Adware.Gexin.6164

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) www.51ar####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
c####.g####.ig####.com
c-h####.g####.com
l####.tbs.qq.com
plb####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com
www.51ar####.com

Запросы HTTP GET:

t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_fyR930
www.51ar####.com/ArtChina/p/art/j.html?t=####&ttime=####
www.51ar####.com/ArtChina/p/art/j_i.html?u=####&t=####&ttime=####&appver...
www.51ar####.com/ArtChina/p/image/la-user.png
www.51ar####.com/ArtChina/p/image/loading.gif
www.51ar####.com/ArtChina/p/js/Const.js
www.51ar####.com/ArtChina/p/js/cck-util.js
www.51ar####.com/ArtChina/p/js/jweixin-1.3.2.js
www.51ar####.com/ArtChina/p/js/page.js
www.51ar####.com/ArtChina/p/js/tool.js
www.51ar####.com/ArtChina/p/js/tool.js?ttime=####
www.51ar####.com/ArtChina/p/main/home.html?userinfo=####&appver=####
www.51ar####.com/ArtChina/p/resources/css/iconfont.css
www.51ar####.com/ArtChina/p/resources/css/iconfont.svg?t=####
www.51ar####.com/ArtChina/p/resources/css/iconfont.ttf?t=####
www.51ar####.com/ArtChina/p/resources/css/mui.min.css
www.51ar####.com/ArtChina/p/resources/css/style.css
www.51ar####.com/ArtChina/p/resources/fonts/mui.ttf
www.51ar####.com/ArtChina/p/resources/images/artist/la-red-line.jpg
www.51ar####.com/ArtChina/p/resources/images/auction/la-pm1.png
www.51ar####.com/ArtChina/p/resources/images/index/la-back.png
www.51ar####.com/ArtChina/p/resources/images/index/la-circle.png
www.51ar####.com/ArtChina/p/resources/js/custom.js
www.51ar####.com/ArtChina/p/resources/js/iconfont.js
www.51ar####.com/ArtChina/p/resources/js/iscroll.js
www.51ar####.com/ArtChina/p/resources/js/jquery-1.7.2.min.js
www.51ar####.com/ArtChina/p/resources/js/mui.min.js
www.51ar####.com/ArtChina/p/resources/js/navbarscroll.js
www.51ar####.com/ArtChina/photoshow.jsp?path=####
www.51ar####.com/i/slt/upload/file_ls/20181029/18102915164414910061.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181102/18110201224454610047.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181104/18110411510328110170.jpg
www.51ar####.com/i/slt/upload/file_ls/20181105/18110521594721910047.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181107/18110715113873710103.jpg
www.51ar####.com/i/slt/upload/file_ls/20181107/18110722132316210419.jpg
www.51ar####.com/i/slt/upload/file_ls/20181108/18110817482972210613.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181108/18110822444148710044.jpg
www.51ar####.com/i/slt/upload/file_ls/20181109/18110914100743610085.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181110/18111021250568510679.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181114/18111410422217810331.jpg
www.51ar####.com/i/slt/upload/file_ls/20181116/18111616554752610645.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181118/18111819583868711675.jpg
www.51ar####.com/i/slt/upload/file_ls/20181119/18111915323012612152.jpg
www.51ar####.com/i/slt/upload/file_ls/20181126/18112616245974810300.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912051821410889.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912082403510893.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912154185110904.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912185085710907.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912215554810913.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912234098010916.JPG
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912243221410926.jpg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120912552580110945.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120913080498110963.jpeg
www.51ar####.com/i/slt/upload/file_ls/20181209/18120915430326411017.JPG
www.51ar####.com/i/slt/upload/user/100667/192fa8fd-b0b2-4065-a8dc-54b8c6...
www.51ar####.com/i/slt/upload/user/102267/e8a6e89e-3120-427d-af6a-c5bd35...
www.51ar####.com/i/slt/upload/user/102769/a66c6915-e0a5-45a7-8bf7-7a8b7c...
www.51ar####.com/i/slt/upload/user/104573/c542060d-5bf6-489e-b551-2154e9...
www.51ar####.com/i/slt/upload/user/104806/9cf186f7-d03c-40e4-8d1a-a8ac23...
www.51ar####.com/i/slt/upload/user/105073/636be5ba-c709-47d3-ab56-50b7ad...
www.51ar####.com/i/slt/upload/user/1129/3af4e8ec-a8df-446a-a2fc-0ba22973...
www.51ar####.com/i/slt/upload/user/788/8447255d-83e8-447a-938e-be252b176...
www.51ar####.com/i/yt/upload//5efc981d-ccf2-4703-b05f-9be758de9c84.jpg
www.51ar####.com/i/yt/upload//88292596-5e95-4f58-b11e-c21d27d64c8b.jpg
www.51ar####.com/i/yt/upload/file_ls/20181106/18110610540426310029.jpeg
www.51ar####.com/i/yt/upload/file_ls/20181112/18111210594305510024.jpg
www.51ar####.com/i/yt/upload/file_ls/20181112/18111211023577410029.png
www.51ar####.com/i/yt/upload/file_ls/20181113/18111311212540210352.png
www.51ar####.com/i/yt/upload/file_ls/20181116/18111617035971810657.png
www.51ar####.com/i/yt/upload/file_ls/20181119/18111914521191912127.png
www.51ar####.com/i/yt/upload/file_ls/20181130/18113000312274010029.png
www.51ar####.com/i/yt/upload/file_ls/20181130/18113012124155110349.png
www.51ar####.com/i/yt/upload/file_ls/20181130/18113012164566610356.png
www.51ar####.com/i/yt/upload/file_ls/20181130/18113016383398010907.jpg
www.51ar####.com/i/yt/upload/file_ls/20181130/18113016453842710928.jpg
www.51ar####.com/i/yt/upload/file_ls/20181204/18120421464244811288.jpg
www.51ar####.com/i/yt/upload/file_ls/20181204/18120421485246311292.jpeg
www.51ar####.com/i/yt/upload/file_ls/20181205/18120510201917610098.jpg
www.51ar####.com/i/yt/upload/file_ls/20181205/18120510230182110100.jpg
www.51ar####.com/i/yt/upload/file_ls/20181207/18120712001861110231.jpg
www.51ar####.com/i/yt/upload/file_ls/20181208/18120809264227410217.jpg

Запросы HTTP POST:

a####.exc.mob.com/errconf
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
www.51ar####.com/ArtChina/s/ajaxData/loadAdvertisement
www.51ar####.com/ArtChina/s/ajaxData/loadAuctionList
www.51ar####.com/ArtChina/s/ajaxData/loadart_list
www.51ar####.com/ArtChina/s/ajaxData/loadartistinfo
www.51ar####.com/ArtChina/s/ajaxData/loadgdnews
www.51ar####.com/ArtChina/s/ajaxData/loadnews_list?ttime=####
www.51ar####.com/ArtChina/s/ajaxData/loaduser?ttime=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewSettings.xml
/data/data/####/a==7.5.4&&2.0.3_1544356478419_envelope.log
/data/data/####/app.xml
/data/data/####/core_info
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0MzU2NDc3ODg1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/domain_1
/data/data/####/download_upload
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&2.0.3_1544356477993_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-1095731924.so
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_fyR930
/data/data/####/tdata_fyR930.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/cn.cmkj.artchina.bin
/data/media/####/cn.cmkj.artchina.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_bca864
/data/media/####/tdata_fyR930
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.MyPushService 24564 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

getuiext3
libjiagu-1095731924

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней