Adware.Gexin.8157

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) up####.wi####.cc:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) api.wi####.cc:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) up####.wi####.cc:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
UDP 1####.26.107.47:44460
UDP 1####.26.107.47:44449
UDP 1####.26.107.47:44448
UDP 1####.26.107.47:44452
UDP 1####.26.107.47:44446
TCP sdk.o####.t####.####.com:5224
UDP 1####.26.107.47:44445
UDP 1####.26.107.47:44463
UDP 1####.26.107.47:44453
UDP 1####.26.107.47:44462
UDP 1####.26.107.47:44450
UDP 1####.26.107.47:44461
UDP 1####.26.107.47:44451
UDP 1####.26.107.47:44456
UDP 1####.26.107.47:44457
UDP 1####.26.107.47:44454
UDP 1####.26.107.47:44455
UDP 1####.26.107.47:44458
UDP 1####.26.107.47:44459
UDP 1####.168.114.1:137
UDP 1####.26.107.47:44444
UDP 1####.26.107.47:44447

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
and####.cli####.go####.com
api.map.b####.com
api.wi####.cc
b####.g####.com
c####.g####.com
h####.b####.com
loc.map.b####.com
log.u####.com
norma-e####.m####.com
o####.map.b####.com
plb####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sec.u####.com
u####.u####.com
up####.wi####.cc
wea####.2500####.com
www.wi####.cc

Запросы HTTP GET:

api.wi####.cc/v4/ads?timestamp=####&city_id=####&uid=####&platform=####&...
api.wi####.cc/v4/configs?timestamp=####&city_id=####&uid=####&platform=#...
norma-e####.m####.com/android/exchange/getpublickey.do
t####.c####.q####.####.com/tdata_bdZ859
ti####.c####.l####.####.com/config/hz-hzv3.conf
up####.wi####.cc/api/v1/categorys?pid=####&deviceId=####&client_ver=####...
up####.wi####.cc/images/320500/201901/d3cb69f8c099fac679578a651a3dc5d7f3...
up####.wi####.cc/v4/ads?batch=####&deviceId=####&client_ver=####&device_...
up####.wi####.cc/v4/ads?timestamp=####&city_id=####&uid=####&platform=##...
up####.wi####.cc/v4/configs?timestamp=####&city_id=####&uid=####&platfor...
up####.wi####.cc/v4/version?deviceId=####&client_ver=####&device_id=####...

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async?aid=####
aexcep####.b####.qq.com:8012/rqd/async?aid=####
and####.b####.qq.com/rqd/async?aid=####
api.wi####.cc/v4/users/gitags
c####.g####.com/api.php?format=####&t=####
norma-e####.m####.com/push/android/external/add.do
sdk.o####.p####.####.com/api.php?format=####&t=####
up####.wi####.cc/v4/users/device
up####.wi####.cc/v4/users/gitags

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/1004
/data/data/####/320500.xml
/data/data/####/472f1e90c84c416957bdd60b81c849d9.0.tmp
/data/data/####/472f1e90c84c416957bdd60b81c849d9.1.tmp
/data/data/####/7e9e99d3792b49ad67ed24b3b579e32d.0.tmp
/data/data/####/7e9e99d3792b49ad67ed24b3b579e32d.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/Palau.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1548778085801
/data/data/####/__send_data_1548778089102
/data/data/####/__send_data_1548778105135
/data/data/####/__send_data_1548778115553
/data/data/####/__send_data_1548778137065
/data/data/####/a==7.4.0&&5.3_1548778089091_envelope.log
/data/data/####/authStatus_com.theotino.sztv.xml
/data/data/####/authStatus_com.theotino.sztv;remote.xml
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/baidu_mtj_sdk_record.xml.bak (deleted)
/data/data/####/be7b7b05-7ca6-433e-b4b8-e26585aa3a9b
/data/data/####/bugly_db_-journal
/data/data/####/c7949328e12d4e4b6f5494084829ad3d65044f4212447e7....0.tmp
/data/data/####/com.theotino.sztv-1.apk.classes1459910473.zip
/data/data/####/com.theotino.sztv-1.apk.classes1904526886.zip
/data/data/####/com.theotino.sztv-1.apk.classes1954195709.zip
/data/data/####/com.theotino.sztv-1.apk.classes2.dex
/data/data/####/com.theotino.sztv-1.apk.classes3.dex
/data/data/####/com.theotino.sztv-1.apk.classes4.dex
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/crash.log
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4Nzc4MDg5MDk5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4Nzc4MTA1MTIy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4Nzc4MTE1MDcx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4Nzc4MTM0NjUz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4Nzc4MTg0ODg1;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gtc.db-journal
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&5.3_1548778089492_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/mz_push_preference.xml
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/tdata_bdZ8591904526886.tmp
/data/data/####/tmp-com.theotino.sztv-1.apk.classes-1279941409.zip
/data/data/####/tmp-com.theotino.sztv-1.apk.classes-1291050347.zip
/data/data/####/tmp-com.theotino.sztv-1.apk.classes-2077275280.zip
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/.Palau_UDID
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.timestamp
/data/media/####/.umm.dat
/data/media/####/2019-01-29.log.txt
/data/media/####/255633e1-f975-458f-b4f0-e0c2f879ad1f
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/com.theotino.sztv.bin
/data/media/####/com.theotino.sztv_.db
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/splash.jpg
/data/media/####/sysid.dat
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
logcat -d -v threadtime
ls /sys/class/thermal
which su

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
Bugly
HookingChecker
crash_analysis
egis-x86
getuiext3
locSDK7b
securityenv

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней