Adware.Gexin.9113

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) andro####.yanqing####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) adt.x####.com:443

Запросы DNS:

adt.x####.com
and####.b####.qq.com
andro####.yanqing####.com
andro####.yanqing####.com
av1.x####.com
c####.x####.com
c####.x####.com
log.u####.com
pi####.qq.com
plb####.u####.com
u####.u####.com

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/5746d6a667e58e1914000b14/...

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/1551172927513_2391
/data/data/####/1551172927575_2391
/data/data/####/1551172927936_2391
/data/data/####/1551172927962_2391
/data/data/####/1551172928170_2391
/data/data/####/1551172928420_2391
/data/data/####/1551172928449_2391
/data/data/####/1551172928839_2391
/data/data/####/1551172929788_2391
/data/data/####/1551172931179_2391
/data/data/####/1551172931570_2391
/data/data/####/1551172932246_2391
/data/data/####/1551172934113_2391
/data/data/####/1551172934351_2391
/data/data/####/1551172934860_2391
/data/data/####/1551172937151_2391
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/MiscDATA.xml
/data/data/####/MultiDex.lock
/data/data/####/TDCloudSettingsConfigE40AE43F6B6A4A389B28F6E4204E2EAE.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_cloudcontrol2.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime1.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/TDpref_shorttime1.xml
/data/data/####/UserDATA.xml
/data/data/####/a==7.5.3&&3.6.6_1551172928156_envelope.log
/data/data/####/bugly_db_-journal
/data/data/####/com.yanqingkong.m.BETA_VALUES.xml
/data/data/####/com.yanqingkong.m.BETA_VALUES.xml.bak
/data/data/####/com.yanqingkong.m_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTI1ODc2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTIzMTQx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTQxMjA5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTQzNjcz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTU0MzM1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTU2NjYz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTY5MDkz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTcyOTcxMjI0;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_ad_info.xml
/data/data/####/hong.db-journal
/data/data/####/hsfirstopen.xml
/data/data/####/i==1.2.0&&3.6.6_1551172923244_envelope.log
/data/data/####/i==1.2.0&&3.6.6_1551172941322_envelope.log
/data/data/####/info.xml
/data/data/####/iv
/data/data/####/libjiagu1631306394.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pri_tencent_analysis.db-journal
/data/data/####/salt
/data/data/####/security_info
/data/data/####/sex_flag_name.xml
/data/data/####/tdid.xml
/data/data/####/tencent_analysis.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/-927843996
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/1388757.sht
/data/media/####/1388758.sht
/data/media/####/1388759.sht
/data/media/####/1388760.sht
/data/media/####/1388761.sht
/data/media/####/1388762.sht
/data/media/####/1388763.sht
/data/media/####/1388764.sht
/data/media/####/19-02-26 09;22;02.txt
/data/media/####/19-02-26 09;22;05.txt
/data/media/####/19-02-26 09;22;20.txt
/data/media/####/19-02-26 09;22;23.txt
/data/media/####/19-02-26 09;22;33.txt
/data/media/####/19-02-26 09;22;36.txt
/data/media/####/19-02-26 09;22;48.txt
/data/media/####/19-02-26 09;22;50.txt
/data/media/####/498645.sht
/data/media/####/498646.sht
/data/media/####/498647.sht
/data/media/####/498648.sht
/data/media/####/498649.sht
/data/media/####/498650.sht
/data/media/####/500536.sht
/data/media/####/503407.sht
/data/media/####/504999.sht
/data/media/####/507539.sht
/data/media/####/83302.sht
/data/media/####/83303.sht
/data/media/####/83304.sht
/data/media/####/83305.sht
/data/media/####/83306.sht
/data/media/####/83307.sht
/data/media/####/83308.sht
/data/media/####/83309.sht
/data/media/####/83310.sht
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
getprop
logcat -d -v threadtime
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
libjiagu1631306394

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Демо бесплатно на 14 дней

Выдаётся при установке

Скачать с сайта

Скачать с Google Play

Поздравляем! Обменяйте их на скидку до 50% на покупку Dr.Web.

Получить скидку

Скачайте
Dr.Web для Android

Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через
AppGallery/Google Pay

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней