Adware.Gexin.6271

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pub-####.qin####.com:80
TCP(HTTP/1.1) o####.xf####.com:80
TCP(HTTP/1.1) t.j####.com:8008
TCP(HTTP/1.1) log.ifl####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) m.kuaid####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) hm.b####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) 42.62.1####.19:1028
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) phon####.x####.d####.com:80
TCP(HTTP/1.1) www.j####.com:80
TCP(HTTP/1.1) h####.xf####.com:80
TCP(HTTP/1.1) t.j####.com:8081
TCP(HTTP/1.1) o####.xf####.com:1028
TCP(HTTP/1.1) 1####.55.144.200:80
TCP(TLS/1.0) cdn.kuaid####.com:443
TCP(TLS/1.0) 1####.217.20.78:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) m.kuaid####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.exc.mob.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.s####.mob.com
c####.g####.ig####.com
c####.kuaid####.com
c-h####.g####.com
cdn.kuaid####.com
d####.opensp####.cn
h####.xf####.com
hm.b####.com
log####.ifl####.com
log.ifl####.com
m.d####.mob.com
m.kuaid####.com
o####.xf####.com
phon####.x####.d####.com
pub-####.qin####.com
scs.opensp####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t.j####.com
www.j####.com

Запросы HTTP GET:

h####.xf####.com/sip/resolver?srand=####
hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
hm.b####.com/hm.js?22ea01a####
m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
m.kuaid####.com/
m.kuaid####.com/apicenter/courier.do?method=####&logtype=####
m.kuaid####.com/querycookie.jsp?jsoncallback=####&_=####
o####.xf####.com/ipcfg.txt
o####.xf####.com:1028/Ping.txt
phon####.x####.d####.com/weather/getWeatherByAreaID?areaId=####
pub-####.qin####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_ntt510
t.j####.com:8008/app_if/MobileApp?appKey=####&channel=####&versionCode=#...
t.j####.com:8008/app_if/amuc/api/read/getUserPermission?uid=####&siteID=...
t.j####.com:8008/app_if/discussCount?id=####&type=####&siteId=####&sourc...
t.j####.com:8008/app_if/discussHot?jsoncallback=####&id=####&type=####&s...
t.j####.com:8008/app_if/discussView?jsoncallback=####&id=####&type=####&...
t.j####.com:8008/app_if/getArticles?columnId=####&version=####&lastFileI...
t.j####.com:8008/app_if/getColumns?siteId=####&parentColumnId=####&versi...
t.j####.com:8008/app_if/getConfig?appID=####
t.j####.com:8008/app_if/getPaperArticle?id=####
t.j####.com:8008/app_if/hasFav?userID=####&articleID=####&siteID=####&ty...
t.j####.com:8008/app_if/redDot?siteID=####
t.j####.com:8081/jnrb/201707/26/15e6dac5-c96d-4277-b8b0-8b93792ec366.png
t.j####.com:8081/jnrb/201707/26/2f4c0eb3-d3b2-48c7-988f-4b055ab994a2.png
t.j####.com:8081/jnrb/201707/26/33366e2d-1b5e-48fd-866c-ee0f369bb70c.png
t.j####.com:8081/jnrb/201707/26/46881957-6ff5-4f3b-93eb-e17d642d56e5.png
t.j####.com:8081/jnrb/201707/26/4f65c474-c074-40aa-be14-3981bc006bfb.png
t.j####.com:8081/jnrb/201707/26/a5c92c44-2ff7-49d9-9387-2ce9fe527680.png
t.j####.com:8081/jnrb/201707/26/ca019fc1-3864-40d4-8ea6-543f28050d5c.png
t.j####.com:8081/jnrb/201707/26/fda608e1-27e8-4cd4-8996-6f38315048d8.png
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.j####.com/404c21bf-54f4-4830-9e14-b5ffd6db589a.zip
www.j####.com/75423517-8a3a-4d8f-9265-1ae317d56eb2.jpg
www.j####.com/paperapp/pic/201812/09/4d14fe1c-ffea-41da-9acc-0f7cc346d9a...
www.j####.com/paperapp/pic/201812/09/95d98a6b-c5a4-4cef-810b-8b55c8fd1b7...
www.j####.com/zsjn/pic/2018-12/09/2e2346a7-7df0-48c7-bd23-8f12040dd8ea.jpg
www.j####.com/zsjn/pic/2018-12/09/4d14fe1c-ffea-41da-9acc-0f7cc346d9a2.jpg
www.j####.com/zsjn/pic/2018-12/09/5f2b9ec4-d71b-4c96-befe-b5c0ea2f9fa8.jpg
www.j####.com/zsjn/pic/2018-12/09/8069b86a-21d8-4b28-944a-aa2cfcd5833e.jpg
www.j####.com/zsjn/pic/2018-12/09/9fe76f70-cc66-4820-a1c3-1426710404af.j...
www.j####.com/zsjn/pic/2018-12/09/b42d0e35-174d-4aab-a0fe-b362560e5bc28f...
www.j####.com/zsjn/pic/2018-12/09/c0bf9cc0-2c5a-460e-bde0-01b58b6b30e0.jpg
www.j####.com/zsjn/pic/2018-12/09/e4bd0956-0eba-45cd-a20e-42750336575a.jpg

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
c-h####.g####.com/api.php?format=####&t=####
log.ifl####.com/hotupdate
log.ifl####.com/index.php/clientrequest/clientcollect/isCollect
log.ifl####.com/log?product=####&appid=####&size=####&platform=####&sour...
log.ifl####.com/scs?cmd=####&logver=####&size=####
log.ifl####.com/scs?logver=####&cmd=####&size=####
m.kuaid####.com/mobile/mobileapi.do
o####.xf####.com:1028/msp.do
sdk.o####.p####.####.com/api.php?format=####&t=####
t.j####.com:8008/app_if/event
t.j####.com:8008/app_if/getPaperDates
t.j####.com:8008/app_if/getPaperLayouts
t.j####.com:8008/app_if/getPapers

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1005909431
/data/data/####/-1084604138
/data/data/####/-1194544856
/data/data/####/-1391058361
/data/data/####/-1681567853
/data/data/####/-1693183643
/data/data/####/-1791963451
/data/data/####/-1988476956
/data/data/####/-211977331
/data/data/####/-408490836
/data/data/####/-809395926
/data/data/####/-934889704
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.project
/data/data/####/.statistics
/data/data/####/02.png
/data/data/####/1030950414
/data/data/####/1038952379
/data/data/####/107192b530383501f2ff28a495409ddd3cf3b131439de58....0.tmp
/data/data/####/1084282501
/data/data/####/117503403
/data/data/####/1221409398
/data/data/####/1402515637
/data/data/####/1691443635
/data/data/####/1887957140
/data/data/####/1970085122
/data/data/####/35ec4e4ac4c318e8f5174257340c46a683f0086b66ecea9....0.tmp
/data/data/####/3a78e0e0285117e13c0aedb17b6b88c781d083dbc94cb18....0.tmp
/data/data/####/3a82bca909e07fad2e07ee8d30cc813ef34bb084cb63fb2....0.tmp
/data/data/####/3b464c45b3f004875486a636d7384b095d255b70f47209b....0.tmp
/data/data/####/4056d5bc002f16a4989983efbf501d993b2b2bf98741fa6....0.tmp
/data/data/####/4091c8d4d44ede05cd8ff82775267852a41ce003f28f5a2....0.tmp
/data/data/####/476422952
/data/data/####/48e8e828de111de70339a3260452e81416f21ace0d97804....0.tmp
/data/data/####/6050ccd38d01245e604cccf6c220a88331776b8777f3c6e....0.tmp
/data/data/####/69ebd58b9b73083e23e39a80eecc0b7127484e03c483b62....0.tmp
/data/data/####/6cfff96db8392d92bed66361f03cb33459307d3d8f8f45f....0.tmp
/data/data/####/6fd6e4d82877
/data/data/####/704f4aa1ca9b2c3369ea4451958ecde4556a015033c832c....0.tmp
/data/data/####/708876110
/data/data/####/71.png
/data/data/####/72.png
/data/data/####/7ea2ec270f7e7f6fcda33f019e78bfa06534f1e47b9f19e....0.tmp
/data/data/####/833037133
/data/data/####/905389615
/data/data/####/9b519520f28b89c98557a3bdfb66cb0ca90ec3cc411804b....0.tmp
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/a783408f3b74ecb2f238feb3f600c60662e71aa6d89d3e8....0.tmp
/data/data/####/active.css
/data/data/####/active.html
/data/data/####/active.js
/data/data/####/active.js.bak
/data/data/####/angular.js
/data/data/####/articleJson.js
/data/data/####/articleJson.js.bak
/data/data/####/attId_0_newsId_610184_articleJson.js
/data/data/####/b762aa737f556e1444aabdc202aaa371c1e2ea260918147....0.tmp
/data/data/####/base.css
/data/data/####/bf077879d1729a27881aee96f14106f89fb35afa2e847f5....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/c209660c7536ab0ce4648a7f8b820e448c5ad9c3c21c869....0.tmp
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/content_template.html
/data/data/####/d843974c9eeffc9ae68cec5bce130d69a68f1f3df4d755d....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder26118
/data/data/####/db_founder26118-journal
/data/data/####/def4012dd80909a85b9e0edcaf5d7f95a7ada7c301f872c....0.tmp
/data/data/####/defaultImg.png
/data/data/####/e0eb5d857e952735c49e3c3c2b9a294d20a5e8385832a4f....0.tmp
/data/data/####/eb8f11509233b0a68591c17f6edfe4a262a71b4aea3a40d....0.tmp
/data/data/####/f3e553c7a7d64a1f445db415005fe6d923fbf54a6c527ab....0.tmp
/data/data/####/f3e811d5a5dbdedfe250c13671eae10dab265824533af5c....0.tmp
/data/data/####/f4272400c4fd809ef171f094518a13cd4c6bbe6f7c881af....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/flexible.js
/data/data/####/fontSytleMsg.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/iflytek_cached_com.jiningdaily.product
/data/data/####/iflytek_collect_state.xml
/data/data/####/iflytek_device_info.jar
/data/data/####/iflytek_state_com.jiningdaily.product.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jquery-1.9.1.min.js
/data/data/####/jxcom.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_cached_com.jiningdaily.product
/data/data/####/mobclick_agent_header_com.jiningdaily.product.xml
/data/data/####/mobclick_agent_state_com.jiningdaily.product.xml
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/playBtn.png
/data/data/####/portrait.jpg
/data/data/####/praise.png
/data/data/####/praised.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/py.png
/data/data/####/qaPage.css
/data/data/####/qaPage.html
/data/data/####/qaPage.js
/data/data/####/qq.png
/data/data/####/reader.db-journal
/data/data/####/reader.png
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/subscribeColumnId.xml
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/vue-resource.js
/data/data/####/vue.js
/data/data/####/wb.png
/data/data/####/weatherSp.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/weibo_logo.png
/data/data/####/wx.png
/data/media/####/.2F6E2C5B63F0F83B
/data/media/####/.cuid
/data/media/####/.dic_lock
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jiningdaily.product.bin
/data/media/####/com.jiningdaily.product.db
/data/media/####/iflyworkdir_test
/data/media/####/localTemplate.zip
/data/media/####/tdata_Soq141
/data/media/####/tdata_ntt510
/data/media/####/test.log
/data/media/####/u.data
/data/media/####/urec.data
/data/media/####/usr.cdata1544406903

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.founder.product.push.MyGetuiService 25350 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh

Загружает динамические библиотеки:

Bugly
RSSupportIO
getuiext2
libnfix
librsjni
libshella-2.9.0.2
libufix
msc
neh
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней