Adware.Gexin.6089

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) m.mys####.com:80
TCP(HTTP/1.1) www.steelp####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) m.steelp####.com:80
TCP(HTTP/1.1) mystee####.steelp####.cc####.net:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) mfs.mystee####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) img.mystee####.cc####.net:80
TCP(HTTP/1.1) 1####.231.28.221:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) www.steelp####.com:443
TCP(TLS/1.0) mfs.mystee####.com:443
TCP(TLS/1.0) s####.mys####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) m.steelp####.com:443
TCP(TLS/1.0) m.mys####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) a.mystee####.com:443
TCP c####.g####.ig####.com:5225
TCP 1####.121.49.74:7006
UDP s.j####.cn:19000
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

14.146.205.####.arpa
145.130.171.####.arpa
221.28.231.####.arpa
31.188.8.####.arpa
35.12.48.####.arpa
36.12.48.####.arpa
7j####.c####.z0.####.com
80.49.143.####.arpa
a####.man.aliy####.com
a####.u####.com
a.mystee####.com
c####.g####.ig####.com
c-h####.g####.com
dc1.network####.com
hm.b####.com
i####.mystee####.com
i####.mystee####.com
l####.tbs.qq.com
log.u####.com
m.mys####.com
m.steelp####.com
mfs.mystee####.com
mt####.go####.com
mystee####.steelp####.com
r####.wx.qq.com
redi####.network####.com
s####.j####.cn
s####.mys####.com
s####.u####.com
s.j####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
up####.sdk.jig####.cn
www.steelp####.com

Запросы HTTP GET:

img.mystee####.cc####.net/wz/uploaded/steelphone4/breedIntroduceForPad/0...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/01...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/02...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/03...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/04...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/05...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexBreedIcoForPad/08...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/breed_nor.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/calendar/15_c...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/calendar/15_n...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/index_choose....
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/index_nor.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/meeting_choos...
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/meeting_nor.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexico/report_nor.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/gq.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/price.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/qihuo.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/sms.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/sub.png
img.mystee####.cc####.net/wz/uploaded/steelphone4/indexicoForPad/zixun.png
m.mys####.com/huizhan/activity/detail.htm?activityId=####
m.mys####.com/huizhan/assets/js/browser.js
m.mys####.com/huizhan/index.htm
m.steelp####.com/appweb/js/mysteelshare.js
mfs.mystee####.com/group1/M00/04/DB/rBL63lpe7MSAGz2aAAGJcVioDgI327.jpg
mfs.mystee####.com/group1/M00/0A/46/rBL63lujUJiAccm8AACPFSV7LqE263.png
mystee####.steelp####.cc####.net/v4/getAdv.htm?&userId=####&machineCode=...
s####.tc.qq.com/open/js/jweixin-1.0.0.js
t####.c####.q####.####.com/tdata_imh016
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.steelp####.com/2016/2017nhbm/css/images/loading.gif
www.steelp####.com/2016/2017nhbm/css/index.css
www.steelp####.com/2016/2017nhbm/css/swiper.css
www.steelp####.com/2016/2017nhbm/css/validate.css
www.steelp####.com/2016/2017nhbm/images/my_meeting_ico.png
www.steelp####.com/2016/2017nhbm/images/over.png
www.steelp####.com/2016/2017nhbm/images/register_ico.png
www.steelp####.com/2016/2017nhbm/images/sign_in_ico.png
www.steelp####.com/2016/2017nhbm/js/swiper.js
www.steelp####.com/2016/2017nhbm/js/zepto-mvalidate.js
www.steelp####.com/2016/2017nhbm/js/zepto.all.js

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0185879128861f31c59ffcfde42e2e6c.0.tmp
/data/data/####/0185879128861f31c59ffcfde42e2e6c.1.tmp
/data/data/####/081f5b0f4cf7d68a78dc1d05635a4a5b.0.tmp
/data/data/####/081f5b0f4cf7d68a78dc1d05635a4a5b.1.tmp
/data/data/####/08c3e3419c76582a5637359a51cb1660.0.tmp
/data/data/####/08c3e3419c76582a5637359a51cb1660.1.tmp
/data/data/####/1544229369653.log
/data/data/####/2074851f63418f5664b4549fa3445ebf.0.tmp
/data/data/####/2074851f63418f5664b4549fa3445ebf.1.tmp
/data/data/####/2703a3ba60ef3d3afec96bebaf90e34c.0.tmp
/data/data/####/2703a3ba60ef3d3afec96bebaf90e34c.1.tmp
/data/data/####/294fbe0f2e9f54a93d05efcfa358c50c.0.tmp
/data/data/####/294fbe0f2e9f54a93d05efcfa358c50c.1.tmp
/data/data/####/34cf8bd9254b96898eed390ce559ded8.0.tmp
/data/data/####/34cf8bd9254b96898eed390ce559ded8.1.tmp
/data/data/####/34d09f643b5a1064476ce5d6f8ab8a9e.0.tmp
/data/data/####/34d09f643b5a1064476ce5d6f8ab8a9e.1.tmp
/data/data/####/376030e62f1e2802ad23fa8295b3d70b.0.tmp
/data/data/####/376030e62f1e2802ad23fa8295b3d70b.1.tmp
/data/data/####/4487ce3a9cb0a0d215815597969fdcfc.0.tmp
/data/data/####/4487ce3a9cb0a0d215815597969fdcfc.1.tmp
/data/data/####/4c5b3d0b555c1a04f177322ec526f3e0.0.tmp
/data/data/####/4c5b3d0b555c1a04f177322ec526f3e0.1.tmp
/data/data/####/4effe40b96af3c32034e43ac8cf8ba16.0.tmp
/data/data/####/4effe40b96af3c32034e43ac8cf8ba16.1.tmp
/data/data/####/5414fc15940cae7dfbe6d9005e1a5f9c.0.tmp
/data/data/####/5414fc15940cae7dfbe6d9005e1a5f9c.1.tmp
/data/data/####/69f0914d4d5afa14dd2a186baf50a0ab.0.tmp
/data/data/####/69f0914d4d5afa14dd2a186baf50a0ab.1.tmp
/data/data/####/733b9647c5156871bdf0465ecf7a29a3.0.tmp
/data/data/####/733b9647c5156871bdf0465ecf7a29a3.1.tmp
/data/data/####/76c6deee846550136fc0d8d545855d2e.0.tmp
/data/data/####/76c6deee846550136fc0d8d545855d2e.1.tmp
/data/data/####/86a20a0aad6157648dc0400652aa4662.0.tmp
/data/data/####/86a20a0aad6157648dc0400652aa4662.1.tmp
/data/data/####/880146b234fc76d80625676ccec9f742.0.tmp
/data/data/####/880146b234fc76d80625676ccec9f742.1.tmp
/data/data/####/8940289eb49354ddb0bbb6da69462a18.0.tmp
/data/data/####/8940289eb49354ddb0bbb6da69462a18.1.tmp
/data/data/####/96665996b1f6cffc52e85eb759f723f8.0.tmp
/data/data/####/96665996b1f6cffc52e85eb759f723f8.1.tmp
/data/data/####/984af33b71b5b4927d94cc1332909fc0.0.tmp
/data/data/####/984af33b71b5b4927d94cc1332909fc0.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ContextData.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/NBSUserAction
/data/data/####/SteelpadAndroidCommon.xml
/data/data/####/WebViewSettings.xml
/data/data/####/appPackageNames
/data/data/####/b3ba468e1d6c03f1ef0bae31f7be7057.0.tmp
/data/data/####/b3ba468e1d6c03f1ef0bae31f7be7057.1.tmp
/data/data/####/b9bf18223307b810265843dcee405c3b.0.tmp
/data/data/####/b9bf18223307b810265843dcee405c3b.1.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.networkbench.agent.impl.v2_com.mysteel.andr...ad.xml
/data/data/####/com.networkbench.agent.impl.v2_com.mysteel.andr...ml.bak
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dbbada17311199db00044685ef846b3e.0.tmp
/data/data/####/dbbada17311199db00044685ef846b3e.1.tmp
/data/data/####/dc130625aeb2cf9354d64370d275ecba.0.tmp
/data/data/####/dc130625aeb2cf9354d64370d275ecba.1.tmp
/data/data/####/debug.conf
/data/data/####/e2e817ade3add162dcdbf776be58379b.0.tmp
/data/data/####/e2e817ade3add162dcdbf776be58379b.1.tmp
/data/data/####/e49b38c2c0d1f4a6dd2e5402cc46a29f.0.tmp
/data/data/####/e49b38c2c0d1f4a6dd2e5402cc46a29f.1.tmp
/data/data/####/e88d663261bb14171ec89c0d08c5b060.0.tmp
/data/data/####/e88d663261bb14171ec89c0d08c5b060.1.tmp
/data/data/####/ed66fccdd3233b11e06225fb77646649.0.tmp
/data/data/####/ed66fccdd3233b11e06225fb77646649.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2d92a1888b0b9ca9d65d009af35a98b.0.tmp
/data/data/####/f2d92a1888b0b9ca9d65d009af35a98b.1.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/f_000046
/data/data/####/f_000047
/data/data/####/f_000048
/data/data/####/f_000049
/data/data/####/f_00004a
/data/data/####/f_00004b
/data/data/####/f_00004c
/data/data/####/f_00004d
/data/data/####/f_00004e
/data/data/####/f_00004f
/data/data/####/f_000050
/data/data/####/f_000051
/data/data/####/f_000052
/data/data/####/f_000053
/data/data/####/f_000054
/data/data/####/f_000055
/data/data/####/f_000056
/data/data/####/f_000057
/data/data/####/f_000058
/data/data/####/f_000059
/data/data/####/f_00005a
/data/data/####/f_00005b
/data/data/####/f_00005c
/data/data/####/f_00005d
/data/data/####/f_00005e
/data/data/####/f_00005f
/data/data/####/f_000060
/data/data/####/f_000061
/data/data/####/f_000062
/data/data/####/f_000063
/data/data/####/f_000064
/data/data/####/f_000065
/data/data/####/f_000066
/data/data/####/f_000067
/data/data/####/f_000068
/data/data/####/f_000069
/data/data/####/f_00006a
/data/data/####/f_00006b
/data/data/####/f_00006c
/data/data/####/f_00006d
/data/data/####/f_00006e
/data/data/####/f_00006f
/data/data/####/f_000070
/data/data/####/f_000071
/data/data/####/f_000072
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/https_m.mysteel.com_0.localstorage-journal
/data/data/####/https_m.steelphone.com_0.localstorage-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/libjiagu-1396869409.so
/data/data/####/lock_dm
/data/data/####/lock_gt
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_imh016
/data/data/####/tdata_imh016.jar
/data/data/####/tmpd8.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.push_deviceid
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mysteel.android.steelpad.bin
/data/media/####/com.mysteel.android.steelpad.db
/data/media/####/tdata_imh016

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GetuiPushService 25815 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1396869409.so
getprop ro.product.cpu.abi

Загружает динамические библиотеки:

getuiext2
jcore113
libjiagu-1396869409
nbsdc2.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней