Adware.Gexin.5678

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) 2####.74.117.15:443
TCP(TLS/1.0) c####.aut####.cn.####.com:443
TCP(TLS/1.0) new####.aut####.ca####.com:443
TCP(TLS/1.0) wz.auto####.com.cn:443
TCP(TLS/1.0) 65.1####.158.236:443
TCP(TLS/1.0) al.auto####.com.cn:443
TCP(TLS/1.0) wzcarp####.auto####.com.cn:443
TCP(TLS/1.0) c####.api.auto####.####.cn:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
al.auto####.com.cn
api.map.b####.com
c####.api.auto####.####.cn
c####.aut####.cn
c####.aut####.cn
c####.g####.ig####.com
c-h####.g####.com
c.sz.gt.####.com
dea####.aut####.cn
loc.map.b####.com
log.u####.com
m1.aut####.cn
s####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wz.auto####.com.cn
wz0.aut####.cn
wzcarp####.auto####.com.cn

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/5289732556240b97bc19e599/...
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-490121034
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1327982553
/data/data/####/1543754943610.apk
/data/data/####/1543754943610.dex
/data/data/####/1543754943668.apk
/data/data/####/1543754943668.dex
/data/data/####/1543754943762.apk
/data/data/####/1543754943762.dex
/data/data/####/1543754943821.apk
/data/data/####/1543754943821.dex
/data/data/####/1543754943987.apk
/data/data/####/1543754943987.dex
/data/data/####/1543754944488.log
/data/data/####/2015295894
/data/data/####/600573751
/data/data/####/UMS_Online_Setting.xml
/data/data/####/UMS_Session_ID.xml
/data/data/####/UMS_Session_ID_Save_Time.xml
/data/data/####/WzTimeStamp.xml
/data/data/####/adpv-journal
/data/data/####/authStatus_com.autohome.mycar.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/city.db
/data/data/####/city.db-journal
/data/data/####/dealerprice.xml
/data/data/####/dns.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getxinPrefs.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/mycar.db-journal
/data/data/####/mycar.xml
/data/data/####/mycar.xml.bak
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/plugin.installedlist
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/video_play.xml
/data/data/####/zeusplugin_installinfo
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/12ul72gvfbnhv0egmxydmmk0z0
/data/media/####/171i0pbqkp2ht799vtu6fc0yu0.tmp
/data/media/####/19zadhbz24fa8j0jpeoem26k40.tmp
/data/media/####/1a5mpq1xf51cwjhpp43qm6rh40.tmp
/data/media/####/1bxc46pp22uwodorgfk66451m0.tmp
/data/media/####/1h5frtleqqmfrzghho06w0t4q0.tmp
/data/media/####/1naglalepqiopbd9zn0lld9gs0.tmp
/data/media/####/1qi722rtry7t8y6o329njyore0.tmp
/data/media/####/1qvwt9sj9hi4pd5fef69vg7fm0.tmp
/data/media/####/25tmeywtwx3p0fm5j0ag2jy710.tmp
/data/media/####/2c62ot2opzxzxa82sb2olzyqb0.tmp
/data/media/####/2is8fbtelatnnufuvpkql87p10.tmp
/data/media/####/2jblzwbhr65y8vcv1g19gavw80.tmp
/data/media/####/2jfsuio09oh2tfrbawen7j7mh0.tmp
/data/media/####/2rcqohsrhkw2u0n3rc46gm3lf0.tmp
/data/media/####/2ztk050fy0j12gpgk4lr2pfow0.tmp
/data/media/####/35zdabcu2jlczcuzd8423p7d10.tmp
/data/media/####/3bvyq8q7q9o3z4etuhb5wvnsp0.tmp
/data/media/####/3dmh6e89yytk2nljd0rxnk77d0.tmp
/data/media/####/3e7hzlt8hejo9n406mkhueaxc0.tmp
/data/media/####/3ly0hflighwkcqvvz2uzlehp40.tmp
/data/media/####/3p4n45i8icm4zepp4l7u7ee200.tmp
/data/media/####/3riodr9l1ys8nc2sw7d9cj1250.tmp
/data/media/####/3t2csnpsjb0u0sauz3oc3z3i00.tmp
/data/media/####/3t6hd1zdpajlo1exw7fmkfudc0.tmp
/data/media/####/3uuh3sm4c65ss82h1vth23oqk0.tmp
/data/media/####/47yc48pv2e051gq580ewsksub0.tmp
/data/media/####/4hfuja8wd4sduweuzodcc8u050.tmp
/data/media/####/4qjwynaijzfmlsj11dwez8x5f0.tmp
/data/media/####/4uzbdx5jn5ybuw3frwpr26o6j0.tmp
/data/media/####/4zaiyiobvul2dq0nj93x96nv20.tmp
/data/media/####/55rknkumktzeislwhs50edrdk0.tmp
/data/media/####/57t8z8hdg21stdcgsfj8tqhmx0.tmp
/data/media/####/5k6qtn5bnj5r5bfmzcvc7gcqz0.tmp
/data/media/####/5p84h4p4pvcp1c5k3v3sev6gc0.tmp
/data/media/####/5uoa3b70k15wlxbufa7uatd7e0
/data/media/####/5w46j66xy1pxljfp91xybcgbf0.tmp
/data/media/####/63gs28la7tmskf40j60j3hgt00.tmp
/data/media/####/66pupe4vnay7qd06ar3e3ya550.tmp
/data/media/####/6a0crupjz9f0nbjwcehi16qd30.tmp
/data/media/####/6n2uwj4984vydndo5d5vojdpg0.tmp
/data/media/####/6sz9c0ejjhxktdphjalez7rl00.tmp
/data/media/####/6vi7074jollmf7vzv3ryex13k0.tmp
/data/media/####/713l5igokbey60qe2butiz17z0.tmp
/data/media/####/71hswv7o7y2dc9tinqjxp2kv00.tmp
/data/media/####/73x8tro2lnhydqrov2qymxhc00.tmp
/data/media/####/7dftvqjt2yk39prz3t8c9vpnm0.tmp
/data/media/####/7hcisr887firatr43leqn04c0.tmp
/data/media/####/7jj3k7jueo7r4wbhypmpv09ju0.tmp
/data/media/####/app.db
/data/media/####/com.autohome.mycar.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/cqfoemtlotavwaz0cuctg92y0.tmp
/data/media/####/cqo1gx12emdegtddajxei6bx0.tmp
/data/media/####/dp_cache_main_default_condition.json
/data/media/####/j6l9if95qmtwu3vck9igmro0.tmp
/data/media/####/journal.tmp
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/olm3dxi9k0w4o36ur63v8gcw0.tmp
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24817 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop wifi.interface
sh

Загружает динамические библиотеки:

BaiduMapSDK_base_v3_7_3
getuiext2
libjiagu
locSDK6a
wzk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
desede-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней