Adware.Gexin.9130

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) www.up####.vip:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) s####.xm.kuaidia####.cn:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pr.m####.qq.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) pr.m####.qq.com:443
TCP(TLS/1.0) m####.qq.com:443

Запросы DNS:

3####.qq.com
a####.b####.qq.com
a####.map.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
loc.map.b####.com
m####.qq.com
o####.map.b####.com
pr.m####.qq.com
s####.xm.kuaidia####.cn
ser####.dc####.net.cn
st####.dc####.net.cn
www.up####.vip

Запросы HTTP GET:

pr.m####.qq.com/ws/coord/v1/translate?locations=####&type=####&key=####
s####.xm.kuaidia####.cn/AppHome/data/default.json?app_key=####&timestamp...
s####.xm.kuaidia####.cn/Storage/template/0/20190105/63682278793552635034...
s####.xm.kuaidia####.cn/Storage/template/0/20190124/63683935188364597288...
s####.xm.kuaidia####.cn/Storage/template/0/20190215/63685827542011686934...
s####.xm.kuaidia####.cn/Storage/template/0/20190215/63685836914790016154...
s####.xm.kuaidia####.cn/Storage/template/0/20190215/63685838589109348884...
s####.xm.kuaidia####.cn/Storage/template/0/20190215/63685838589496051218...
s####.xm.kuaidia####.cn/Storage/template/0/20190215/63685838589634751130...
s####.xm.kuaidia####.cn/Storage/template/0/20190221/63686345492407218252...
s####.xm.kuaidia####.cn/api/Home/GetAppGuidePages?app_key=####&timestamp...
s####.xm.kuaidia####.cn/api/ShopBranchWeb/GetIndexData?app_key=####&time...
s####.xm.kuaidia####.cn/api/home/Get?pageno=####&pagesize=####&app_key=#...
s####.xm.kuaidia####.cn/api/home/GetUpdateApp?appversion=####&type=####&...
s####.xm.kuaidia####.cn/api/search/GetSearchProducts?pageno=####&pagesiz...
www.up####.vip//Storage/Shop/12/Products/310/1_350.png
www.up####.vip//Storage/Shop/16/Products/255/1_350.png
www.up####.vip//Storage/Shop/16/Products/300/1_350.png
www.up####.vip//Storage/Shop/29/Products/293/1_350.png
www.up####.vip/Storage/template/0/20190105/6368227882949013262705783.jpg
www.up####.vip/Storage/template/0/20190105/6368227885050579489617582.jpg
www.up####.vip/Storage/template/0/20190124/6368392447372399592624648.png
www.up####.vip/Storage/template/0/20190124/6368392515431778967433215.png
www.up####.vip/Storage/template/0/20190124/6368392515453648822133509.png
www.up####.vip/Storage/template/0/20190124/6368392515472398128375313.png
www.up####.vip/Storage/template/0/20190124/6368392515494274423075607.png
www.up####.vip/Storage/template/0/20190124/6368392515536460447246951.png
www.up####.vip/Storage/template/0/20190124/6368392515553647525961337.png
www.up####.vip/Storage/template/0/20190124/6368392527931777988911678.png
www.up####.vip/Storage/template/0/20190124/6368393050408344534381882.gif
www.up####.vip/Storage/template/0/20190124/6368393503712820398910764.png
www.up####.vip/Storage/template/0/20190124/6368393504925518393573175.png
www.up####.vip/Storage/template/0/20190124/6368393505633329971110540.png
www.up####.vip/Storage/template/0/20190124/6368393506456772252662701.png
www.up####.vip/Storage/template/0/20190124/6368393508269270862292078.png
www.up####.vip/Storage/template/0/20190124/6368393509378644449369998.png
www.up####.vip/Storage/template/0/20190124/6368393512042705184063328.png
www.up####.vip/Storage/template/0/20190124/6368393515511456773067016.png
www.up####.vip/Storage/template/0/20190124/6368393516730207931242752.png
www.up####.vip/Storage/template/0/20190124/6368393517995830978575739.png
www.up####.vip/Storage/template/0/20190124/6368393521273956179895587.png
www.up####.vip/Storage/template/0/20190124/6368393524814580469811655.png
www.up####.vip/Storage/template/0/20190124/6368393561627086738180728.png
www.up####.vip/Storage/template/0/20190124/6368393638489616569594795.jpg
www.up####.vip/Storage/template/0/20190124/6368394122844249455664179.png
www.up####.vip/Storage/template/0/20190124/6368394208172399622014828.png
www.up####.vip/Storage/template/0/20190124/6368394255008337237394383.png
www.up####.vip/Storage/template/0/20190124/6368394260348967908913177.png
www.up####.vip/Storage/template/0/20190124/6368394592978638216710979.png
www.up####.vip/Storage/template/0/20190124/6368394593044261644110034.png
www.up####.vip/Storage/template/0/20190124/6368394593078639141538807.png
www.up####.vip/Storage/template/0/20190124/6368394593103638486995764.png
www.up####.vip/Storage/template/0/20190124/6368394593133326493736801.png
www.up####.vip/Storage/template/0/20190124/6368394593155203867437095.png
www.up####.vip/Storage/template/0/20190125/6368402809945798868411914.jpeg
www.up####.vip/Storage/template/0/20190125/6368402811225485783702625.jpeg

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/1.chunk.js
/data/data/####/2.chunk.js
/data/data/####/Collection.png
/data/data/####/CommonJS.js
/data/data/####/H5F563BDD.xml
/data/data/####/HappyBeans.html
/data/data/####/NearStore.html
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aboutus.html
/data/data/####/aboutus.png
/data/data/####/account.css
/data/data/####/accouticon.png
/data/data/####/ad.png
/data/data/####/ad_img.png
/data/data/####/address-add.html
/data/data/####/address-edit.html
/data/data/####/address.html
/data/data/####/addressicon.png
/data/data/####/app.js
/data/data/####/arrow_down.png
/data/data/####/arrow_down2.png
/data/data/####/arrow_up.png
/data/data/####/arrow_up2.png
/data/data/####/assets-icon.png
/data/data/####/authStatus_upmall.app.xml
/data/data/####/authStatus_upmall.app;remote.xml
/data/data/####/bar01.png
/data/data/####/bar02.png
/data/data/####/beansOrder.html
/data/data/####/beansbg.png
/data/data/####/big1_img.png
/data/data/####/big_img.png
/data/data/####/bind-phone.html
/data/data/####/blank.gif
/data/data/####/bonus-box.png
/data/data/####/bonus.png
/data/data/####/border.png
/data/data/####/bugly_db_legu-journal
/data/data/####/cart-box.html
/data/data/####/cart.html
/data/data/####/category.html
/data/data/####/comment.png
/data/data/####/consumed.png
/data/data/####/coupon_bg.png
/data/data/####/coupon_bg1.jpg
/data/data/####/coupon_bg1.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/default-photo.png
/data/data/####/default.png
/data/data/####/delayimg.min.js
/data/data/####/distribution_icon_1.png
/data/data/####/eje3cnc
/data/data/####/errors.png
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/favorite.png
/data/data/####/favorite_on.png
/data/data/####/fenxiang.png
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/flow.png
/data/data/####/footprint.png
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/getui_sp.xml
/data/data/####/goodsView1.jpg
/data/data/####/goodsView2.jpg
/data/data/####/goodsView3.jpg
/data/data/####/goodsView4.jpg
/data/data/####/group_1_2.png
/data/data/####/group_1_3.png
/data/data/####/group_1_4.png
/data/data/####/group_1_5.png
/data/data/####/group_2_2.png
/data/data/####/group_2_3.png
/data/data/####/group_2_4.png
/data/data/####/group_2_5.png
/data/data/####/group_2_6.png
/data/data/####/group_2_7.png
/data/data/####/group_3_2.png
/data/data/####/group_3_3.png
/data/data/####/group_3_4.png
/data/data/####/group_3_5.png
/data/data/####/group_3_6.png
/data/data/####/group_3_7.png
/data/data/####/group_4_2.png
/data/data/####/group_4_3.png
/data/data/####/group_4_4.png
/data/data/####/group_4_5.png
/data/data/####/group_4_6.png
/data/data/####/group_4_7.png
/data/data/####/group_4_8.png
/data/data/####/group_4_9.png
/data/data/####/guide.html
/data/data/####/home.html
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html5Geo.xml
/data/data/####/ic_arrow.png
/data/data/####/ic_arrow2.png
/data/data/####/ic_cart.png
/data/data/####/ic_cart_disable.png
/data/data/####/ic_clear.png
/data/data/####/ic_close.png
/data/data/####/ic_locate.png
/data/data/####/ic_locate2.png
/data/data/####/ic_locate3.png
/data/data/####/ic_phone.png
/data/data/####/ic_trash.png
/data/data/####/ic_upgrade.png
/data/data/####/icon-search-16-16.png
/data/data/####/icon.png
/data/data/####/icon_fx.png
/data/data/####/iconfont.ttf
/data/data/####/index
/data/data/####/index-banner.png
/data/data/####/index.html
/data/data/####/init_c1.pid
/data/data/####/inte-icon.png
/data/data/####/integral-coupon.html
/data/data/####/integral-detail.html
/data/data/####/integral-gift.html
/data/data/####/integral-home.html
/data/data/####/integral-order-detail.html
/data/data/####/integral-order.html
/data/data/####/integral-submit.html
/data/data/####/integral-use.html
/data/data/####/integral1.png
/data/data/####/integral2.png
/data/data/####/invite_bg.png
/data/data/####/jd_07.jpg
/data/data/####/jquery-1.12.0.min.js
/data/data/####/jquery.himallStorage.js
/data/data/####/kmicon.png
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/limitbuy-list.html
/data/data/####/loading.gif
/data/data/####/local_crash_lock
/data/data/####/locating.gif
/data/data/####/login-bind.html
/data/data/####/login.html
/data/data/####/logo-bg.png
/data/data/####/logo.png
/data/data/####/lrz.bundle.js
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/meiqia-btn.png
/data/data/####/meiqia.html
/data/data/####/meiqia_icon.png
/data/data/####/merge-any.html
/data/data/####/merge-any.jpg
/data/data/####/merge-call.html
/data/data/####/merge-call.jpg
/data/data/####/merge-detail.html
/data/data/####/merge-list-thumb-mask.png
/data/data/####/merge-list.html
/data/data/####/merge-not.jpg
/data/data/####/merge-personal-detail-line.png
/data/data/####/merge-personal-detail.html
/data/data/####/merge-personal-list.html
/data/data/####/merge.png
/data/data/####/mid1_img.png
/data/data/####/mid_img.png
/data/data/####/mix.dex
/data/data/####/more6.png
/data/data/####/mui.listpicker.css
/data/data/####/mui.listpicker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/navigation.png
/data/data/####/noauth.html
/data/data/####/noimage200.png
/data/data/####/null.png
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/ok-black.png
/data/data/####/ok-check.png
/data/data/####/ok.png
/data/data/####/online_btn_03.png
/data/data/####/order-choose-store.html
/data/data/####/order-detail.html
/data/data/####/order-evaluate-append.html
/data/data/####/order-evaluate.html
/data/data/####/order-express.html
/data/data/####/order-list.html
/data/data/####/order-pickup-goods.html
/data/data/####/order-qrcode.html
/data/data/####/order-refund-detail.html
/data/data/####/order-refund-list.html
/data/data/####/order-refund.html
/data/data/####/order-share.html
/data/data/####/order-submit.html
/data/data/####/password-change.html
/data/data/####/password-forget.html
/data/data/####/payment.png
/data/data/####/paypwd-change.html
/data/data/####/paypwd-forget.html
/data/data/####/pdr.xml
/data/data/####/phone2.png
/data/data/####/pickup.png
/data/data/####/point-change.html
/data/data/####/pointbg.jpg
/data/data/####/pointimg.png
/data/data/####/posi-icon1.png
/data/data/####/product-comment.html
/data/data/####/product-detail.html
/data/data/####/qq.png
/data/data/####/qq_icon.png
/data/data/####/qr-status.png
/data/data/####/qr_bg.png
/data/data/####/qrcode.min.js
/data/data/####/refund.png
/data/data/####/reg.html
/data/data/####/remm.png
/data/data/####/search.html
/data/data/####/security_info
/data/data/####/sendicon.png
/data/data/####/shopfavorite.png
/data/data/####/small1_img.png
/data/data/####/small2_img.png
/data/data/####/small_img.png
/data/data/####/stars_grey.png
/data/data/####/stars_orange.png
/data/data/####/start.png
/data/data/####/start_statistics_data.xml
/data/data/####/store-choose-address.html
/data/data/####/store-comment.html
/data/data/####/store-detail.html
/data/data/####/store-evaluate.html
/data/data/####/store-home.html
/data/data/####/store-list.html
/data/data/####/store-product-detail.html
/data/data/####/store-search.html
/data/data/####/store-tag.html
/data/data/####/storeHome.js
/data/data/####/storeShopCart.js
/data/data/####/store_add.png
/data/data/####/store_addressicon.png
/data/data/####/store_minus.png
/data/data/####/store_minus2.png
/data/data/####/stores.html
/data/data/####/storetel.png
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/swiper.min.js
/data/data/####/swiper.png
/data/data/####/template.js
/data/data/####/test_app
/data/data/####/thumb.png
/data/data/####/title_img.png
/data/data/####/topic-detail.html
/data/data/####/topic.html
/data/data/####/user-account.html
/data/data/####/user-assets.html
/data/data/####/user-coupon.html
/data/data/####/user-favproduct.html
/data/data/####/user-favshop.html
/data/data/####/user-history.html
/data/data/####/user-info.html
/data/data/####/user-invite.html
/data/data/####/user-recharge.html
/data/data/####/userbg.jpg
/data/data/####/usercenter.html
/data/data/####/vshop-category.html
/data/data/####/vshop-coupon.html
/data/data/####/vshop-detail.html
/data/data/####/vshop-intro.html
/data/data/####/vshop-list.html
/data/data/####/vshop-search.html
/data/data/####/vshop.html
/data/data/####/waitupload.png
/data/data/####/waitupload5.png
/data/data/####/waitupload6.png
/data/data/####/web-show.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/wx-page.html
/data/data/####/wxfriend.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
locSDK7a
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней