Adware.Gexin.8850

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) tx.c####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(TLS/1.0) l####.b####.com:443
TCP(TLS/1.0) tx.c####.com:443
TCP(TLS/1.0) c####.cloudf####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
c####.cloudf####.com
c####.g####.ig####.com
c-h####.g####.com
l####.b####.com
l####.tbs.qq.com
mt####.go####.com
r####.wx.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
tx.c####.com
www.c####.com

Запросы HTTP GET:

s####.tc.qq.com/open/js/jweixin-1.3.2.js
t####.c####.q####.####.com/tdata_JNg986
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_nxn539
t####.c####.q####.####.com/tdata_zzW503
ti####.c####.l####.####.com/config/hz-hzv3.conf
tx.c####.com/aupdate.html
tx.c####.com/cst.apk
tx.c####.com/static/js/jquery.lazyload.min1.9.3.js
tx.c####.com/tpl/Wap/pure/static/js/common.js?7####
tx.c####.com/tpl/Wap/pure/static/js/fastclick.js
tx.c####.com/tpl/Wap/pure/static/js/iscroll.js?2####
tx.c####.com/tpl/Wap/pure/static/js/jquery.downcount.js?5####
tx.c####.com/tpl/Wap/pure/static/js/swiper.min.js
tx.c####.com/tpl/Wap/pure/static/layer/layer.m.js
tx.c####.com/tpl/Wap/pure/static/layer/need/layer.css
tx.c####.com/tpl/Wap/pure/static/shop/css/shopBase.css?t=####
tx.c####.com/tpl/Wap/pure/static/shop/images/cart.png
tx.c####.com/tpl/Wap/pure/static/shop/images/merchant_notice.png
tx.c####.com/tpl/Wap/pure/static/shop/images/merchant_phone.png
tx.c####.com/tpl/Wap/pure/static/shop/images/merchant_ride.png
tx.c####.com/tpl/Wap/pure/static/shop/images/merchant_time.png
tx.c####.com/tpl/Wap/pure/static/shop/images/search-w.png
tx.c####.com/tpl/Wap/pure/static/shop/js/shopBasePro.js?2####
tx.c####.com/upload/adver/000/000/001/5c4027ff4ea90972.jpg
tx.c####.com/upload/adver/000/000/001/5c51166eaf334518.jpg
tx.c####.com/upload/adver/000/000/001/5c5f6c9bbfa41538.jpg
tx.c####.com/upload/adver/000/000/001/5c5f6ca7114ed243.jpg
tx.c####.com/upload/adver/000/000/001/5c6a0f7a2ec51563.jpg
tx.c####.com/upload/authentication/rz_pic/_5.jpg
tx.c####.com/upload/first_sort/cytg.png
tx.c####.com/upload/first_sort/fcrc.png
tx.c####.com/upload/first_sort/jdzs.png
tx.c####.com/upload/first_sort/mswm.png
tx.c####.com/upload/first_sort/qcfw.png
tx.c####.com/upload/first_sort/scsg.png
tx.c####.com/upload/first_sort/xxyl.png
tx.c####.com/upload/first_sort/zhcc.png
tx.c####.com/upload/goods/000/000/355/5bea7d40b0926435.png
tx.c####.com/upload/goods/000/000/443/5c36b8a9def2a784.jpg
tx.c####.com/upload/goods/000/000/443/m_5c36b8a9def2a784.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea924e8bcf3499.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea92b46d010895.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea932ef0202869.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea941ba1bc8160.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea9455b6533635.jpg
tx.c####.com/upload/goods/000/000/443/s_5bea94869147f122.jpg
tx.c####.com/upload/goods/000/000/443/s_5c36a75196488461.jpg
tx.c####.com/upload/goods/000/000/443/s_5c36b5ab578b7206.jpg
tx.c####.com/upload/goods/000/000/443/s_5c36b8a9def2a784.jpg
tx.c####.com/upload/goods/000/000/523/5c6b70057de1c691.jpg
tx.c####.com/upload/goods/000/000/607/5c25d24dc4f00985.jpg
tx.c####.com/upload/goods/000/000/691/5c346e7ab31df395.png
tx.c####.com/upload/goods/000/000/733/5c4ab4de4ebfc244.jpg
tx.c####.com/upload/shop_bg/9.jpg
tx.c####.com/upload/store/000/000/443/s_5be5341a55afd688.jpg
tx.c####.com/wap.php?c=####&a=####&goods_id=####
tx.c####.com/wap.php?c=####&a=####&store_id=####
tx.c####.com/wap.php?c=####&a=####&store_id=####&sort_id=####
tx.c####.com/wap.php?g=####&c=####&a=####&district_id=####
tx.c####.com/wap.php?g=####&c=####&a=####&g_start=####&s_start=####&lat=...
tx.c####.com/wap.php?g=####&cst_lat=####&cst_long=####&c=####&a=####&pro...

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
tx.c####.com/index.php?g=####&c=####&a=####&cat_id=####&district_id=####
tx.c####.com/index.php?g=####&c=####&a=####&order_type=####&parent_id=####
tx.c####.com/wap.php?c=####&a=####
tx.c####.com/wap.php?g=####&c=####&a=####&way=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/cc_c_t_m_l_txsdk.xml
/data/data/####/com.nyy.cst.xml
/data/data/####/com.nyy.cst_preferences.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu1273638697.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_JNg986
/data/data/####/tdata_JNg986.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_nxn539
/data/data/####/tdata_nxn539.jar
/data/data/####/tdata_zzW503
/data/data/####/tdata_zzW503.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/-1119113477.tmp
/data/media/####/-1647903165.tmp
/data/media/####/-1841167799.tmp
/data/media/####/-2099847164.tmp
/data/media/####/-341629453.tmp
/data/media/####/-985810843.tmp
/data/media/####/.nomedia
/data/media/####/1017322374.tmp
/data/media/####/1190681198.tmp
/data/media/####/1245180016.tmp
/data/media/####/138301289.tmp
/data/media/####/1482771041.tmp
/data/media/####/1486381367.tmp
/data/media/####/148676442.tmp
/data/media/####/1626519556.tmp
/data/media/####/1741044060.tmp
/data/media/####/1763407452.tmp
/data/media/####/493718995.tmp
/data/media/####/736162033.tmp
/data/media/####/981099022.tmp
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.nyy.cst.bin
/data/media/####/com.nyy.cst.db
/data/media/####/fc4.fdba0a95
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_JNg986
/data/media/####/tdata_MkX219
/data/media/####/tdata_nxn539
/data/media/####/tdata_zzW503
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui.GetuiPushService 24093 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getui.GetuiPushService 24093 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu1273638697
qalcodecwrapper
qalmsfboot
tencentloc

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней