Adware.Gexin.8219

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) welian-####.c####.sensors####.cn:8006
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) i####.we####.com:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) cc0####.h.cn####.####.net:443
TCP(TLS/1.0) at.al####.com:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP(TLS/1.0) a####.te####.cn:443
TCP(TLS/1.0) i####.we####.com:443
TCP(TLS/1.0) zz.bdst####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) ssl.google-####.com:443
TCP(TLS/1.0) s####.g.doublec####.net:443
TCP(TLS/1.0) gat####.we####.com:443
TCP(TLS/1.0) m.ped####.cn:443
TCP(TLS/1.0) www.a.sh####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) p####.ped####.cc####.####.cn:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224
TCP l####.net####.im:8080
TCP 1####.92.13.109:8617

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.te####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
at.al####.com
c####.g####.ig####.com
c-h####.g####.com
gat####.we####.com
h####.b####.com
hm.b####.com
i####.we####.com
l####.net####.im
lbs.net####.im
loc.map.b####.com
m.ped####.cn
nav.cn.ron####.com
nim.qi####.com
p####.ped####.cn
pe.ped####.cn
pic.ped####.cn
pub-####.qin####.com
qy-swa####.qi####.com
r####.wx.qq.com
s####.cn.ron####.com
s####.g.doublec####.net
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sp0.b####.com
ssl.google-####.com
st####.ped####.cn
welian-####.c####.sensors####.cn
wfd.net####.im
zz.bdst####.com

Запросы HTTP GET:

i####.we####.com/baci1548889408309_1024_575_88.jpeg@88w_62h_1l_90Q_2o_1w...
i####.we####.com/bexd1548658511174_750_160_60.png@600x0-5rc_1l_90Q_2o_1w...
i####.we####.com/bvlp1545905262652_250_366_56.png@300w__1l_90Q_2o_1wh.jpg
i####.we####.com/cgjx1543906227359_300_380_12.jpg@200w__1l_90Q_2o.jpg
i####.we####.com/exlw1548921720640_400_200_10.jpeg@88w_62h_1l_90Q_2o_1wh...
i####.we####.com/ggif1547283959286_750_160_34.png@600x0-5rc_1l_90Q_2o_1w...
i####.we####.com/liwt1548891661643_520_300_207.png@88w_62h_1l_90Q_2o_1wh...
i####.we####.com/ljox1533040141416_360_180_50.jpg@600w__1l_90Q_2o.jpg
i####.we####.com/ngue1545285171173_420_176_31.png@300w__1l_90Q_2o_1wh.jpg
i####.we####.com/pexn1548894406515_2600_1800_237.png@88w_62h_1l_90Q_2o_1...
i####.we####.com/piit1533039987369_360_180_29.jpg@600w__1l_90Q_2o.jpg
i####.we####.com/qhnl1548900405004_520_300_272.png@88w_62h_1l_90Q_2o_1wh...
i####.we####.com/ryts1546409272534_750_390_192.png@600w__1l_90Q_2o_1wh.jpg
i####.we####.com/vnek1538124124111_750_390_194.jpg@600w__1l_90Q_2o_1wh.jpg
i####.we####.com/xuee1514463427063_750_722_159.jpg@49w_49h_1l_90Q_2o.jpg
i####.we####.com/xuyj1533040077378_360_180_47.jpg@600w__1l_90Q_2o.jpg
i####.we####.com/ynhf1515133346200_746_750_72.jpg@49w_49h_1l_90Q_2o.jpg
i####.we####.com/zahv1514528334947_748_740_126.jpg@49w_49h_1l_90Q_2o.jpg
i####.we####.com/zaky1545285223762_420_176_30.png@300w__1l_90Q_2o_1wh.jpg
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_FhD658
t####.c####.q####.####.com/tdata_kgM272
t####.c####.q####.####.com/tdata_vHH584
welian-####.c####.sensors####.cn:8006/config/Android.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####
welian-####.c####.sensors####.cn:8006/sa?project=####&token=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/1004
/data/data/####/261B63E5181F3AA6F6F2FAC71BD2D541
/data/data/####/2790ed73c27fb3d816a943956fc3b6df1cf865db9a6abd9....0.tmp
/data/data/####/2b702f3bf0fc39fd72db5cf84905d3f29479a4a74849ab6....0.tmp
/data/data/####/2d6ce1c79506774c8f45d9ea6a314e3dc346d533dcb6a45....0.tmp
/data/data/####/45cfb233ee71b3402f189b96320de3cf73e670dab07fd98....0.tmp
/data/data/####/8417BC437EE8B889ED99096A5870B769
/data/data/####/ApplicationCache.db-journal
/data/data/####/COUNTLY_STORE.xml
/data/data/####/CobubRazor_SharedPref.xml
/data/data/####/FwLog.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/NIMSDK_Config_283097b66d9e0ce7adc7ec410ca663a0_...9d.xml
/data/data/####/RongPush.xml
/data/data/####/RongPushAppConfig.xml
/data/data/####/Statistics.xml
/data/data/####/TESTIN_AB.xml
/data/data/####/TESTIN_AB_EXP.xml
/data/data/####/Unicorn.283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1548948889249
/data/data/####/authStatus_com.csm.welian.xml
/data/data/####/authStatus_com.csm.welian;remote.xml
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cdb-journal
/data/data/####/citybdcity
/data/data/####/citybdcity-journal
/data/data/####/citycountry.db
/data/data/####/citycountry.db-journal
/data/data/####/com.csm.welian.abTestin.db
/data/data/####/com.csm.welian.abTestin.db-journal
/data/data/####/com.csm.welian_preferences.xml
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.5.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/locale.config.xml
/data/data/####/mix.dex
/data/data/####/mobclick_agent_cached_com.csm.welian116
/data/data/####/msg.db-journal
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/newwelian.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qiyu_save_283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/sensorsdata.xml (deleted)
/data/data/####/tdata_FhD658
/data/data/####/tdata_FhD658.jar
/data/data/####/tdata_kgM272
/data/data/####/tdata_kgM272.jar
/data/data/####/tdata_vHH584
/data/data/####/tdata_vHH584.jar
/data/data/####/testin.ab.allocation.TESTIN_abc74b26d-fc64-4be2...1a.xml
/data/data/####/testin.ab.experiment.TESTIN_abc74b26d-fc64-4be2...1a.xml
/data/data/####/testin.ab.visualTESTIN_abc74b26d-fc64-4be2-93a8...1a.xml
/data/data/####/umeng_general_config.xml
/data/data/####/unicorn#cheese#
/data/data/####/visualeditor.changes.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/0149C896DA47D915185439068DF4A6A4
/data/media/####/03798ABA62A32FBA7F843C1401C15639
/data/media/####/09AB8B7EDA9AC954AFFC991407F954B8
/data/media/####/2C4114A8075BD97EA1A21F9C7C7D9440
/data/media/####/3AC33B068B6FBB03DECCEE59BADDD8E8
/data/media/####/3AED0F9D9E96FEBDBF5805A2BD8AC897
/data/media/####/3E273BAC06C6AD255E6AC09A2A0D23E2
/data/media/####/43109C0E120C7C05DA2F0B0FACE14E33
/data/media/####/46B2736C96BA98C993AF3C90F23D1172
/data/media/####/5B50919431E7375CC7F6740462A51679
/data/media/####/5F4E430AED06F2E00D4A4A4EC5D8E15A
/data/media/####/635C0A97FEFDE8238D6758DF285C21A0
/data/media/####/6c68b72734870d8f38a134ba046db81b_0_5.8.0
/data/media/####/72940B76730CA5BA2B57E161B30D9EFC
/data/media/####/813F58C4E176FCA56D7CC0DCB930504E
/data/media/####/85C8397FF39C074060824AEEB5741519
/data/media/####/89EFE53D1ED9F106FF2E50919FD1364D
/data/media/####/91831C7227C4A94DAAE7F632D46E5784
/data/media/####/9458A874A64847E46B00EF19361671B6
/data/media/####/A65BD835ACC76095480E59FCC971C754
/data/media/####/B5F43B066B989DC1BC6770CFE1ADBD80
/data/media/####/B8ABE45252C5C52D4A05523CAD9D3227
/data/media/####/BFCA97B132874DB12E62345B4D831722
/data/media/####/C4F0B94C014089B8B6CBF2DEA9F26455
/data/media/####/CA332EC59B7710639644BC8D7364FB15
/data/media/####/CSM_WELIAN_CI_ANDOROID_ID
/data/media/####/DD73AEFB74C2CF51494E69CCB7DFE4FB
/data/media/####/E01C007B20C19726AABB8040A8B026AB
/data/media/####/E302918040F75F267D87E301B5DCC225
/data/media/####/app.db
/data/media/####/com.csm.welian.bin
/data/media/####/com.csm.welian.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/record.log
/data/media/####/tdata_FhD658
/data/media/####/tdata_kgM272
/data/media/####/tdata_vHH584
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.5.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
Bugly
RongIMLib
crash_analysis
getuiext2
libnfix
libshella-2.9.0.5
libufix
locSDK7b
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
DES

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней