Adware.Gexin.8639

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ima####.k####.cn.####.com:80
TCP(HTTP/1.1) m####.k####.cn:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) jx.k####.cn:80
TCP(HTTP/1.1) im####.k####.k####.####.net:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP 60.28.2####.13:80
TCP c####.g####.ig####.com:5225
TCP 1####.199.134.127:18133
UDP 60.28.2####.13:443
TCP sdk.o####.t####.####.com:5224
UDP 60.28.2####.13:80

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.u####.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
co####.k####.cn
im####.k####.k####.cn
ima####.k####.cn
jx.k####.cn
loc.map.b####.com
m####.k####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
zhibose####.k####.cn

Запросы HTTP GET:

im####.k####.k####.####.net/star/koowoLive/0/0/1497599475074_0.jpg
im####.k####.k####.####.net/star/koowoLive/0/0/1548988246589_0.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1504578880836_1.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1542194481690_1.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1546226451325_1.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1546226999755_1.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1548227755327_1.jpg
im####.k####.k####.####.net/star/koowoLiveRoomBg/1/1/1548236866995_1.jpg
im####.k####.k####.####.net/star/newKoowoLive/93/50/1510989734779_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1519463536320_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1540263597898_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1542551119505_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1542559764993_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1542633172745_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1542850304297_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1544319199304_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1546953455284_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1547955840137_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1548221384372_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1549853486528_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1550047499990_229439...
im####.k####.k####.####.net/star/newKoowoLive/93/50/1550109715153_229439...
ima####.k####.cn.####.com/kuwolive/edit/focuspng/1506052848206_18.png
ima####.k####.cn.####.com/kuwolive/edit/focuspng/1529049523787_89.jpg
ima####.k####.cn.####.com/kuwolive/edit/focuspng/1542276102867_76.jpg
ima####.k####.cn.####.com/kuwolive/edit/focuspng/1550139850904_11.jpg
ima####.k####.cn.####.com/kuwolive/gift/714_50.zip
ima####.k####.cn.####.com/kuwolive/gift/715_50.zip
ima####.k####.cn.####.com/kuwolive/kupai/2016/06/10/6294404400681784222....
ima####.k####.cn.####.com/kuwolive/kupai/2016/06/15/6296338527579791071....
ima####.k####.cn.####.com/kuwolive/kupai/2016/07/02/6302729816808482253....
ima####.k####.cn.####.com/kuwolive/kupai/2016/07/06/6304227592163681741....
ima####.k####.cn.####.com/kuwolive/kupai/2016/07/22/6310144575333852621....
ima####.k####.cn.####.com/kuwolive/kupai/2016/07/24/6310882691233473997....
ima####.k####.cn.####.com/kuwolive/kupai/2016/08/19/6320521667289789459....
ima####.k####.cn.####.com/kuwolive/kupai/2016/09/03/6326095650079499725....
jx.k####.cn/KuwoLive/CheckBeautyPhoneModel?medel=####
jx.k####.cn/KuwoLive/GetMVPlayInfo?act=####&mvid=####&page=####
jx.k####.cn/KuwoLive/GetMVPlayInfo?userid=####&websid=####&act=####&mvid...
jx.k####.cn/KuwoLive/GetPhoneGiftList
jx.k####.cn/KuwoLive/GetTopMVList?type=####&page=####&count=####
jx.k####.cn/KuwoLive/GetTotalRank
jx.k####.cn/KuwoLive/HFServlet?isRoomPage=####
jx.k####.cn/KuwoLive/PersonMV?userid=####&websid=####&act=####&videoOwne...
jx.k####.cn/KuwoLive/PersonShowHot?page=####
jx.k####.cn/KuwoLive/getActivityReserveData?r=####
jx.k####.cn/KuwoLive/getAloneFocusMap?r=####&from=####&type=####&size=####
jx.k####.cn/KuwoLive/getAloneGiftList
jx.k####.cn/KuwoLive/getDiscoveryFocusMap?type=####
jx.k####.cn/KuwoLive/getUserActivityReserve?userid=####&websid=####&r=####
jx.k####.cn/KuwoLive/getVideoH5
jx.k####.cn/KuwoLive/guessYouLike?times=####
jx.k####.cn/log.stat?cmd=####&msg=####
jx.k####.cn/proxy.p?src=####&cmd=####&from=####&macid=####&appversion=####
jx.k####.cn/proxy.p?src=####&cmd=####&pid=####
jx.k####.cn/proxy.p?src=####&cmd=####&rid=####
jx.k####.cn/proxy.p?src=####&cmd=####&type=####&page=####
jx.k####.cn/proxy.p?src=####&cmd=####&uid=####&sid=####&rid=####&secrect...
jx.k####.cn/proxy.p?src=####&cmd=####&uid=####&tid=####&from=####&appver...
m####.k####.cn/regsvr.auth?1####&XwgED1RcWxZMVVJcXFZdFUhdXFlPBwodSlBTWVl...
m####.k####.cn/ud/s?m=62;Sl####
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ntt510
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/10VZllNBZzJ7EiuDAdo1P5rxAwI.-936781175.tmp
/data/data/####/3-5GqUCc-ooda3W9ZHZh6LD3NBo.615795847.tmp
/data/data/####/3g7XKZRvK7fR_GF3lDEbZlswq90.1673255279.tmp
/data/data/####/3zGU8nY3CJeRdPsu2srJYmZ9V8w.-556908631.tmp
/data/data/####/8iZlmdMNxgOrN_rn2zdzYFzBQFM.-469433910.tmp
/data/data/####/8tv8LYaFMxgF8ser-qP1vRouRUs.-1729946764.tmp
/data/data/####/Alvin2.xml
/data/data/####/AppInfo.xml
/data/data/####/ContextData.xml
/data/data/####/JQvbome3xu2ACg4SwHoxzxLP4cc.1899580087.tmp
/data/data/####/KuJ-BQcjCVTYU3LmLhBkQsYBlYc.-354566453.tmp
/data/data/####/RFc0AHlMbtxdD8vPiYaI1hfFISo.-1207306213.tmp
/data/data/####/RkdNjz8QMZwK04uPhskU99XQTxI.-1051549444.tmp
/data/data/####/S4qJlmzwJROqmDJlhVxcj_NhDKM.1675755610.tmp
/data/data/####/TZzEJsOp-_rbsNf-9Tuz5znK5XA.502588176.tmp
/data/data/####/WJAFGLVVg6Qc-NWqyDWiZTGMQWc.725235187.tmp
/data/data/####/Yc6YBQ5HzSUYdI7_ePrvtaeJpG0.-2133323533.tmp
/data/data/####/appconf.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cn.kuwo.juxing-1.apk.classes-1814278856.zip
/data/data/####/eCUncZ5GuIr17uqHnmam_EV8NmY.-1814278856.tmp
/data/data/####/eXnPf7fOBj2NmI6wTWWNwNq0QEE.1331678841.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fPxm13AuHhvYYwGJEou-Qiircws.867235104.tmp
/data/data/####/firll.dat
/data/data/####/gIqLUsTxkIHcxTOUz2qRK2ZBbTs.-1966352580.tmp
/data/data/####/gSvtUOP3HdBSLXETECZ11yqQXoA.1415446346.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jSseALfwPNIIOUyub5u2a-JiYto.1524350599.tmp
/data/data/####/kwshow.db-journal
/data/data/####/lCPFzNo8a3NLHG5-aW2jH7YsyRY.-1930292088.tmp
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.10.1.so
/data/data/####/libufix.so
/data/data/####/liveroom.xml
/data/data/####/local_crash_lock
/data/data/####/mDCuQsqJk823rfkp_5av9hdx6Ho.-901993911.tmp
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/nPAbsKMbTmf8Phi8qqKYtB0LmK8.-368713604.tmp
/data/data/####/native_record_lock
/data/data/####/npaYwk7S68bVFjSe9WxjIn12Pmw.-1326644947.tmp
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qM0cEMKcyntehv6dwFgZ-BFe07w.-1535824269.tmp
/data/data/####/qoMWRIBCGaNFc_k5KlDy6Q-CiwM.-378930757.tmp
/data/data/####/rZCOGOdNvf-i3sWp34S4Qja1UQI.-321459744.tmp
/data/data/####/run.pid
/data/data/####/sdgTDmmWBYLrgqfwHhLgcIsHZs4.1765432073.tmp
/data/data/####/security_info
/data/data/####/t3LoQ2O08d9ikI881RdSMbb7Ut0.32434140.tmp
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/uVbctJojNxB2h6hI-kttsO98v1M.317448441.tmp
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vXOmohkvP2X09VyH_2neFtum-Lo.867252243.tmp
/data/data/####/webview.db-journal
/data/data/####/x5rCfzK-ZeoUd80VagNUBedD6mc.-1814278856.tmp
/data/data/####/y5KOzQG_MViD3ZArjiheqr_QupU.1667716254.tmp
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/3552_2019_02_15_04_08_00.dat
/data/media/####/3554_2019_02_15_04_08_00.dat
/data/media/####/3563_2019_02_15_04_08_00.dat
/data/media/####/3564_2019_02_15_04_08_00.dat
/data/media/####/3565_2019_02_15_04_08_00.dat
/data/media/####/3571_2019_02_15_04_09_00.dat
/data/media/####/3573_2019_02_15_04_09_00.dat
/data/media/####/6480000_2019_05_01_03_08_38.dat
/data/media/####/714_1.png
/data/media/####/714_2.png
/data/media/####/714_3.png
/data/media/####/714_4.png
/data/media/####/715_1.png
/data/media/####/715_2.png
/data/media/####/715_3.png
/data/media/####/715_4.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/cn.kuwo.juxing.bin
/data/media/####/cn.kuwo.juxing.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gift_714
/data/media/####/gift_715
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ntt510
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/uid.text
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/cn.kuwo.mod.push.GetuiPushService 24416 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.10.1.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/cn.kuwo.mod.push.GetuiPushService 24416 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
ijkffmpeg
ijkplayer
ijksdl
imagepipeline
kwcache
kwcrash
libnfix
libshella-2.10.1
libufix
locSDK6a
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней