Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Adware.Gexin.7397

Добавлен в вирусную базу Dr.Web: 2019-01-09

Описание добавлено:

Техническая информация

Вредоносные функции:
Выполняет код следующих детектируемых угроз:
  • Adware.Gexin.2.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(HTTP/1.1) pub-####.qin####.com:80
  • TCP(HTTP/1.1) oss.lanlan####.com:80
  • TCP(HTTP/1.1) beacon####.aliy####.com:80
  • TCP(HTTP/1.1) a####.b####.qq.com:8011
  • TCP(HTTP/1.1) a####.b####.qq.com:8012
  • TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
  • TCP(HTTP/1.1) sqb.xiaosh####.com:80
  • TCP(HTTP/1.1) t####.c####.q####.####.com:80
  • TCP(HTTP/1.1) and####.b####.qq.com:80
  • TCP(HTTP/1.1) sdk.o####.p####.####.com:80
  • TCP(HTTP/1.1) 2####.107.1.1:80
  • TCP(HTTP/1.1) c-h####.g####.com:80
  • TCP(HTTP/1.1) wild####.al####.com.####.net:80
  • TCP(HTTP/1.1) a####.u####.com:80
  • TCP(HTTP/1.1) o####.lanlan####.com:80
  • TCP(TLS/1.0) nbsdk-b####.al####.com:443
  • TCP(TLS/1.0) oss.lanlan####.com:443
  • TCP(TLS/1.0) and####.cli####.go####.com:443
  • TCP(TLS/1.0) o####.lanlan####.com:443
  • TCP(TLS/1.0) ada####.m.ta####.com:443
  • TCP(TLS/1.0) 2####.107.1.97:443
  • TCP(TLS/1.0) dfp.xi####.com:443
  • TCP(TLS/1.0) sh.wagbr####.ta####.com:443
  • TCP(TLS/1.0) l####.tbs.qq.com:443
  • TCP(TLS/1.0) icar####.icardfi####.com:443
  • TCP c####.g####.ig####.com:5225
  • TCP sdk.o####.t####.####.com:5224
Запросы DNS:
  • 7j####.c####.z0.####.com
  • a####.b####.qq.com
  • a####.man.aliy####.com
  • a####.u####.com
  • ada####.ut.ta####.com
  • adas####.ut.ta####.com
  • aexcep####.b####.qq.com
  • and####.b####.qq.com
  • and####.cli####.go####.com
  • beacon####.aliy####.com
  • c####.g####.ig####.com
  • c-h####.g####.com
  • dfp.xi####.com
  • icar####.icardfi####.com
  • img.al####.com
  • l####.tbs.qq.com
  • nbsdk-b####.al####.com
  • o####.lanlan####.com
  • o####.lanlan####.com
  • o####.lanlan####.com
  • oss.lanlan####.com
  • pub-####.qin####.com
  • sdk.c####.ig####.com
  • sdk.o####.p####.####.com
  • sdk.o####.t####.####.com
  • sdk.o####.t####.####.com
  • sdk.o####.t####.####.net
  • sqb.xiaosh####.com
  • y####.al####.com
Запросы HTTP GET:
  • o####.lanlan####.com/3a16b70105d2548817bbbd472effed2c_144x144.png
  • o####.lanlan####.com/3beb1b898734e2ab5bed875e752d996d_144x144.png
  • o####.lanlan####.com/4c4669dccf33b9ceb61e06db14a25506_463x1080.jpg
  • o####.lanlan####.com/50d32c5c53b05c1dc0fb72c9fa0538f6_144x144.png
  • o####.lanlan####.com/5ae050960dd3a79a5b32293ef22c8aff_800x800.jpg@!1-300...
  • o####.lanlan####.com/73ae6d3b61ecaedabbf9aac320b4bc9d_540x375.png
  • o####.lanlan####.com/763dc12ea3b3f7d118147f2788c76bd6_144x144.png
  • o####.lanlan####.com/7c1b3d57ff966980a366af29e7067a2d_270x750.png
  • o####.lanlan####.com/95609390f99a2309e42d7e2547136271_270x375.png
  • o####.lanlan####.com/ac_xncss.webp
  • o####.lanlan####.com/e32c1bb301d00a96c303e730e4fea5a3_144x144.png
  • o####.lanlan####.com/eea2f1ca38cd56e9dc6281be04033532_144x144.png
  • o####.lanlan####.com/f1fb266918d31d23610a27949bc24741_800x800.jpg@!1-300...
  • o####.lanlan####.com/f89b2e3fea1d592eb2f852404dc97888_300x750.jpg
  • oss.lanlan####.com/0d3ee88c2b111b87a383e86a91b45b79_144x144.png
  • oss.lanlan####.com/41b817966bb154312c0f7c9c79f8c028_800x800.jpg@!1-300-9...
  • oss.lanlan####.com/607c3f41929f5368ad8791b03ad2b2b6_42x42.png
  • oss.lanlan####.com/8790c43a4ae8c241e2a6025a9a90d65d_270x375.png
  • oss.lanlan####.com/8fc5ddb73550febd8d9f1a65d1657765_144x144.png
  • oss.lanlan####.com/a370af627004ec1ce7810369869be597_800x800.jpg@!1-300-9...
  • oss.lanlan####.com/b32259b175c59c05ab1a99347208a3b6_300x750.jpg
  • oss.lanlan####.com/d8a19e18505d843d96809a2301532cac_800x800.jpg@!1-300-9...
  • pub-####.qin####.com/tdata_EDT369
  • sqb.xiaosh####.com/api/1/app/init/?_did=####&_app=####&_atype=####&_netw...
  • sqb.xiaosh####.com/api/1/index/getCategory/?_did=####&_app=####&_atype=#...
  • sqb.xiaosh####.com/api/1/index/index/?_did=####&_app=####&_atype=####&_n...
  • t####.c####.q####.####.com/config/hz-hzv3.conf
  • t####.c####.q####.####.com/tdata_bca864
  • t####.c####.q####.####.com/tdata_fyR930
  • wild####.al####.com.####.net/tfscom/i1/2452421806/O1CN01XUyw2I1PDBmAr0EN...
  • wild####.al####.com.####.net/tfscom/i1/3171335077/O1CN01BFVOwQ1nNJJl8Q65...
  • wild####.al####.com.####.net/tfscom/i2/2184963456/O1CN011bOtGYrZlAM3w97_...
  • wild####.al####.com.####.net/tfscom/i2/3906014125/O1CN01Yb2vHK1gLIFZP46f...
  • wild####.al####.com.####.net/tfscom/i3/4175407401/O1CN0124XhkNOxglcz0Di_...
Запросы HTTP POST:
  • a####.b####.qq.com:8011/rqd/async
  • a####.b####.qq.com:8012/rqd/async
  • a####.u####.com/app_logs
  • and####.b####.qq.com/rqd/async
  • and####.b####.qq.com/rqd/async?aid=####
  • beacon####.aliy####.com/beacon/fetch/config/byappkey
  • c-h####.g####.com/api.php?format=####&t=####
  • hk.wagbr####.non####.####.com/saveWb.json
  • sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
  • /data/data/####/.imprint
  • /data/data/####/0a231bd8575dcf72.txt
  • /data/data/####/1004
  • /data/data/####/149db781da20
  • /data/data/####/21c22f492aba3de8.lock
  • /data/data/####/8ef9c457b3bbb403.lock
  • /data/data/####/930a31b34bd52c08.lock
  • /data/data/####/AlibcLinkPartner.xml
  • /data/data/####/Alvin2.xml
  • /data/data/####/ContextData.xml
  • /data/data/####/MultiDex.lock
  • /data/data/####/Q0VSVC5SU0EK.txt8eb
  • /data/data/####/SGMANAGER_DATA2.tmp
  • /data/data/####/SettingInfo.xml
  • /data/data/####/UTCommon.xml
  • /data/data/####/XiaoShiJie.db-journal
  • /data/data/####/aliTradeConfigSP.xml
  • /data/data/####/ap.Lock
  • /data/data/####/auth_sdk_device.xml
  • /data/data/####/bugly_db_-journal
  • /data/data/####/bugly_db_legu-journal
  • /data/data/####/cc.db
  • /data/data/####/cc.db-journal
  • /data/data/####/com.xiaoshijie.sqb_preferences.xml
  • /data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
  • /data/data/####/config-journal
  • /data/data/####/core_info
  • /data/data/####/crashrecord.xml
  • /data/data/####/download_upload
  • /data/data/####/exchangeIdentity.json
  • /data/data/####/exid.dat
  • /data/data/####/gdaemon_20161017
  • /data/data/####/getui_sp.xml
  • /data/data/####/gx_sp.xml
  • /data/data/####/httpdns_config_cache.xml
  • /data/data/####/httpdns_config_cache.xml.bak (deleted)
  • /data/data/####/init.pid
  • /data/data/####/init_c1.pid
  • /data/data/####/jscript.db-journal
  • /data/data/####/libnfix.so
  • /data/data/####/libsgmainso-5.1.96.so.tmp
  • /data/data/####/libsgsecuritybodyso-5.1.25.so.tmp
  • /data/data/####/libshella-2.9.1.1.so
  • /data/data/####/libufix.so
  • /data/data/####/local_crash_lock
  • /data/data/####/lock.lock
  • /data/data/####/mix.dex
  • /data/data/####/multidex.version.xml
  • /data/data/####/native_record_lock
  • /data/data/####/push.pid
  • /data/data/####/pushext.db-journal
  • /data/data/####/pushg.db-journal
  • /data/data/####/pushsdk.db-journal
  • /data/data/####/run.pid
  • /data/data/####/security_info
  • /data/data/####/sf_data.xml
  • /data/data/####/sf_data.xml.bak (deleted)
  • /data/data/####/sp.lock
  • /data/data/####/tbs_download_config.xml
  • /data/data/####/tbs_download_stat.xml
  • /data/data/####/tbs_extension_config.xml
  • /data/data/####/tbs_preloadx5_check_cfg_file.xml
  • /data/data/####/tbs_pv_config
  • /data/data/####/tbscoreinstall.txt
  • /data/data/####/tbslock.txt
  • /data/data/####/tdata_bca864
  • /data/data/####/tdata_bca864.jar
  • /data/data/####/tdata_fyR930
  • /data/data/####/tdata_fyR930.jar
  • /data/data/####/timestamp
  • /data/data/####/ua.db
  • /data/data/####/ua.db-journal
  • /data/data/####/umeng_general_config.xml
  • /data/data/####/umeng_general_config.xml.bak
  • /data/data/####/umeng_it.cache
  • /data/data/####/ut.db
  • /data/data/####/ut.db-journal
  • /data/data/####/xinyan.xml
  • /data/data/####/xn_skin_pref.xml
  • /data/media/####/-r9lpB59Zfsq9uRBm2sq06jIrCA.-1622934763.tmp
  • /data/media/####/.nomedia
  • /data/media/####/.xinyan_system_device_id
  • /data/media/####/0Dt7lFPnFFC4gX77m7VwT_ld_g0.-1453499855.tmp
  • /data/media/####/1hz8d8q-H1JvV5FNyOZAjIpBX18.-1829847757.tmp
  • /data/media/####/3F5791MheEFWJyhtawIq667bEmA.904592510.tmp
  • /data/media/####/6c709c11d2d46a7b
  • /data/media/####/70gqn93t1BqJMElv87illX1nnCI.266753396.tmp
  • /data/media/####/AcR3OmQeIPXu5o0SYPXWnlJ2Mi4.1254559614.tmp
  • /data/media/####/Alvin2.xml
  • /data/media/####/ContextData.xml
  • /data/media/####/DFP
  • /data/media/####/DPLB79jzRtHduKFdpiF45Vymlxk.2012799645.tmp
  • /data/media/####/HowdO4m_a0B-w8FacCnkhQImReM.817488929.tmp
  • /data/media/####/HxyPs7swtNnJ8F8XFJanv8nOsuE.1244165473.tmp
  • /data/media/####/IPx2XJzSFBGDZPHek9-vcrmRhg8.710289763.tmp
  • /data/media/####/Ix0emaiDKBRhOsCKJyjRfkYyQV0.-1015213925.tmp
  • /data/media/####/JC8thOwnVHCx0G9VQ49Lq5W_Ps8.1834549756.tmp
  • /data/media/####/JGafXPb2Hby2ljkiDP8sP785XSU.643521378.tmp
  • /data/media/####/JY0oA9LhXWp9VxTmMIRK8-XtoTs.-453100474.tmp
  • /data/media/####/NZF0S6orRPz86StZ0GhCVeCv0Jw.1661065540.tmp
  • /data/media/####/ODFsmB780awQ5lqQBZuOcPmpUww.-1779558954.tmp
  • /data/media/####/Opr9CrVy3d5fRnxiuNWp6ihsz50.-1224201232.tmp
  • /data/media/####/RNdR6vVAVEzWXA6hYaSUNr-Do5A.386047920.tmp
  • /data/media/####/UFuDIl8TkU79c2dl0Mds_GqO57E.1727900264.tmp
  • /data/media/####/X656FQhepyEow-D8av3T0NeVY7o.-1933737928.tmp
  • /data/media/####/ZTzFwvLaEVkG2SqPKgCUhYy6pIs.2099530012.tmp
  • /data/media/####/Zd6vQLDHV4VdHwcnsA6Kl23CnVs.281294839.tmp
  • /data/media/####/_LnRBj5M3cQhyU5cifVVKlgASGo.1353441176.tmp
  • /data/media/####/_qoQ0zSP7z2ewQllB8zNOpo1mv4.1544075228.tmp
  • /data/media/####/app.db
  • /data/media/####/com.getui.sdk.deviceId.db
  • /data/media/####/com.igexin.sdk.deviceId.db
  • /data/media/####/com.xiaoshijie.sqb.bin
  • /data/media/####/com.xiaoshijie.sqb.db
  • /data/media/####/dd7893586a493dc3
  • /data/media/####/eh5WdulDwFryW7tDVwmeZx2D7n8.1371136732.tmp
  • /data/media/####/fwcV5u-Nr8fjGXsAqlplSPBnXQI.598722771.tmp
  • /data/media/####/hid.dat
  • /data/media/####/irq6r5EMo37a6dflQ0k3Xb8DSbM.1053165019.tmp
  • /data/media/####/kVdVquirNnX5idm1s0F5uK0z8hQ.584340293.tmp
  • /data/media/####/lvajnwONG-vfSY6e8xv1eR2vLQA.480320010.tmp
  • /data/media/####/mCPCPW026QpYhe1TtognttfJT28.1460589347.tmp
  • /data/media/####/mkqgu0gnTXOEKyv5Pzj7Wq2KIxE.1635821073.tmp
  • /data/media/####/sDwkKmvKncVKay472VQCflibGY4.1836965481.tmp
  • /data/media/####/skin_1_10-17_02-08.skin
  • /data/media/####/tdata_bca864
  • /data/media/####/tdata_fyR930
  • /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
  • /system/bin/sh -c getprop
  • /system/bin/sh -c getprop ro.aa.romver
  • /system/bin/sh -c getprop ro.board.platform
  • /system/bin/sh -c getprop ro.build.fingerprint
  • /system/bin/sh -c getprop ro.build.nubia.rom.name
  • /system/bin/sh -c getprop ro.build.rom.id
  • /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
  • /system/bin/sh -c getprop ro.build.version.emui
  • /system/bin/sh -c getprop ro.build.version.opporom
  • /system/bin/sh -c getprop ro.gn.gnromvernumber
  • /system/bin/sh -c getprop ro.lenovo.series
  • /system/bin/sh -c getprop ro.lewa.version
  • /system/bin/sh -c getprop ro.meizu.product.model
  • /system/bin/sh -c getprop ro.miui.ui.version.name
  • /system/bin/sh -c getprop ro.vivo.os.build.display.id
  • /system/bin/sh -c type su
  • <Package Folder>/files/gdaemon_20161017 0 <Package>/com.xiaoshijie.service.SqbPushService 24806 300 0
  • cat /sys/class/net/wlan0/address
  • chmod 700 <Package Folder>/files/gdaemon_20161017
  • chmod 700 <Package Folder>/tx_shell/libnfix.so
  • chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.1.so
  • chmod 700 <Package Folder>/tx_shell/libufix.so
  • getprop
  • getprop net.dns1
  • getprop ro.aa.romver
  • getprop ro.board.platform
  • getprop ro.build.fingerprint
  • getprop ro.build.nubia.rom.name
  • getprop ro.build.rom.id
  • getprop ro.build.tyd.kbstyle_version
  • getprop ro.build.version.emui
  • getprop ro.build.version.opporom
  • getprop ro.gn.gnromvernumber
  • getprop ro.lenovo.series
  • getprop ro.lewa.version
  • getprop ro.meizu.product.model
  • getprop ro.miui.ui.version.name
  • getprop ro.product.cpu.abi
  • getprop ro.vivo.os.build.display.id
  • getprop ro.yunos.version
  • logcat -d -v threadtime
  • mount
  • ps
  • sh
  • sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.xiaoshijie.service.SqbPushService 24806 300 0
Загружает динамические библиотеки:
  • Bugly
  • bitmaps
  • getuiext3
  • libnfix
  • libshella-2.9.1.1
  • libufix
  • memchunk
  • nfix
  • sgmainso-5.1
  • sgsecuritybodyso-5.1
  • static-webp
  • ufix
  • ut_c_api
  • webp
  • webpimage
Использует следующие алгоритмы для шифрования данных:
  • AES-CBC-PKCS5Padding
  • AES-CBC-PKCS7Padding
  • AES-CFB-NoPadding
  • AES-GCM-NoPadding
  • RSA-ECB-NoPadding
  • RSA-ECB-PKCS1Padding
  • RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
  • AES-CBC-PKCS7Padding
  • AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.

Рекомендации по лечению

  1. В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
  2. Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Скачать Dr.Web

По серийному номеру

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке