Adware.Gexin.9129

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) md.ope####.360.cn:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(HTTP/1.1) c####.v.tvfa####.com:80
TCP(HTTP/1.1) 1####.125.52.243:80
TCP(HTTP/1.1) and####.api.36####.com:80
TCP(HTTP/1.1) sh####.me####.com:80
TCP(HTTP/1.1) s.36####.com:80
TCP(HTTP/1.1) www.a.sh####.com:80
TCP(HTTP/1.1) s####.s.360.cn:80
TCP(TLS/1.0) bj####.ads.oppomo####.com:443
TCP(TLS/1.0) ssp.v####.com.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) api####.me####.com:443
TCP(TLS/1.0) is.sn####.com:443
TCP(TLS/1.0) s####.tf.360.cn:443
TCP 1####.163.235.101:80

Запросы DNS:

and####.api.36####.com
api####.me####.com
bj####.ads.oppomo####.com
c####.v.tvfa####.com
is.sn####.com
md.ope####.360.cn
p.s.3####.cn
plb####.u####.com
s####.s.360.cn
s####.tf.360.cn
s.36####.com
sdkc####.e.360.cn
sh####.me####.com
ssp.v####.com.cn
u####.u####.com
www.b####.com
x####.v.360.cn

Запросы HTTP GET:

and####.api.36####.com/cloud?token=####&sysver=####&ss=####&m3=####&meth...
and####.api.36####.com/dot/?method=####&type=####&ss=####&token=####&m3=...
c####.v.tvfa####.com/all
s####.s.360.cn/su/index.php?k=####&av=####&slv=####&sv=####&be=####&cv=#...
s.36####.com/android_token_collect.gif?u=####&tn=####&m3=####&ss=####&to...
www.a.sh####.com/

Запросы HTTP POST:

md.ope####.360.cn/list/get?product=####&version=####
p.s.3####.cn/update/update.php?p=####
sh####.me####.com/adsdk?pver=####&skey=Qz####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/Alvin2.xml
/data/data/####/AnitcheatSDK.lock
/data/data/####/ContextData.xml
/data/data/####/GlobalFlag.xml
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData26657d5ff9020d2abefe558796b99584.xml
/data/data/####/VivoOpenAdSDK.xml
/data/data/####/Y29tLnFpaG9vLnZpZGVv.tick.lock
/data/data/####/acs_st_config.ini
/data/data/####/ad_map_ad_configs.xml
/data/data/####/ad_map_config_priority.xml
/data/data/####/ad_map_gdt.xml
/data/data/####/ad_map_oppo.xml
/data/data/####/ad_map_torch.xml
/data/data/####/ad_map_toutiao.xml
/data/data/####/ad_map_vivo.xml
/data/data/####/anitcheat_device.lock
/data/data/####/cloud_switch_cache
/data/data/####/com.oppo.acs.st.prefs.xml
/data/data/####/com.oppo.acs.st.prefs.xml.bak
/data/data/####/com.qihoo.video_dna.xml
/data/data/####/com.qihoo.video_preferences.xml
/data/data/####/com.qihoo.video_prefs.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODM1NDg5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODM4MTMz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODQ1NDg4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODQzMzM5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODU5MTI3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODYxNTg2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODc2MDcx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODc4Mjk5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODczOTcy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODg1NzE1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODg4NzIy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODk4Mzcw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUxMTc4ODkwOTUx;
/data/data/####/dc_anitcheat_file
/data/data/####/dc_anitcheat_file_temp
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/downloader.db
/data/data/####/downloader.db-journal
/data/data/####/du.lock
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/finalcore.dex
/data/data/####/finalcore.jar
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/global.jar
/data/data/####/i==1.2.0&&4.6.4_1551178835567_envelope.log
/data/data/####/info.xml
/data/data/####/key_dnscache.xml
/data/data/####/libjiagu1806440176.so
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/mipush_extra.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/p.l
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/settings.xml
/data/data/####/single_process_offlineSplash_ag5FPw5b8GUD
/data/data/####/single_process_offlineSplash_ag5FPw5b8GUD_locker
/data/data/####/splash_conf_5FPw5b8GUD
/data/data/####/torch_sdk_config.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/video.db
/data/data/####/video.db-journal
/data/data/####/vivo_lib_version.xml
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.deviceId
/data/media/####/.duid
/data/media/####/.iddata
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/.umm.dat
/data/media/####/26657d5ff9020d2abefe558796b99584
/data/media/####/26657d5ff9020d2abefe558796b99584 (deleted)
/data/media/####/360Video.log
/data/media/####/6yC
/data/media/####/6yC (deleted)
/data/media/####/7Uh
/data/media/####/7Uh (deleted)
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/KFg
/data/media/####/KFg (deleted)
/data/media/####/KxB
/data/media/####/KxB (deleted)
/data/media/####/LmU
/data/media/####/LmU (deleted)
/data/media/####/PRA
/data/media/####/PRA (deleted)
/data/media/####/Q1S
/data/media/####/Q1S (deleted)
/data/media/####/Wt6
/data/media/####/Wt6 (deleted)
/data/media/####/Xb5
/data/media/####/Xb5 (deleted)
/data/media/####/Zbt
/data/media/####/Zbt (deleted)
/data/media/####/b6b79d93cb5f675eb56e09fdb8ff2017
/data/media/####/bRk
/data/media/####/bRk (deleted)
/data/media/####/config.txt
/data/media/####/data.lock
/data/media/####/duid
/data/media/####/f0o
/data/media/####/f0o (deleted)
/data/media/####/mcs_msg.ini
/data/media/####/report.lock
/data/media/####/rer
/data/media/####/rer (deleted)
/data/media/####/uKz
/data/media/####/uKz (deleted)
/data/media/####/vKs
/data/media/####/vKs (deleted)
/data/media/####/yA0
/data/media/####/yA0 (deleted)

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
chmod 755 <Package Folder>/.jiagu/libjiagu1806440176.so
date
getprop ro.build.version.emui
id
ip link
logcat -v time
ls /sys/class/thermal
mkdir -p <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/
ps
service call iphonesubinfo 1
sh -c echo OUFFQUFGRUQ1M0VCNTlGNDQ1ODc3NjhCODM5Q0RFRUU5OTVjZDhlNDI4M2E0Y2IwYTU2YjgzODBhYTJiMWY4Zwo= > <SD-Card>/../../../../../..<SD-Card>/.duid
sh -c echo OUFFQUFGRUQ1M0VCNTlGNDQ1ODc3NjhCODM5Q0RFRUU5OTVjZDhlNDI4M2E0Y2IwYTU2YjgzODBhYTJiMWY4Zwo= > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/duid

Загружает динамические библиотеки:

du
libjiagu1806440176
libvxproto
qhsdk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней