Adware.Gexin.5502

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) m.t####.com:80
TCP(HTTP/1.1) s####.t####.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) 1####.140.144.65:9999
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) app.t####.com:9003
TCP(HTTP/1.1) s####.t####.com:8082
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) s####.t####.com:8083
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.t####.com:80
TCP(HTTP/1.1) whc.t####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 2####.211.94.245:8083
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) 77####.v3.com.####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP c####.g####.ig####.com:5225
TCP openj####.m.ta####.com:80
TCP sdk.o####.t####.####.com:5224
TCP ope####.m.ta####.com:443

Запросы DNS:

7j####.c####.z0.####.com
a####.man.aliy####.com
a####.u####.com
ag####.m.ta####.com
amdc####.m.ta####.com
api.map.b####.com
app.t####.com
c####.g####.ig####.com
c-h####.g####.com
dc1.network####.com
img.y####.cn
log.u####.com
m.t####.com
r####.wx.qq.com
redi####.network####.com
s####.ml####.cc
s####.t####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
umen####.m.ta####.com
umengj####.m.ta####.com
whc.t####.com
www.t####.com

Запросы HTTP GET:

2####.211.94.245:8083/tyfoSrvEx/imagedeal?path=####
2####.211.94.245:8083/tyfoSrvEx/imagedeal?path=####&&size=####
app.t####.com:9003/tebp/css/APP.css
app.t####.com:9003/tebp/css/all_Pup.css
app.t####.com:9003/tebp/css/layer.css
app.t####.com:9003/tebp/css/product/APP.css
app.t####.com:9003/tebp/css/product/swiper.min.css
app.t####.com:9003/tebp/css/product/ware_style(6).css
app.t####.com:9003/tebp/css/rui.css
app.t####.com:9003/tebp/css/slider.css
app.t####.com:9003/tebp/css/zf_main.css
app.t####.com:9003/tebp/homeimg/kfqq.png
app.t####.com:9003/tebp/image/alertapp/tx.png
app.t####.com:9003/tebp/images/btn00.png
app.t####.com:9003/tebp/images/close.png
app.t####.com:9003/tebp/images/date.png
app.t####.com:9003/tebp/images/head1.png
app.t####.com:9003/tebp/images/header.png
app.t####.com:9003/tebp/images/home_fupin.png
app.t####.com:9003/tebp/images/icon1.png
app.t####.com:9003/tebp/images/icon2.png
app.t####.com:9003/tebp/images/icon3.png
app.t####.com:9003/tebp/images/icon4.png
app.t####.com:9003/tebp/images/product_inf_img/icon-2.png
app.t####.com:9003/tebp/images/text.png
app.t####.com:9003/tebp/js/layer.js
app.t####.com:9003/tebp/js/need/layer.css?2####
app.t####.com:9003/tebp/js/newpromotion_home.js
app.t####.com:9003/tebp/js/product_inf/jquery-1.7.2.min.js
app.t####.com:9003/tebp/js/product_inf/swiper.min.js
app.t####.com:9003/tebp/product/newest_product_inf.ac?uid=####&token=####
app.t####.com:9003/tebp/product_inf_img/Receive_button.png
app.t####.com:9003/tebp/product_inf_img/appMJ.png
app.t####.com:9003/tebp/product_inf_img/arr_right.png
app.t####.com:9003/tebp/product_inf_img/back.png
app.t####.com:9003/tebp/product_inf_img/call.png
app.t####.com:9003/tebp/product_inf_img/header_arr.png
app.t####.com:9003/tebp/product_inf_img/icon-21.png
app.t####.com:9003/tebp/product_inf_img/sc_logo.png
app.t####.com:9003/tebp/product_inf_img/title_gou.png
app.t####.com:9003/tebp/product_inf_img/title_icn.png
app.t####.com:9003/tebp/product_inf_img/vip_logo.png
app.t####.com:9003/tebp/product_inf_img/yhq_bg.png
app.t####.com:9003/tebp/product_inf_img/yhq_close.png
app.t####.com:9003/tebp/promotion/promotion_bars.ac?title=####&area_id=#...
et2-na6####.wagbr####.ali####.####.com/bar/get/54913efafd98c5aa83000a46/...
m.t####.com/wap/activity2018/dxfp.htm?type=####
m.t####.com/wap/fupin2/index.htm?type=####
m.t####.com/wap/images/fuPinJin/fu-icon.png
m.t####.com/wap/js/threeLogin/threeCurrencyLogin.js
m.t####.com/wap/js/vip/alert/layer.js
m.t####.com/wap/js/virtualRecharge/appToken.js
m.t####.com/wap/jsp/activity/june/js/weixinShare.js
m.t####.com/wap/jsp/activity2018/nhj/css/active.css
m.t####.com/wap/jsp/activity2018/nhj/css/slider.css
m.t####.com/wap/jsp/activity2018/nhj/images/btn-10.png
m.t####.com/wap/jsp/activity2018/nhj/images/btn-12.png
m.t####.com/wap/jsp/activity2018/nhj/images/btn.png
m.t####.com/wap/jsp/activity2018/nhj/images/footer.png
m.t####.com/wap/jsp/activity2018/nhj/images/head-10.png
m.t####.com/wap/jsp/activity2018/nhj/images/limit.png
m.t####.com/wap/jsp/activity2018/nhj/images/pointer.png
m.t####.com/wap/jsp/activity2018/nhj/images/rule-btn.png
m.t####.com/wap/jsp/activity2018/nhj/images/share_nhj.jpg
m.t####.com/wap/jsp/activity2018/nhj/images/turntable.png
m.t####.com/wap/jsp/activity2018/nhj/js/layer.js
m.t####.com/wap/jsp/activity2018/nhj/js/luckDraw.js
m.t####.com/wap/jsp/fupin/v2/css/reset.css
m.t####.com/wap/jsp/fupin/v2/css/slider.css
m.t####.com/wap/jsp/fupin/v2/images/bottom_banquan.png
m.t####.com/wap/jsp/fupin/v2/images/btn.png
m.t####.com/wap/jsp/fupin/v2/images/dxfp_share.png
m.t####.com/wap/jsp/fupin/v2/images/head1.png
m.t####.com/wap/jsp/fupin/v2/images/head2.png
m.t####.com/wap/jsp/fupin/v2/js/TouchSlide.1.1.js
m.t####.com/wap/jsp/fupin/v2/js/jquery.js
m.t####.com/wap/jsp/fupin/v2/js/layer.js
m.t####.com/wap/nhj/index.htm?type=####
s####.t####.com/count/?uid=####&logo=####&j_pop=####&j_sspop=####
s####.t####.com/count/images/j.gif?2001350####
s####.t####.com/count/images/j.gif?3878587####
s####.t####.com/count/images/j.gif?6941306####
s####.t####.com/count/stat_c.asp?uid=3&vpage=http://m.tyfo.com/wap/fupin...
s####.t####.com/count/stat_c.asp?uid=3&vpage=http://m.tyfo.com/wap/nhj/i...
s####.t####.com/count/stat_t.asp?uid=3&j_vt=0&j_vc=16&j_cw=741&j_lt=298&...
s####.t####.com/count/stat_t.asp?uid=3&j_vt=0&j_vc=16&j_cw=741&j_lt=469&...
s####.t####.com/count/stat_t.asp?uid=3&vpage=http://m.tyfo.com/wap/fupin...
s####.t####.com/count/stat_t.asp?uid=3&vpage=http://m.tyfo.com/wap/nhj/i...
s####.t####.com:8082/tyfoSrvEx/imagedeal?path=####
s####.t####.com:8082/tyfoSrvEx/imagedeal?path=####&size=####
s####.t####.com:8083/tyfoSrvEx/imagedeal?path=####
s####.tc.qq.com/open/js/jweixin-1.0.0.js
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_YJA893
ti####.c####.l####.####.com/config/hz-hzv3.conf
whc.t####.com/js/getNext.js
www.t####.com/common/js/TouchSlide.1.1.js
www.t####.com/common/js/jquery-1.11.1.min.js
www.t####.com/common/js/tui.css
www.t####.com/common/js/tui.js

Запросы HTTP POST:

a####.u####.com/app_logs
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
app.t####.com:9003/tebp/activities/activesxml.ac
app.t####.com:9003/tebp/coupon/getCouponByGoodsId.ac
app.t####.com:9003/tebp/product/getCommentInfo.ac
app.t####.com:9003/tebp/product/getSubscriberPeople.ac
app.t####.com:9003/tebp/product/getVideo.ac
app.t####.com:9003/tebp/product/product!getProductInfo.ac
app.t####.com:9003/tebp/product/productdetail.ac
app.t####.com:9003/tebp/promotion/promotion!BottomIcon.ac
app.t####.com:9003/tebp/promotion/promotion!classification.ac
app.t####.com:9003/tebp/promotion/promotion!getAdvertData.ac?callback=####
app.t####.com:9003/tebp/promotion/promotion!getPromotionData.ac?callback...
app.t####.com:9003/tebp/promotion/promotionscreen.ac
app.t####.com:9003/tebp/user/isMember.ac
app.t####.com:9003/tebp/user/youlike.ac
c-h####.g####.com/api.php?format=####&t=####
m.t####.com/wap/activity2018/getDataByPidAndPcId.htm
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/ACCS_BINDumeng;54913efafd98c5aa83000a46.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/authStatus_com.inphase.tyfo.xml
/data/data/####/authStatus_com.inphase.tyfo;channel.xml
/data/data/####/authStatus_com.inphase.tyfo;pushservice.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.inphase.tyfo_preferences.xml
/data/data/####/com.networkbench.agent.impl.v2_com.inphase.tyfo.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/f_000046
/data/data/####/f_000047
/data/data/####/f_000048
/data/data/####/f_000049
/data/data/####/f_00004a
/data/data/####/f_00004b
/data/data/####/f_00004c
/data/data/####/f_00004d
/data/data/####/f_00004e
/data/data/####/f_00004f
/data/data/####/f_000050
/data/data/####/f_000051
/data/data/####/f_000052
/data/data/####/f_000053
/data/data/####/f_000054
/data/data/####/f_000055
/data/data/####/f_000056
/data/data/####/f_000057
/data/data/####/f_000058
/data/data/####/f_000059
/data/data/####/f_00005a
/data/data/####/f_00005b
/data/data/####/f_00005c
/data/data/####/f_00005d
/data/data/####/f_00005e
/data/data/####/f_00005f
/data/data/####/f_000060
/data/data/####/f_000061
/data/data/####/f_000062
/data/data/####/f_000063
/data/data/####/f_000064
/data/data/####/f_000065
/data/data/####/f_000066
/data/data/####/f_000067
/data/data/####/f_000068
/data/data/####/f_000069
/data/data/####/f_00006a
/data/data/####/f_00006b
/data/data/####/f_00006c
/data/data/####/f_00006d
/data/data/####/f_00006e
/data/data/####/f_00006f
/data/data/####/f_000070
/data/data/####/f_000071
/data/data/####/f_000072
/data/data/####/f_000073
/data/data/####/f_000074
/data/data/####/f_000075
/data/data/####/f_000076
/data/data/####/f_000077
/data/data/####/f_000078
/data/data/####/f_000079
/data/data/####/f_00007a
/data/data/####/f_00007b
/data/data/####/f_00007c
/data/data/####/f_00007d
/data/data/####/f_00007e
/data/data/####/f_00007f
/data/data/####/f_000080
/data/data/####/f_000081
/data/data/####/f_000082
/data/data/####/f_000083
/data/data/####/f_000084
/data/data/####/f_000085
/data/data/####/f_000086
/data/data/####/f_000087
/data/data/####/f_000088
/data/data/####/f_000089
/data/data/####/f_00008a
/data/data/####/f_00008b
/data/data/####/f_00008c
/data/data/####/f_00008d
/data/data/####/f_00008e
/data/data/####/f_00008f
/data/data/####/f_000090
/data/data/####/f_000091
/data/data/####/f_000092
/data/data/####/f_000093
/data/data/####/f_000094
/data/data/####/f_000095
/data/data/####/f_000096
/data/data/####/f_000097
/data/data/####/f_000098
/data/data/####/f_000099
/data/data/####/f_00009a
/data/data/####/f_00009b
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu475163471.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/persistent_data.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_YJA893
/data/data/####/tdata_YJA893.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/-1334065981
/data/media/####/-1369242309
/data/media/####/-1374848754
/data/media/####/-997319004
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/058db95b465b42b7b796e9cbca47d1cb
/data/media/####/1856496153
/data/media/####/32e79db471a44bca882aa986f346985f
/data/media/####/9208ee06c828487a82ff8759bf6046ea
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a8392213afd34e98a9e845f276f53b78
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.inphase.tyfo.bin
/data/media/####/com.inphase.tyfo.db
/data/media/####/deviceToken
/data/media/####/journal.tmp
/data/media/####/tdata_BAI450
/data/media/####/tdata_YJA893
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:54913efafd98c5aa83000a46","utdid":"XAHulg9rt9ADAGdzx1EEMWxq","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.inphase.receiver.DemoPushService 24605 300 0
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/files/gdaemon_20161017
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.inphase.receiver.DemoPushService 24605 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_1_1
getuiext2
libjiagu475163471
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней