET:

mai####.xiaom####.com/mainapp/v2/bindBaiduPush?userId=####&channelId=###...
pub-####.qin####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_fyR930

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/sync
c-h####.g####.com/api.php?format=####&t=####
mai####.xiaom####.com/mainapp/v2/getSoftwareCommonData2?
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/37f582a81b10
/data/data/####/AboutUsVc.js
/data/data/####/AfxBankCityListVc.js
/data/data/####/AfxBankListVc.js
/data/data/####/AfxFormData.js
/data/data/####/AfxFormInfoVc.js
/data/data/####/AppReviewVc.js
/data/data/####/ArticleInfoData.js
/data/data/####/ArticleInfoVc.js
/data/data/####/ArticleListData.js
/data/data/####/ArticleSearchListDTO.js
/data/data/####/ArticleSearchListVc.js
/data/data/####/ArticleVc.js
/data/data/####/BeforeLoadVc.js
/data/data/####/BranchListDTO.js
/data/data/####/BranchListData.js
/data/data/####/BranchRestListDTO.js
/data/data/####/BranchRestListData.js
/data/data/####/BranchRestListVc.js
/data/data/####/CSArticlePanel.js
/data/data/####/CSBasicInfoPanel.js
/data/data/####/CSBottomPanel.js
/data/data/####/CSBranchRestCellPanel.js
/data/data/####/CSBranchRestTableHeader.js
/data/data/####/CSCBDSubwayFunBtnPanel.js
/data/data/####/CSCouponCellPanel.js
/data/data/####/CSCouponPanel.js
/data/data/####/CSDFListPanel.js
/data/data/####/CSEditPanel.js
/data/data/####/CSFHQueryFunBtnPanel.js
/data/data/####/CSFilterCellPanel.js
/data/data/####/CSFilterPickerPanel.js
/data/data/####/CSGalleryCellPanel.js
/data/data/####/CSGalleryTableHtml.js
/data/data/####/CSGrouponListCellPanel.js
/data/data/####/CSGrouponPanel.js
/data/data/####/CSHandleSucHintInfoPanel.js
/data/data/####/CSHisAndHotSearchPanel.js
/data/data/####/CSKwHotHistorySearchPanel.js
/data/data/####/CSKwSuggestListPanel.js
/data/data/####/CSNeedReviewCell.js
/data/data/####/CSNotFindPanel.js
/data/data/####/CSOrderInfoInfoCellPanel.js
/data/data/####/CSOrderListCellPanel.js
/data/data/####/CSOtherInfoPanel.js
/data/data/####/CSPickerWrapPanel.js
/data/data/####/CSPointListPanel.js
/data/data/####/CSPointTitlePanel.js
/data/data/####/CSPromoPanel.js
/data/data/####/CSQueryBtnPanel.js
/data/data/####/CSRLPickerPanel.js
/data/data/####/CSRLSearchPanel.js
/data/data/####/CSRLSugKwPanel.js
/data/data/####/CSRecDishesPanel.js
/data/data/####/CSRecomListCellPanel.js
/data/data/####/CSRelateArticleCellHtml.js
/data/data/####/CSRelateCellHtml.js
/data/data/####/CSRelateListPanel.js
/data/data/####/CSRelateTableHtml.js
/data/data/####/CSRelateTablePanel.js
/data/data/####/CSReportRestErrorPanel.js
/data/data/####/CSRestCellPanel.js
/data/data/####/CSRestListCellPanel.js
/data/data/####/CSReviewCellPanel.js
/data/data/####/CSReviewPanel.js
/data/data/####/CSSearchPanel.js
/data/data/####/CSShareAndFavPanel.js
/data/data/####/CSShareFavePanel.js
/data/data/####/CSSharePanel.js
/data/data/####/CSSliderPanel.js
/data/data/####/CSSliderToUpAndDownPanel.js
/data/data/####/CSSubjectCellPanel.js
/data/data/####/CSSubjectRestCellPanel.js
/data/data/####/CSTableCellPanel.js
/data/data/####/CSTablePanel.js
/data/data/####/CSTitleBarPanel.js
/data/data/####/CSTitleSelectPanel.js
/data/data/####/CSTypeSelPanel.js
/data/data/####/CSUploadPicPanel.js
/data/data/####/CSUserNotifyMsgListCellPanel.js
/data/data/####/CSVideoPanel.js
/data/data/####/CSVlCell.js
/data/data/####/CeShiVc.js
/data/data/####/CityListDTO.js
/data/data/####/CityListData.js
/data/data/####/CityListVc.js
/data/data/####/Config57.xml
/data/data/####/CouponApplyRestListDTO.js
/data/data/####/CouponApplyRestListVc.js
/data/data/####/CouponCellPanel.js
/data/data/####/CouponCenterListDTO.js
/data/data/####/CouponCenterListData.js
/data/data/####/CouponCenterListVc.js
/data/data/####/DistrictOrFoodListVc.js
/data/data/####/FavHisVc.js
/data/data/####/FavOrHisArticleListDTO.js
/data/data/####/FavOrHisListVc.js
/data/data/####/FavOrHisRestListDTO.js
/data/data/####/FeedbackVc.js
/data/data/####/FoodGuideListDTO.js
/data/data/####/FoodGuideListData.js
/data/data/####/FoodGuideListVc.js
/data/data/####/FoodGuideRestListDTO.js
/data/data/####/FoodGuideRestListData.js
/data/data/####/FoodGuideRestListVc.js
/data/data/####/GrouponApplyRestListDTO.js
/data/data/####/GrouponApplyRestListVc.js
/data/data/####/GrouponInfoData.js
/data/data/####/GrouponInfoVc.js
/data/data/####/GrouponListDTO.js
/data/data/####/GrouponListData.js
/data/data/####/GrouponListVc.js
/data/data/####/GrouponOrderFormData.js
/data/data/####/GrouponOrderFormInfoVc.js
/data/data/####/IntegralDescribeVc.js
/data/data/####/KwSuggestListDTO.js
/data/data/####/KwSuggestPageInfoDTO.js
/data/data/####/KwSuggestPageInfoVc.js
/data/data/####/KwSuggestVc.js
/data/data/####/KwsListData.js
/data/data/####/LoginVc.js
/data/data/####/OrderInfoData.js
/data/data/####/OrderInfoKvData.js
/data/data/####/OrderInfoKvListDTO.js
/data/data/####/OrderInfoVc.js
/data/data/####/OrderListBtnData.js
/data/data/####/OrderListDTO.js
/data/data/####/OrderListData.js
/data/data/####/OrderListVc.js
/data/data/####/OrderPayResultData.js
/data/data/####/OrderPayResultVc.js
/data/data/####/OrderPostResultInfoVc.js
/data/data/####/OrderSelPayFormData.js
/data/data/####/OrderSelPayFormVc.js
/data/data/####/PackData.js
/data/data/####/PackListDTO.js
/data/data/####/RankRestListDTO.js
/data/data/####/RankRestListVc.js
/data/data/####/ReplaceUserNickNameVc.js
/data/data/####/ReplaceUserTelVc.js
/data/data/####/ReportRestInfoFormData.js
/data/data/####/ReportRestInfoFormInfoVc.js
/data/data/####/ReportRestOtherVc.js
/data/data/####/RestArticleListData.js
/data/data/####/RestBasicInfoData.js
/data/data/####/RestBasicInfoVc.js
/data/data/####/RestBranchListDTO.js
/data/data/####/RestBranchListVc.js
/data/data/####/RestCertData.js
/data/data/####/RestCertInfoVc.js
/data/data/####/RestCouponListData.js
/data/data/####/RestDetailVc.js
/data/data/####/RestInfoData.js
/data/data/####/RestInfoVc.js
/data/data/####/RestListDTO.js
/data/data/####/RestListData.js
/data/data/####/RestListKwData.js
/data/data/####/RestListPromoData.js
/data/data/####/RestListTagData.js
/data/data/####/RestListVc.js
/data/data/####/RestPicData.js
/data/data/####/RestPicListDTO.js
/data/data/####/RestPicListVc.js
/data/data/####/RestPromoListDTO.js
/data/data/####/RestPromoListVc.js
/data/data/####/RestRecomListData.js
/data/data/####/RestReviewData.js
/data/data/####/RestReviewListDTO.js
/data/data/####/RestReviewListData.js
/data/data/####/RestReviewListVc.js
/data/data/####/RestReviewVc.js
/data/data/####/RestVipCardHintData.js
/data/data/####/SearchResultListVc.js
/data/data/####/SourceArticleListDTO.js
/data/data/####/SourceArticleListVc.js
/data/data/####/SubDistrictOrSubFoodListVc.js
/data/data/####/SubjectListDTO.js
/data/data/####/SubjectListData.js
/data/data/####/SubjectListVc.js
/data/data/####/SubjectRestListDTO.js
/data/data/####/SubjectRestListData.js
/data/data/####/SubjectRestListVc.js
/data/data/####/SysPageInfoData.js
/data/data/####/SysVc.js
/data/data/####/TelData.js
/data/data/####/TestVc.js
/data/data/####/TypeSelData.js
/data/data/####/TypeSelListDTO.js
/data/data/####/TypeSelListPackDTO.js
/data/data/####/UserBhArticleListDTO.js
/data/data/####/UserBhRestListDTO.js
/data/data/####/UserCouponInfoData.js
/data/data/####/UserCouponInfoVc.js
/data/data/####/UserCouponListDTO.js
/data/data/####/UserCouponListData.js
/data/data/####/UserCouponListVc.js
/data/data/####/UserFavArticleListDTO.js
/data/data/####/UserFavRestListDTO.js
/data/data/####/UserGalleryListDTO.js
/data/data/####/UserGalleryListData.js
/data/data/####/UserGalleryListVc.js
/data/data/####/UserInfoSetVc.js
/data/data/####/UserMailData.js
/data/data/####/UserMailInfoVc.js
/data/data/####/UserNeedReviewOrderListVc.js
/data/data/####/UserNmListDTO.js
/data/data/####/UserNmListData.js
/data/data/####/UserNotifyMsgListVc.js
/data/data/####/UserNrOrderListDTO.js
/data/data/####/UserNrOrderListData.js
/data/data/####/UserPointChangeListDTO.js
/data/data/####/UserPointChangeListData.js
/data/data/####/UserPointChangeListVc.js
/data/data/####/UserPointGradeVc.js
/data/data/####/UserRecomListDTO.js
/data/data/####/UserRecomListData.js
/data/data/####/UserRecomListVc.js
/data/data/####/UserReviewListDTO.js
/data/data/####/UserReviewListData.js
/data/data/####/UserReviewListVc.js
/data/data/####/VideoAuthorData.js
/data/data/####/VideoDetailVc.js
/data/data/####/VideoInfoData.js
/data/data/####/VideoListDTO.js
/data/data/####/VideoListData.js
/data/data/####/VideoListVc.js
/data/data/####/VideoPoiData.js
/data/data/####/arrow.png
/data/data/####/authStatus_com.fg114.main;remote.xml
/data/data/####/bg.jpg
/data/data/####/blank.gif
/data/data/####/book.png
/data/data/####/bugly_data.xml
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/cl.png
/data/data/####/common.css
/data/data/####/config.xs
/data/data/####/cr.png
/data/data/####/diamond.png
/data/data/####/diamond_a.png
/data/data/####/diamond_m.png
/data/data/####/diamond_s.png
/data/data/####/fail.png
/data/data/####/fav.png
/data/data/####/find.png
/data/data/####/firll.dat
/data/data/####/frame.png
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/game.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gift.png
/data/data/####/gold.png
/data/data/####/gold_a.png
/data/data/####/gold_m.png
/data/data/####/gold_s.png
/data/data/####/grey.png
/data/data/####/gx_sp.xml
/data/data/####/ha.js
/data/data/####/hbg.png
/data/data/####/headbg.png
/data/data/####/hint.png
/data/data/####/his.png
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/icon.png
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/left.png
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/link.png
/data/data/####/loading.png
/data/data/####/loading_out.png
/data/data/####/local_crash_lock
/data/data/####/logo.png
/data/data/####/ls.png
/data/data/####/mix.dex
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/ordinary.png
/data/data/####/ordinary_a.png
/data/data/####/ordinary_m.png
/data/data/####/ordinary_s.png
/data/data/####/other.html
/data/data/####/pause.png
/data/data/####/ph.png
/data/data/####/platina.png
/data/data/####/platina_a.png
/data/data/####/platina_m.png
/data/data/####/platina_s.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/red.png
/data/data/####/rest.png
/data/data/####/right-1.png
/data/data/####/right-2.png
/data/data/####/rs.png
/data/data/####/run.pid
/data/data/####/search.png
/data/data/####/security_info
/data/data/####/silver.png
/data/data/####/silver_a.png
/data/data/####/silver_m.png
/data/data/####/silver_s.png
/data/data/####/spl.png
/data/data/####/spr.png
/data/data/####/success.png
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_fyR930
/data/data/####/tdata_fyR930.jar
/data/data/####/uc_def_pic.png
/data/data/####/uploadpic.png
/data/data/####/used.png
/data/data/####/value_cache.db
/data/data/####/value_cache.db-journal
/data/data/####/webApp.zip
/data/data/####/wechat.png
/data/data/####/wechatcircle.png
/data/data/####/xlweibo.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/UUID
/data/media/####/app.db
/data/media/####/com.fg114.main.bin
/data/media/####/com.fg114.main.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/tdata_bca864
/data/media/####/tdata_fyR930
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.xiaomishu.extension.push.DemoPushService 24187 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.xiaomishu.extension.push.DemoPushService 24187 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-2.9.0.2
libufix
locSDK7b
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней