Adware.Gexin.6257

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) scs.opensp####.cn:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cloud####.fengkon####.com:80
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(SSL/3.0) ada####.m.ta####.com:443
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) mbp.ji####.com:443
TCP(TLS/1.0) 5####.80.36.249:443
TCP(TLS/1.0) t####.c####.q####.####.com:443
TCP(TLS/1.0) 2####.107.1.65:443
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) app-hy####.ji####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) g.al####.com:443
TCP(TLS/1.0) acg####.ji####.com:443
TCP(TLS/1.0) img####.ji####.com:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) 2####.107.1.1:443
TCP(TLS/1.0) a####.ji####.com:443
TCP(TLS/1.0) img.ji####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) jktt####.ji####.com:443
TCP(TLS/1.0) beacon####.aliy####.com:443
TCP(TLS/1.0) clie####.go####.com:443
TCP(TLS/1.0) ap####.ji####.com:443
TCP(TLS/1.0) s####.ji####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.ji####.com
a####.man.aliy####.com
acg####.ji####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
and####.b####.qq.com
ap####.ji####.com
app-hy####.ji####.com
beacon####.aliy####.com
c####.g####.ig####.com
c-h####.g####.com
clie####.go####.com
cloud####.fengkon####.com
d####.opensp####.cn
dc1.network####.com
f####.fengkon####.com
fe-acg####.ji####.com
g.al####.com
h####.opensp####.cn
hm.b####.com
hotfix####.aliy####.com
i####.ji####.com
img####.ji####.com
img.ji####.com
img2-c####.itou####.cn
jktt####.ji####.com
l####.tbs.qq.com
mbp.ji####.com
pub-####.qin####.com
redi####.network####.com
s####.ji####.com
scs.opensp####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
w####.ji####.com
www.go####.com

Запросы HTTP GET:

h####.opensp####.cn/launchconfig?t=####&p=bWFsb####
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_fyR930

Запросы HTTP POST:

and####.b####.qq.com/rqd/async
beacon####.aliy####.com/beacon/fetch/config/byappkey
c-h####.g####.com/api.php?format=####&t=####
cloud####.fengkon####.com/v2/device/conf
f####.fengkon####.com/v2/device/profile
l####.tbs.qq.com/ajax?c=####&k=####
scs.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
scs.opensp####.cn/scs?cmd=####&logver=####&size=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/06bfee2bc4f8b4ef8950cd4f8513c0a8351ff8f56ca6a92....0.tmp
/data/data/####/0a1e191db7f2cf852db3318714e16fc55940a9ef6aee4d9....0.tmp
/data/data/####/13c467e05cb0dd98e065a07052a6cd7ca3269a656913ae9....0.tmp
/data/data/####/13c8796430130cfa77a18cea649efb261c27514f396ade1....0.tmp
/data/data/####/15ef553d623e32c48c4a8c28d62189beeebf2de8c73183d....0.tmp
/data/data/####/192fad489b5257f477e39693ee77a56c3d4a43925cd1ea7....0.tmp
/data/data/####/1a162f8840bdf0cc3b890f6b0a3fbc70f3a40eea3fdc48f....0.tmp
/data/data/####/1e8d92e859a8132230a9851b6d71203b93a7f1fa11eee53....0.tmp
/data/data/####/221b22ed78b9940d7a9877643a195fbbf63cb003381391c...7484.0
/data/data/####/2b5098339b727fe2e63167cbf3d444980640ee00f424137....0.tmp
/data/data/####/2e1cd8f4568e31d22a0dc9389b9145753240df2ff176dd8....0.tmp
/data/data/####/3535f5eb1e5b0844ceeb5b8ff15a7676ede947357697c23....0.tmp
/data/data/####/3599929d475aeb91955a140cb933f62de040fdbeb48311a....0.tmp
/data/data/####/3706b2ce43c2cc688a0b7d35c35e411ce4d626faca69279....0.tmp
/data/data/####/37f338027b51fe6694aa519e2db52b7e02462434a269063....0.tmp
/data/data/####/38f0c648d46ef670a53a99cd2f4986cc2a5bbd3a0e5c9f4....0.tmp
/data/data/####/3b77d58ab8c9f6b30a7a1a3360614c179d9ef99a740fc5a....0.tmp
/data/data/####/4561d240e63323cc8b9a2e7bf538a3c82c8dfb50325154b....0.tmp
/data/data/####/4b5f6db85cb8c227b38121c91bc2567def21cc5a8eea997....0.tmp
/data/data/####/4d0227dd9576313e6da3b0086c5e5d6df74f467926afc2d....0.tmp
/data/data/####/5862be9b723e791a59f5868fb55f103c9fed67c57dd78cc....0.tmp
/data/data/####/586addb7a2e7edcd4b822c6e6a5da2ca22211aeea128338....0.tmp
/data/data/####/5c240ae06387ee26a7dfc9543b89f970818d3edb1d51abe....0.tmp
/data/data/####/5dca8690a1ecb5a5dba8605308f00e0850b1335884cce5f....0.tmp
/data/data/####/5e0447927ff2122ced218dca2065f484fc1fa5a04e90089....0.tmp
/data/data/####/5fee6b562835cf0dab681aac25840ae023a552e378c38ee....0.tmp
/data/data/####/60146a5492aab800cf76c94114e4a6c3d3136e8d34a1077....0.tmp
/data/data/####/61ab5aa30b66f15c47805ee2929990a818bf927fc6904ed....0.tmp
/data/data/####/681d66eb5b8bb0a997144159cf956ea9c479ca2ecf09edb....0.tmp
/data/data/####/6850ed096f033a3078e4b099ed7218b4155911188ac41dd....0.tmp
/data/data/####/6b75863c79c55a10d3be9023fe3923d83f3e2842d7e7636....0.tmp
/data/data/####/778bc04d7fbd38c1efa62c4cec1bedae6a717094faceb73....0.tmp
/data/data/####/823e51f78c9ded521e25ae18b8dcca2b5b0546bbaba6f09....0.tmp
/data/data/####/82d7726a2ff718843ec44f2b20f7e66bfbb688333d85fc2....0.tmp
/data/data/####/8585e15a973033aa60e133995f6f2aebbe24f38b47638ac....0.tmp
/data/data/####/8a56346afc4cb90cc127e1ac432ed1e6e581552b07d35c8....0.tmp
/data/data/####/8fc315b9700e093511f3231673d19daa2f89fdbd7c656ce....0.tmp
/data/data/####/906ed3919ef102ed96cd09cd5074db811e165a3ec58f35b....0.tmp
/data/data/####/933894e5d002bf328391e44fd3cc007d54139314c242b85....0.tmp
/data/data/####/9a83543bc8f313ea6e3eddb366e5dfb1703aca9e00a7ad3....0.tmp
/data/data/####/9c0adea14e7284860b1f6bbc38868154812d5554de8dda8....0.tmp
/data/data/####/9d09cf9c2aaccf073338966cb15a2a524c10a54a3254bb9....0.tmp
/data/data/####/9f5d9ddc197092a44925fcdd97f1df61a6855a38845889b....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ContextData.xml
/data/data/####/JK_AreaRegion.xml
/data/data/####/NBSCrashStore.xml
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/UTCommon.xml
/data/data/####/a1e44d0b5829366d1621f90bd17ef765fb14abee96e94c3....0.tmp
/data/data/####/a401d5db5eae6625ab15c23d4358133f580f664116d1f32....0.tmp
/data/data/####/a4ec73b3a3bc9991e47246d8d2c2f95bb927db23f02f2e2....0.tmp
/data/data/####/a645d32cf2f84c098f978b2edb447ad3acd6af7fb88831e....0.tmp
/data/data/####/a8c399cda8f0f55e69b64bd167fc113d054d72222f11734....0.tmp
/data/data/####/ap.Lock
/data/data/####/b04f3de8bf12ede1f8681599931fd1d2f3a8658b3fd79ee....0.tmp
/data/data/####/b73f1c541a7a7d6a9fb9737248b180e69d472a2ab1de02b....0.tmp
/data/data/####/b851e3c67f855a24050e0869b96320384f98f0f8caf7b27....0.tmp
/data/data/####/b9b54b67cf5978e7f75c8e1a064533300d7b9eeff9b2707....0.tmp
/data/data/####/bc15049eb2671897dda8f793ce9cca528642500cfde5ac3....0.tmp
/data/data/####/bcf826fca4951f83f4bc0422ddd0eebfe8a3bda68d04e4b....0.tmp
/data/data/####/bd78bf23d376bd8c88be19c4d9392c0143413af7c955c7f....0.tmp
/data/data/####/bd7f45e84eebf578af6ff0d72852c2e814e320ab7bd4f5e....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/c13c5b25663a14cbda74de35b81014338a220c5a7a3697c....0.tmp
/data/data/####/c63be6f3c7255767a21795344820a00728e5d31964c8167....0.tmp
/data/data/####/c7464167ab93bdbfd7fcaf084d891a525efb69f493fc091....0.tmp
/data/data/####/c8f1dcc7448230a55c6a89a36ccde096cc74167aa590f2a....0.tmp
/data/data/####/c9a1d1299e457a7a0b8aa31288ac1327238d726936b69ec....0.tmp
/data/data/####/ca25b0652433210222e5afde8d0567a76fda3fb859208f3....0.tmp
/data/data/####/ca569d11d52418be96ae0881f6db9fc1586e9288e4a92b6....0.tmp
/data/data/####/cb545c6e0622f2998d91611843fce5812c903bbfc9079ea....0.tmp
/data/data/####/cloudms.conf.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/com.jiankecom.jiankemall-journal
/data/data/####/com.jiankecom.jiankemall.cache.SplashCache.xml
/data/data/####/com.jiankecom.jiankemall_preferences.xml
/data/data/####/com.networkbench.agent.impl.v2_com.jiankecom.ji...ll.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.shumei.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/core_info
/data/data/####/d1d493d3b90e6510c909550806bfb2a11b1bd8421b2e98f....0.tmp
/data/data/####/d3f393f443cbfda065d2e052dcdfd408dbc6a0d3487a922....0.tmp
/data/data/####/d4f78405fdcda114e40f8f00b41885469910482a3b8f463....0.tmp
/data/data/####/d57965a23ca564a759b17074e3f9a8e9f8f7466bea09fd4....0.tmp
/data/data/####/d8c804ffaee84fd78d79c7ef6c1786f52e50a1aac8c3dba....0.tmp
/data/data/####/d90207efa19903c54e5fd3f7669d3ed642337c3b6241de5....0.tmp
/data/data/####/daa3b15e59484bd2636cfd0c4a02bb35d9be73d73ff631e....0.tmp
/data/data/####/data.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db2d620a3bd7693b491609c025cd73fa56e72e7b90befda....0.tmp
/data/data/####/db754a619ccb4d311cacdff94d38a46db48fef672993a1e....0.tmp
/data/data/####/dcc432673fe8194d4d79f2c1e5bc6cec69e6eff9d03fe21....0.tmp
/data/data/####/deb3363167e9af034a151b458068f50d9ab1d579727e7e8....0.tmp
/data/data/####/debug.conf
/data/data/####/e21303108880c6a8fe37af1fa374107f41d39ce833849f3....0.tmp
/data/data/####/eab5736dbf9634be50b0911ca2b2ce942b1dfaf3a0b03bf....0.tmp
/data/data/####/ed699107ffca3b0c9badc376ceb208ddce8c4da5b289061....0.tmp
/data/data/####/eedf27fea95286340babfcef35d114b24d00e95a712634f....0.tmp
/data/data/####/ef3c705bd0448c370d4dc9d911368b2c98dc01f11504eca....0.tmp
/data/data/####/f624b67a96064f0b9ab29e247ec8fceb33a4e8410122097....0.tmp
/data/data/####/f759b130ef29eb2f492207720c94330275d4710b403b136....0.tmp
/data/data/####/f785b2335e26419d3632d90501a6a5c0d74cd098906e4e5....0.tmp
/data/data/####/f8f136e03558a1815c19a7929b536b84f1e8629f06faa48....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/fb76733951d805c8102e572e889eb05eba242a8d8e1ea9c....0.tmp
/data/data/####/fcb4ee0a60be05b4371ee4ebdb8d961a59e0bbd64c43c99....0.tmp
/data/data/####/fec382f2bd637ccaad874b66b7adb48151ddfd10c76f662....0.tmp
/data/data/####/ffa65022c6ad826f47520df32b683556c562a947cfc961e....0.tmp
/data/data/####/first_pref.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/head_line.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/https_app-hybrid.jianke.com_0.localstorage-journal
/data/data/####/https_app-tt.jianke.com_0.localstorage-journal
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.jiankecom.jiankemall.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/init_tables_pref.xml
/data/data/####/jk_appupdate_on.xml
/data/data/####/jk_chat_setting.xml
/data/data/####/jk_current_versioncode.xml
/data/data/####/jk_first_install.xml
/data/data/####/jk_mall.db-journal
/data/data/####/jk_myheadline_domain.xml
/data/data/####/jk_presentgift_setting.xml
/data/data/####/jk_rxsetting.xml
/data/data/####/jk_sp_member.xml
/data/data/####/jk_sp_member.xml.bak
/data/data/####/jk_spcommon_data_healthCoinTip.xml
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mail_settings.xml
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/my_setting_pref.xml
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/seq.xml
/data/data/####/sp_jk_component_setting.xml
/data/data/####/sp_jk_dynamicdns.xml
/data/data/####/sp_jk_is_openhttpdns.xml
/data/data/####/sp_search_keyword.xml
/data/data/####/sp_showphotoscan.xml
/data/data/####/sp_sophix.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_fyR930
/data/data/####/tdata_fyR930.jar
/data/data/####/tracker.db-journal
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.nomedia
/data/media/####/.thumbcache_idx0
/data/media/####/27e3f2ebd2750a41bf48dd9a3a5e8e1f.0.tmp
/data/media/####/27e3f2ebd2750a41bf48dd9a3a5e8e1f.1.tmp
/data/media/####/4059082feab7090494c91ecf4a384a93.0.tmp
/data/media/####/4059082feab7090494c91ecf4a384a93.1.tmp
/data/media/####/502a2d9a2dc8c5ec13b83a1dfa183180.0.tmp
/data/media/####/502a2d9a2dc8c5ec13b83a1dfa183180.1.tmp
/data/media/####/67612623a26c21c18795ca24f1463aaf.0.tmp
/data/media/####/67612623a26c21c18795ca24f1463aaf.1.tmp
/data/media/####/845acefd6174978aab9fd727b41ccf35.0.tmp
/data/media/####/845acefd6174978aab9fd727b41ccf35.1.tmp
/data/media/####/87dedc655b92282e77c157c72d9db825.0.tmp
/data/media/####/87dedc655b92282e77c157c72d9db825.1.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/b6203982b6eae6df8a88ee820248a524.0.tmp
/data/media/####/b6203982b6eae6df8a88ee820248a524.1.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jiankecom.jiankemall.db
/data/media/####/f032e063b9032a3aef643e699291cc6b.0.tmp
/data/media/####/f032e063b9032a3aef643e699291cc6b.1.tmp
/data/media/####/fb075ebd068b916c145c1d6c162f3dfb.0.tmp
/data/media/####/fb075ebd068b916c145c1d6c162f3dfb.1.tmp
/data/media/####/helpYouProductList.json
/data/media/####/homepageListsNew.json
/data/media/####/iflyworkdir_test
/data/media/####/journal.tmp
/data/media/####/navigationBarAndSearchTitleResponse.json
/data/media/####/shumei.txt
/data/media/####/tdata_bca864
/data/media/####/tdata_fyR930
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25404 300 0
cat /proc/self/cgroup
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
ps
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25404 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-2.9.0.2
libufix
msc
nfix
smsdk
ufix
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
DES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней