Adware.Gexin.7510

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Предлагает установить сторонние приложения.

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pv####.baom####.com:80
TCP(HTTP/1.1) inter####.v####.baom####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) stat####.baom####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c2.g####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) d.g####.qq.com:80
TCP(HTTP/1.1) 3####.tc.qq.com:80
TCP(HTTP/1.1) app.inter####.baom####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) xin####.xiuq####.com:80
TCP(HTTP/1.1) ap####.baom####.com:80
TCP(HTTP/1.1) cfg.i####.qq.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) weixi####.baom####.com:443
TCP(TLS/1.0) 2####.58.211.110:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) openins####.io:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) penguin####.tencent####.com:443
TCP ope####.3g.qq.com:443

Запросы DNS:

a####.b####.qq.com
a####.u####.com
aexcep####.b####.qq.com
and####.b####.qq.com
and####.cli####.go####.com
ap####.baom####.com
app.inter####.baom####.com
c.g####.qq.com
c2.g####.qq.com
cfg.i####.qq.com
cgi.con####.qq.com
d.g####.qq.com
dd.m####.com
h####.b####.com
i####.v####.baom####.com
imgc####.qq.com
inter####.v####.baom####.com
l####.tbs.qq.com
log.u####.com
mi.g####.qq.com
ope####.3g.qq.com
openins####.io
p####.baom####.com
p####.ugd####.com
pi####.qq.com
pp.m####.com
pv####.baom####.com
qzones####.g####.cn
s####.e.qq.com
s####.u####.com
stat####.baom####.com
v####.inter####.baom####.com
v.g####.qq.com
vi####.img.baom####.com
weixi####.baom####.com
xin####.xiuq####.com
y####.tim.qq.com

Запросы HTTP GET:

3####.tc.qq.com/16891/E8E8ECCE815E968AC64338FC4AEFD05A.apk?fsname=####&_...
ap####.baom####.com/AppInterface/OtherInterface/Others.ashx?dataType=###...
app.inter####.baom####.com/m_1abbbfa4-c78e-4e38-b569-df96ce3d16c0.png
app.inter####.baom####.com/m_f711814d-4b76-4865-b9df-381570006d26.png
app.inter####.baom####.com/xiuquapp.ashx?dataType=####
c2.g####.qq.com/gdt_mclick.fcg?viewid=####&jtype=####&i=####&os=####&asi...
c2.g####.qq.com/gdt_trace_a.fcg?actionid=####&targettype=####&tagetid=##...
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
d.g####.qq.com/fcg-bin/gdt_appdetail.fcg?ico=####&op_appid=####
inter####.v####.baom####.com/013ff9ad-334b-4732-ad5a-2da5ab4e2ef7_615585...
inter####.v####.baom####.com/0a6077f8-b52f-4470-8c1e-fa3d9561c7a0_19202....
inter####.v####.baom####.com/141625bd-1186-4032-bb03-d83baa8fce03.jpg
inter####.v####.baom####.com/1e3abb19-64a7-4c3a-9845-da1e15cec126.jpg
inter####.v####.baom####.com/640_360/39073346.jpg
inter####.v####.baom####.com/640_360/39073377.jpg
inter####.v####.baom####.com/640_360/39073423.jpg
inter####.v####.baom####.com/640_360/39074223.jpg
inter####.v####.baom####.com/640_360/39074395.jpg
inter####.v####.baom####.com/640_360/39074398.jpg
inter####.v####.baom####.com/640_360/39074401.jpg
inter####.v####.baom####.com/640_360/39074614.jpg
inter####.v####.baom####.com/640_360/39074713.jpg
inter####.v####.baom####.com/7aca0036-d6f1-41ad-ad11-8110d9abc33a.jpg
inter####.v####.baom####.com/874c7435-84c5-4bd3-ae89-887a0ab8677f.png
inter####.v####.baom####.com/xiuquapp.ashx?dataType=####
inter####.v####.baom####.com/xiuquapp.ashx?dataType=####&pageIndex=####&...
mi.g####.qq.com/gdt_mview.fcg?actual_width=####&count=####&r=####&templa...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android03/js-release/1.1.0/nati...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
pv####.baom####.com/datagather.aspx?ext=####&bcode=####&siteid=####&refu...
pv####.baom####.com/videogather.aspx?siteid=####&playerid=####&type=####...
s####.tc.qq.com/gdt/0/DAAe4CuAUAALQABjBbkMziAj_8ihSD.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAe4CuAUAALQABjBbkiZRB9TzuL-_.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfr57AUAALQAA_BcIZO3BkAqb10m.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OAKAAPAABQBcIy16BF340AwV.jpg/0?ck=####
s####.tc.qq.com/ma_icon/0/icon_12258107_1538203060/256
stat####.baom####.com/img/userchannel/defaultm.jpg
v.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&gap=####
xin####.xiuq####.com/Api/v2/AppConfig/IsIMVideo
xin####.xiuq####.com/Api/v2/Login/DeviceLogin?deviceId=####
xin####.xiuq####.com/Api/v2/UserInfo/GetUserInfo?userId=####

Запросы HTTP POST:

a####.u####.com/app_logs
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
app.inter####.baom####.com/getlist.asmx/GetVersionChannelInfo
cfg.i####.qq.com/tbs?v=####&mk=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
pi####.qq.com/mstat/report
s####.e.qq.com/activate
s####.e.qq.com/click
s####.e.qq.com/msg
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/06682fc85e1b0bfa77ba68e430475cfc85e04e4827bb5ea....0.tmp
/data/data/####/127171ad126266ff10cac7731897fbb1dc67f5d5b6b312a....0.tmp
/data/data/####/1547217051478.log
/data/data/####/2290.yaqcookie
/data/data/####/299a31557555fbeda9985b8a031cef774005aed277bac18....0.tmp
/data/data/####/356b8a9c38ed8c41cf619bcab3a232c20f729f30c96c25f....0.tmp
/data/data/####/398adb7d9b7dabb614726991b86d51a9b34c66ea9ce63e3....0.tmp
/data/data/####/3c777b255eb8cabc0a641edc4464ee8e1f7b0d81a6de172....0.tmp
/data/data/####/414f5da03905aeb12278b12a3b4c757d84a2ad0131005be....0.tmp
/data/data/####/47d43720e05460493ba63bd028acd833942508003b6663d....0.tmp
/data/data/####/48df1bd0db8ca60c2370c6b6eb1c094b97ff6de28d83c3f....0.tmp
/data/data/####/4f821751db3dfaaecfdfa8802de8b426.temp
/data/data/####/59653f6cf4d1a4bd95d6f22142659ccaf6190bb52691679....0.tmp
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/61459aecefbbc92a6dbb4353fca8b1da12f5022a15e1f45....0.tmp
/data/data/####/6906b1778e7b4d103712c4de74ab2f1e7abe6e8ecd46c43....0.tmp
/data/data/####/7916450_v4.msgstore-journal
/data/data/####/7a6c0bd30ecb4bd5a2d593bbea8e8ed36f7760bb9cbe205....0.tmp
/data/data/####/81c2dde5eb9940c9dbf9b31e0b4a694013a169acedb2c57....0.tmp
/data/data/####/8d35aa5c93d794454f2e5f53b1b8b5145001ceb703a25bb....0.tmp
/data/data/####/8dbeff0f7a455ca761c041f336d8e8693dabea326c4c429....0.tmp
/data/data/####/9225a9494ae2b98e0dd384966d685df1938e61b142dcfb3....0.tmp
/data/data/####/AliveLog.txt
/data/data/####/AliveLog.txt (deleted)
/data/data/####/Alvin2.xml
/data/data/####/BmhUserId.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/CookiePersistence.xml
/data/data/####/FM_config.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/LastHistoryInterceptor.xml
/data/data/####/MSF.C.NetConnInfoCenter.xml
/data/data/####/MultiDex.lock
/data/data/####/PersonInfo.xml
/data/data/####/QALConfigStore.dat
/data/data/####/TLS_DEVICE_INFO.xml
/data/data/####/User_XiuQu.xml
/data/data/####/User_XiuQu.xml.bak
/data/data/####/WLOGIN_DEVICE_INFO.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1547217050445
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/baidu_mtj_sdk_record.xml.bak
/data/data/####/bbeced88ae890ae08c1c6d79b39beb3920ca97b0b5a7aad....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/c7cb298d54a4a67ca108908eb37e5a865d767db9c5a9b7b....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.com.baomihuawang.androidclient_preferences.xml
/data/data/####/com.tencent.liteav.dev_uuid.xml
/data/data/####/com.tencent.open.config.json.1105254905
/data/data/####/core_info
/data/data/####/cube_ptr_classic_last_update.xml
/data/data/####/d3d1bc66dd5a250c7de16cdb62593a3b4baa7bb542820bb....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82894129.dat
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/ilivesdk_report.xml
/data/data/####/index
/data/data/####/isNewInstall.xml
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libyaqbasic.82894129.so
/data/data/####/libyaqpro.82894129.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/permission.xml
/data/data/####/qal_monitor.db-journal
/data/data/####/qalimid_v2
/data/data/####/report_v5.msgstore-journal
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/tbs_download_config.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tencent_analysis.db-journal
/data/data/####/tls_device.dat
/data/data/####/tls_sdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wlogin_device.dat
/data/data/####/yaqsdkcookie
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/OpenSDKConfig
/data/media/####/app.19.01.11.14.log
/data/media/####/com.dobest.xingxinglianmeng.apk_0
/data/media/####/d8c34559962fe9a15b0b997fe872d781
/data/media/####/ilivesdk_20190111.log
/data/media/####/imsdk_20190111.log
/data/media/####/k1jhit
/data/media/####/sdk.19.01.11.14.log
/data/media/####/spuid

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.display.id
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
UDT
_imcore_jni_gyp
crash_analysis
dr
hwcodec
libnfix
libshella-2.9.0.2
libufix
libwtcrypto
libyaqbasic.82894129
libyaqpro.82894129
nfix
qalcodecwrapper
qalmsfboot
qav_graphics
qavsdk
stlport_shared
ufix
xplatform

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DESede-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней