Adware.Gexin.9124

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) t.j####.com:8081
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) phon####.x####.d####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t.j####.com:8008
TCP(HTTP/1.1) log.ifl####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) www.j####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 1####.55.144.200:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.exc.mob.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.s####.mob.com
c####.g####.ig####.com
c-h####.g####.com
d####.opensp####.cn
log####.ifl####.com
log.ifl####.com
m.d####.mob.com
phon####.x####.d####.com
scs.opensp####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t.j####.com
www.j####.com

Запросы HTTP GET:

m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
phon####.x####.d####.com/weather/getWeatherByAreaID?areaId=####
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ntt510
t.j####.com:8008/app_if/MobileApp?appKey=####&channel=####&versionCode=#...
t.j####.com:8008/app_if/discussCount?id=####&type=####&siteId=####&sourc...
t.j####.com:8008/app_if/discussHot?jsoncallback=####&id=####&type=####&s...
t.j####.com:8008/app_if/discussView?jsoncallback=####&id=####&type=####&...
t.j####.com:8008/app_if/getArticleContent?articleId=####
t.j####.com:8008/app_if/getArticles?columnId=####&version=####&lastFileI...
t.j####.com:8008/app_if/getColumns?siteId=####&parentColumnId=####&versi...
t.j####.com:8008/app_if/getConfig?appID=####
t.j####.com:8008/app_if/hasFav?userID=####&articleID=####&siteID=####&ty...
t.j####.com:8008/app_if/redDot?siteID=####
t.j####.com:8081/jnrb/201707/26/15e6dac5-c96d-4277-b8b0-8b93792ec366.png
t.j####.com:8081/jnrb/201707/26/2f4c0eb3-d3b2-48c7-988f-4b055ab994a2.png
t.j####.com:8081/jnrb/201707/26/33366e2d-1b5e-48fd-866c-ee0f369bb70c.png
t.j####.com:8081/jnrb/201707/26/46881957-6ff5-4f3b-93eb-e17d642d56e5.png
t.j####.com:8081/jnrb/201707/26/f8384775-2d40-464b-aa94-a4d2390e0bee.png
t.j####.com:8081/jnrb/201707/26/fda608e1-27e8-4cd4-8996-6f38315048d8.png
www.j####.com/404c21bf-54f4-4830-9e14-b5ffd6db589a.zip
www.j####.com/97f18764-1a08-4bdd-9491-ab82f7fb96de.jpg
www.j####.com/zsjn/pic/2019-02/20/b93839e5-1f17-40ce-ab1f-6e2b0e3d5c1e.jpg
www.j####.com/zsjn/pic/2019-02/20/f03d0422-6b55-4cf1-94f7-ee9ba4057c36.jpg
www.j####.com/zsjn/pic/2019-02/22/81fa3807-24f1-4422-9ff2-a86a536d32c8.jpg
www.j####.com/zsjn/pic/2019-02/23/19953f4d-d874-40da-9eae-b24314a9824acd...
www.j####.com/zsjn/pic/2019-02/23/2d13967f-4c2f-4428-a70a-d6d7dfafec6883...
www.j####.com/zsjn/pic/2019-02/23/42228b04-2364-49b8-a142-da9af296fac870...
www.j####.com/zsjn/pic/2019-02/23/7f5a8211-d1b5-4f94-a80a-f97de13c4349bc...
www.j####.com/zsjn/pic/2019-02/23/a1d6880b-4046-435e-b22e-46d5a2a623b620...
www.j####.com/zsjn/pic/2019-02/23/cd12c11b-266a-4fd5-b8a4-d8f097f65409c8...
www.j####.com/zsjn/pic/2019-02/23/de88c514-d48b-427c-b6bc-34d6bcd042d53f...
www.j####.com/zsjn/pic/2019-02/23/e1e6ffe6-c121-4741-bd8f-db7eec95340363...
www.j####.com/zsjn/pic/2019-02/26/1ca2f0ae-d34b-49c1-b4ce-a2d9d68ff8dab0...
www.j####.com/zsjn/pic/2019-02/26/81e4a1fe-0d74-47d1-a6fa-e79d09621fc333...
www.j####.com/zsjn/pic/2019-02/26/abe90a04-451d-4876-b39c-60acd82309906e...
www.j####.com/zsjn/pic/2019-02/26/c673535c-81f4-4d27-8b81-ddfd94cc70f2.jpg

Запросы HTTP POST:

a####.exc.mob.com/errconf
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
c-h####.g####.com/api.php?format=####&t=####
log.ifl####.com/hotupdate
log.ifl####.com/index.php/clientrequest/clientcollect/isCollect
log.ifl####.com/log?product=####&appid=####&size=####&platform=####&sour...
log.ifl####.com/scs?logver=####&cmd=####&size=####
sdk.o####.p####.####.com/api.php?format=####&t=####
t.j####.com:8008/app_if/event

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1005909431
/data/data/####/-1084604138
/data/data/####/-1194544856
/data/data/####/-1391058361
/data/data/####/-1444168923
/data/data/####/-1693183643
/data/data/####/-1784085371
/data/data/####/-1791963451
/data/data/####/-1980598876
/data/data/####/-1988476956
/data/data/####/-211977331
/data/data/####/-324088624
/data/data/####/-408490836
/data/data/####/-537646579
/data/data/####/-809395926
/data/data/####/-934889704
/data/data/####/-971199603
/data/data/####/-98360948
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.project
/data/data/####/.statistics
/data/data/####/02.png
/data/data/####/1030950414
/data/data/####/119335595
/data/data/####/1221409398
/data/data/####/1347155066
/data/data/####/1402231560
/data/data/####/1402515637
/data/data/####/1691443635
/data/data/####/1716949825
/data/data/####/1887957140
/data/data/####/1913463330
/data/data/####/1977959718
/data/data/####/2075690721
/data/data/####/2081787891
/data/data/####/2429faeec55189425e67108978039e9e0d421d3b957a469....0.tmp
/data/data/####/273940370
/data/data/####/290f846666cd7526df53dd84664256dee7ccf8469083202....0.tmp
/data/data/####/2d152fb656c9b8dd7e057648f3a2633458cb29b0371983c....0.tmp
/data/data/####/2e40cb544f510ecf9a594adc0c76a27ba29babe13d1b90b....0.tmp
/data/data/####/315849100
/data/data/####/3a82bca909e07fad2e07ee8d30cc813ef34bb084cb63fb2....0.tmp
/data/data/####/3e558182ce2cb135baf347d809473a75c2d0425674f4097....0.tmp
/data/data/####/476422952
/data/data/####/48e8e828de111de70339a3260452e81416f21ace0d97804....0.tmp
/data/data/####/50413de892be183c1da61f3ef932e7d2acda8b765d05f9c....0.tmp
/data/data/####/548750031
/data/data/####/62124299
/data/data/####/6cfff96db8392d92bed66361f03cb33459307d3d8f8f45f....0.tmp
/data/data/####/708876110
/data/data/####/71.png
/data/data/####/72.png
/data/data/####/770226425
/data/data/####/867888532
/data/data/####/905389615
/data/data/####/925215884
/data/data/####/9d86e9b06a397c7c55bf00103c18d3ea1b915d632b4028d....0.tmp
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/a9b3a4f39d1f48e499b738dbb1dc2ce9a927df88f4931b9....0.tmp
/data/data/####/active.css
/data/data/####/active.html
/data/data/####/active.js
/data/data/####/active.js.bak
/data/data/####/angular.js
/data/data/####/articleJson.js
/data/data/####/articleJson.js.bak
/data/data/####/attId_5_newsId_636533_articleJson.js
/data/data/####/b1e8c7ea699e04fe67d4c1b964aa324d78d15fa78898086....0.tmp
/data/data/####/b4643f003018efd033b85d9775c327a267914815e129bb5....0.tmp
/data/data/####/base.css
/data/data/####/be2f032bb5896baba40baa526123ceb4f560a659aadd807....0.tmp
/data/data/####/bf077879d1729a27881aee96f14106f89fb35afa2e847f5....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/columnId.xml
/data/data/####/columnId.xml.bak
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/content_template.html
/data/data/####/dacdc317383b2d46d84ba03cbbfa6e48eff752f1c622115....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder26118
/data/data/####/db_founder26118-journal
/data/data/####/defaultImg.png
/data/data/####/df60ff6bd004175a6fee1870feda3dd1c9139e185bd28b6....0.tmp
/data/data/####/e0eb5d857e952735c49e3c3c2b9a294d20a5e8385832a4f....0.tmp
/data/data/####/ee053fe4411bb880c12897fa40777ce55140f8101215892....0.tmp
/data/data/####/f6943762b3d5ee64c3b56ee0c7428eee8e4e31e4829cc96....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/fa2ec6225bb5e7ad86ac680c1571b3569ee0c33def64f13....0.tmp
/data/data/####/flexible.js
/data/data/####/fontSytleMsg.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/iflytek_collect_state.xml
/data/data/####/iflytek_device_info.jar
/data/data/####/iflytek_state_com.jiningdaily.product.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jquery-1.9.1.min.js
/data/data/####/jxcom.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.5.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_cached_com.jiningdaily.product
/data/data/####/mobclick_agent_header_com.jiningdaily.product.xml
/data/data/####/mobclick_agent_state_com.jiningdaily.product.xml
/data/data/####/multidex.version.xml
/data/data/####/my_database.db-journal
/data/data/####/native_record_lock
/data/data/####/playBtn.png
/data/data/####/portrait.jpg
/data/data/####/praise.png
/data/data/####/praised.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/py.png
/data/data/####/qaPage.css
/data/data/####/qaPage.html
/data/data/####/qaPage.js
/data/data/####/qq.png
/data/data/####/reader.db-journal
/data/data/####/reader.png
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/subscribeColumnId.xml
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/vue-resource.js
/data/data/####/vue.js
/data/data/####/wb.png
/data/data/####/weatherSp.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/weibo_logo.png
/data/data/####/wx.png
/data/media/####/.cuid
/data/media/####/.dic_lock
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jiningdaily.product.bin
/data/media/####/com.jiningdaily.product.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/iflyworkdir_test
/data/media/####/localTemplate.zip
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ntt510
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.founder.product.push.MyGetuiService 25350 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.5.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.founder.product.push.MyGetuiService 25350 300 0

Загружает динамические библиотеки:

Bugly
RSSupportIO
getuiext2
libnfix
librsjni
libshella-2.9.0.5
libufix
msc
neh
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней