Adware.Gexin.5323

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) pic.qixi####.com:80
TCP(HTTP/1.1) qxb####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) www.q####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) s####.in####.net:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) c####.q####.com:443
TCP(TLS/1.0) app.q####.com:443
TCP(TLS/1.0) eu.in####.net:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) www.q####.com:443
TCP(TLS/1.0) anal####.qixi####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
anal####.qixi####.com
and####.b####.qq.com
api.w####.com
app.q####.com
ar.u####.com
c####.g####.ig####.com
c####.q####.com
c-h####.g####.com
cc1.in####.net
cgi.con####.qq.com
e.crashly####.com
log.u####.com
pic.qixi####.com
qxb####.oss-cn-####.aliy####.com
s####.in####.net
s####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sett####.crashly####.com
www.q####.com

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
pic.qixi####.com/appbanner/企业版22.png
pic.qixi####.com/appbanner/完成企业认证.png
pic.qixi####.com/appbanner/开通VIP.png
pic.qixi####.com/appbanner/软文营销.png
pic.qixi####.com/appbanner/首页钻石@3x.png
pic.qixi####.com/article/0fd6cb5a-5879-498a-91f3-ede85e977b52矿机.jpeg
pic.qixi####.com/article/15414bf7-6468-4470-9fb6-e4db25c29510上海莱士.jpg
pic.qixi####.com/article/23f42eba-3d9a-4488-8ec4-57997fcdae32pDFx-hpevhc...
pic.qixi####.com/article/284642af-f341-4197-aca8-67e7b384e6fc茅台.jpg
pic.qixi####.com/article/644031de-4505-4618-8d21-44d833fb26df微信图片_201811...
pic.qixi####.com/article/6af11c57-d91c-40c1-aa97-d7a3a5c10bd5fuli.jpg
pic.qixi####.com/article/a2e24cc0-ad7b-479b-894d-7f8e7bf091542.jpeg
pic.qixi####.com/article/b0458fff-e77e-4b95-b07c-93f1cb9babc8国资.jpg
pic.qixi####.com/article/bb4a0cc4-d6d6-4249-a82d-7e0b75e9f670万达.jpg
pic.qixi####.com/article/c2339538-a14e-43d2-b655-f2eb6483a450上市公司.jpg
pic.qixi####.com/article/cc2ba9a6-44ec-4f6c-a48d-5a1225aca392巨人网络.jpg
pic.qixi####.com/article/fa742fda-02f9-4407-9422-38712b392718无标题.png
pic.qixi####.com/article/fbbab8dd-a7e5-4aaf-ab15-1fcb5f8c4989hu.jpg
pic.qixi####.com/headerBanner/banner_470_1.png
qxb####.oss-cn-####.aliy####.com/dlpatents/1c16ae1d57bb0c34b7689e0b1409b...
qxb####.oss-cn-####.aliy####.com/dlpatents/8d7bff703ae9a9023fb22681eae99...
qxb####.oss-cn-####.aliy####.com/dlpatents/e9c5c2faff44098c23798aadc7b3b...
qxb####.oss-cn-####.aliy####.com/logo/0ec73b6cbc4cb960409e3c0579a99d9f.jpg
qxb####.oss-cn-####.aliy####.com/logo/5846a9d7d03270e5c62123dc200275f2.jpg
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_fyR930
www.q####.com/article/84d3befd-d0b3-43c8-bc56-12961693071b?client_type=#...
www.q####.com/article/ac005fc4-d8f3-4d4f-a40f-e9e239c5f770?client_type=#...

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.alibaba####.com/stat.htm?ak=####&device_name=####&imei=####...
www.q####.com/api/app/getForceUpdate?device_id=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1318711031
/data/data/####/-1583177041
/data/data/####/-1850428499
/data/data/####/.imprint
/data/data/####/05b72ed35341953f7c72e00c8a18c2e9d8756134553fa99....0.tmp
/data/data/####/07348af0d40ddc91fb253097a7a23038d0b61ecfb3b7775....0.tmp
/data/data/####/0e14387fea8dda14e6d5ab11abe20c34b6a504fc2c04515....0.tmp
/data/data/####/0e99c4dece256c85e017d78f0cc4d285d273f34076a3ec9....0.tmp
/data/data/####/13eb443d4f1520e081f5fc2a2c955e04c6172ba6bef0156....0.tmp
/data/data/####/1529930399
/data/data/####/1543213351961.log
/data/data/####/17d5dd2b89c82d4dbf62d37d3bf5f63a48c3dd1ef08951f....0.tmp
/data/data/####/21b2de82c1f4aef4ced8b26a6a7c0d95ef7f000d2eec2dc....0.tmp
/data/data/####/25babe7127e1be02bf76671b8a6e3c7279db43f4f427d95....0.tmp
/data/data/####/2747049fbacd216e6114cd13f1e1ac9915b8add1a161066....0.tmp
/data/data/####/2af36bffcacc912deaf80b90ef186a172e864c6eb1e7619....0.tmp
/data/data/####/2ff74686718f6afa3c2dcb471065d3c9f83a703be0ef52c....0.tmp
/data/data/####/32251af0e84f6face0f04ada2059a80468420253478c374....0.tmp
/data/data/####/387232b6a77d20920d5bb33fc228bca28e8c3ad86a9bef0....0.tmp
/data/data/####/47254cd921b25a83e3d2a88de34eded35b52f57b736895e....0.tmp
/data/data/####/4d8e7a9cbb53c298b083e5d777ced598d885e7eb707a920....0.tmp
/data/data/####/4f183bda765b5b29c203fe98a4c13639d6b1ba4c49a570e....0.tmp
/data/data/####/588e508a4a5fb9c5ac1bd06d1c2c88603f15bffedcb6b81....0.tmp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837BeginSession.cls_temp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837BeginSession.json
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionApp.cls_temp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionApp.json
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionDevice.cls_temp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionDevice.json
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionOS.cls_temp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionOS.json
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837SessionUser.cls_temp
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837keys.meta
/data/data/####/5BFB90F902E7-0001-08F4-6F1B04B37837user.meta
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837BeginSession.cls_temp
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837BeginSession.json
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionApp.cls_temp
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionApp.json
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionDevice.cls
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionDevice.json
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionOS.cls_temp
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837SessionOS.json
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837keys.meta
/data/data/####/5BFB9102016E-0001-0974-6F1B04B37837user.meta
/data/data/####/65d08be53791e44a5e32c0e37c4ab50c3edbdb0a3a3f34e....0.tmp
/data/data/####/6d4e45a4a075e7035a868e80bfe58021b30070607880d11....0.tmp
/data/data/####/70af284bb4f1ff50e834fcee4a38db1ce8e44f2b5c3382f....0.tmp
/data/data/####/87a908f2c8b3b1ee7be2c673db5d954bb3081434bd33a83....0.tmp
/data/data/####/88aadbf225f57c8dee5ed1589516199f7d6785b5254642c....0.tmp
/data/data/####/ApplicationCache.db-journal
/data/data/####/CrashInfoConfig.xml
/data/data/####/CrashInfoConfig.xml.bak
/data/data/####/MultiDex.lock
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/a115af334fd8b41f4773334bf79cad0b460de2612d91d17....0.tmp
/data/data/####/a18ef23584ca13c76213fc408a51f3e92f559d6a6f3accb....0.tmp
/data/data/####/a49f80016f9548eef93f67b046eba49bc0fce57ddb2a60e....0.tmp
/data/data/####/adfab5608b9eeb768c01cb084900d35d82f6ecdb4a60771....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/c1fcc8ab1bf554385b89ce5f39d7f079a1431f68e475019....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.bertadata.qxb01c9c3ef26ad4b62b94aaaeb812adb5e.xml
/data/data/####/com.bertadata.qxb_preferences.xml
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.tencent.open.config.json.1104746783
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc30918f0bc833e6ec0f0c6d8f38325bd42399d4432e4ff....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f26944f9a886e668747154df52009e482781554e947f80c....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.android.j.xml
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qxb_app_cache.xml
/data/data/####/qxb_db-journal
/data/data/####/run.pid
/data/data/####/sa_983ede6f-efda-4066-90b1-11a089195017_1543213305883.tap
/data/data/####/sa_c0604b95-6121-4326-80e7-fae61071985f_1543213315044.tap
/data/data/####/sa_ede53827-eb4d-4054-8b34-a541f7b08e71_1543213306691.tap
/data/data/####/security_info
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/show_first_in.xml
/data/data/####/sp_vip_trace_utils.xml
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_fyR930
/data/data/####/tdata_fyR930.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/weibo_sdk_aid1
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/data/####/zhuge
/data/data/####/zhuge-journal
/data/media/####/app.db
/data/media/####/com.bertadata.qxb.bin
/data/media/####/com.bertadata.qxb.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_bca864
/data/media/####/tdata_fyR930
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.QXBGTPushService 24678 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.QXBGTPushService 24678 300 0

Загружает динамические библиотеки:

Bugly
encrypt-lib
getuiext3
libnfix
libshella-2.9.0.2
libufix
nfix
ufix
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней