Adware.Gexin.9866

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.0) m####.h####.com:80
TCP(HTTP/1.1) cloud####.fengkon####.com:80
TCP(HTTP/1.1) e####.bs####.yy.com:80
TCP(HTTP/1.1) short-y####.yy.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) abtes####.yy.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) kingsof####.b####.yy.####.com:80
TCP(HTTP/1.1) updat####.yy.com:80
TCP(HTTP/1.1) zon####.bs2.yy.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) do.yy.du####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) m####.h####.com:80
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(HTTP/1.1) d####.3g.yy.com:80
TCP(SSL/3.0) abtes####.yy.com:443
UDP(TELNET) 1####.247.249.98:23
UDP(TELNET) 1####.242.117.100:23
UDP(TELNET) 2####.170.50.135:23
TCP(TLS/1.0) abtes####.yy.com:443
TCP(TLS/1.0) 1####.217.20.78:443
TCP(TLS/1.0) e####.bs####.yy.com:443
TCP(TLS/1.0) co####.h####.com:443
TCP(TLS/1.0) y####.du####.com:443
TCP(TLS/1.0) short-y####.yy.com:443
TCP(TLS/1.0) updat####.yy.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) wap.cmpass####.com:8443
TCP ope####.m.ta####.com:443
UDP 61.1####.73.148:80
TCP 1####.138.209.122:6888
UDP 61.1####.52.149:6002
TCP sdk.o####.t####.####.com:5224
TCP 2####.119.215.161:80
TCP c####.g####.ig####.com:5225
TCP 1####.232.141.48:82
UDP 61.1####.30.139:91
UDP 4####.56.75.12:5002
UDP 61.1####.52.149:5002
UDP 60.2####.219.164:4002
TCP 58.52.1####.53:92
UDP 61.1####.29.221:6002
TCP 60.2####.219.145:8085
UDP 2####.194.67.7:5002
UDP 61.1####.73.148:5002
TCP 1####.20.85.94:8084
TCP 61.1####.30.139:91
UDP 2####.194.67.7:4002
UDP 61.1####.73.130:6002
UDP 1####.247.249.98:6002
TCP 61.1####.199.203:8091
TCP 2####.194.67.125:8095
UDP 61.1####.52.174:5002

Запросы DNS:

7j####.c####.z0.####.com
a####.3g.yy.com
a####.3g.yy.com
a####.man.aliy####.com
abtes####.yy.com
ag####.m.ta####.com
amdc####.m.ta####.com
c####.g####.ig####.com
c-h####.g####.com
cloud####.fengkon####.com
co####.h####.com
crash-r####.yy.com
d####.3g.yy.com
da####.yy.com
do.yy.du####.com
e####.bs####.yy.com
f####.fengkon####.com
gray-co####.yy.com
is.sn####.com
k####.h####.com
m####.h####.com
mobilel####.b####.yy.com
mt####.go####.com
norma-e####.m####.com
plb####.u####.com
pub-####.qin####.com
screen####.dwst####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
short-y####.yy.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
updat####.yy.com
w-yy####.yy.com
wap.cmpass####.com
y####.du####.com
zon####.bs####.yy.com
zon####.bs2.yy.com

Запросы HTTP GET:

abtes####.yy.com/schedule/offch?uid=####&yyVersion=####&os=####&model=##...
abtes####.yy.com/speed/entrance?uid=####&yyVersion=####&os=####&model=##...
abtes####.yy.com/speed/nav/speed_watch/idx?uid=####&yyVersion=####&os=##...
d####.3g.yy.com/speed/nav/speedIndex/idx?uid=####&yyVersion=####&os=####...
d####.3g.yy.com/speed/navs?uid=####&yyVersion=####&os=####&model=####&os...
do.yy.du####.com/dynamic-shunt-data/type2/109/AudioengineConfig
do.yy.du####.com/dynamic-shunt-data/type2/109/Hw264Config
e####.bs####.yy.com/MDQwY2E5ODItZjk3NC00NmZhLTg5OGItMTE0ZTMwZjU3MjBj.png...
e####.bs####.yy.com/YTBjODIwYWItMTZiNC00YmU5LWIyMDktOWQ2NTIyNWE4YTkx.png...
e####.bs####.yy.com/ZDM1NjQ2YTktOTk2YS00YWM0LTliMzUtZDNlMmU3NTAwYjE5.jpg...
e####.bs####.yy.com/group16/M00/9327/20190218_1722087834426.xml
e####.bs####.yy.com/yysnapshot/08783c8dd71aeb0e990ab0e95100b9b672c57418?...
kingsof####.b####.yy.####.com/1709633782_1550009962.017459.jpg?ips_thumb...
m####.h####.com/c.gif?act=####&time=####&key=####&appid=####&scene=####&...
norma-e####.m####.com/android/exchange/getpublickey.do
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_JNg986
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_iRz660
t####.c####.q####.####.com/tdata_zzW503
updat####.yy.com/api/1/forceversion/getAll?user=####&nounce=####&time=##...
updat####.yy.com/c.gif?ot=####&dr2=####&nt=####&sr=####&sbd=####&sd=####...
updat####.yy.com/speed/android/activate?uid=####&yyVersion=####&os=####&...
zon####.bs2.yy.com/group16/M00/fb6674d2f65a44a7bb1447b25e3f43ba.jpg?ips_...

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
c-h####.g####.com/api.php?format=####&t=####
cloud####.fengkon####.com/v2/device/conf
f####.fengkon####.com/v2/device/profile
m####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...
norma-e####.m####.com/push/android/external/add.do
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
short-y####.yy.com/dau/reporting
updat####.yy.com/dau/reporting

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1552075365041mysharelanguage.txt
/data/data/####/20190218_1722087834426.xml
/data/data/####/375830d3081d
/data/data/####/564c0c085708df1ac9a15a01d124cc6cfc9081337baf9ed....0.tmp
/data/data/####/75F0ED65DF2431A0DA6BB3D164054C01
/data/data/####/ACCS_BINDumeng;5a276a10f29d982f520000f1
/data/data/####/ACCS_SDK
/data/data/####/ACCS_SDK_CHANNEL
/data/data/####/AGOO_BIND
/data/data/####/Agoo_AppStore
/data/data/####/Alvin2
/data/data/####/AndroidManifest.xml
/data/data/####/AudioengineConfig
/data/data/####/ContextData
/data/data/####/DaemonServer
/data/data/####/HwCodecConfig
/data/data/####/KLog$$com-yy-yylite.mmap2
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/PLUGIN_PREFERENCES
/data/data/####/RuntimeKit
/data/data/####/UM_PROBE_DATA
/data/data/####/UpgradePref
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/b4ae3c04b9474e43bc380f3f5da5d1c9
/data/data/####/b809ab6c17c945639c7e743e3e3e064a
/data/data/####/bf40b9fb6b258fa091db6649a626069ed671da284029bd7....0.tmp
/data/data/####/ca24c6afb820e2267316c14c0467a27d38fe2beecf45857....0.tmp
/data/data/####/cc7a3b632ef18b4da35f271e30fe6bbdf35d0a77072cc2b....0.tmp
/data/data/####/cloudms.conf
/data/data/####/com.shumei
/data/data/####/com.x.y.1
/data/data/####/com.x.y.2
/data/data/####/com.yy.shortpushsvc.db-journal
/data/data/####/d06d7d0d08d4ca09f6b4e32b48138b5f80733da1ea9b5a7....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyMDc1MzU5MzIz;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTUyMDc1Mzc1MzMx;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1NTIwNzUzNjQ3Mzg=;
/data/data/####/default
/data/data/####/downloader.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f264543457ebf0bcd4ab529159babf3248d7d1ce9bd8e6e....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hd_default_pref
/data/data/####/hd_default_pref.tmp
/data/data/####/hdcltid
/data/data/####/hdcommon_config_cache_pref
/data/data/####/hdid.bck
/data/data/####/hdid_v2
/data/data/####/hdstatis_cache_3ed8578c.db-journal
/data/data/####/hdstatis_cache_4b04df0e.db-journal
/data/data/####/hdstatis_cache_b6fa708d.db-journal
/data/data/####/hdstatis_cache_d6aa665f.db-journal
/data/data/####/hduuid_v1
/data/data/####/httpdns_config_cache
/data/data/####/i==1.2.0&&2.0.0_1552075359391_envelope.log
/data/data/####/info
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/lbscache
/data/data/####/libbasenet.so
/data/data/####/libcom_yy_lite_plugin_im.apk
/data/data/####/libcom_yy_lite_plugin_liveextension.apk
/data/data/####/libcom_yy_lite_plugin_quiz.apk
/data/data/####/libcom_yy_lite_plugin_updateres.apk
/data/data/####/libgnustl_shared.so
/data/data/####/libim.so
/data/data/####/libjiagu708335345.so
/data/data/####/libyycrashreport.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version
/data/data/####/mz_push_preference
/data/data/####/nav_cache.txt
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/seq
/data/data/####/small-plugin
/data/data/####/splash_cache.txt
/data/data/####/table
/data/data/####/tdata_JNg986
/data/data/####/tdata_JNg986.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_iRz660
/data/data/####/tdata_iRz660.jar
/data/data/####/tdata_zzW503
/data/data/####/tdata_zzW503.jar
/data/data/####/tracker.db-journal
/data/data/####/tt_sdk_settings
/data/data/####/ttopenadsdk
/data/data/####/ttopensdk.db-journal
/data/data/####/udbauthlooog-journal
/data/data/####/um_pri
/data/data/####/umdat
/data/data/####/umeng_common_config
/data/data/####/umeng_common_location
/data/data/####/umeng_general_config
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state
/data/data/####/yyabtest.db
/data/data/####/yyabtest.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.thumbcache_idx0
/data/media/####/.umm.dat
/data/media/####/2019-03-08.log.txt
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Device
/data/media/####/Device_v2
/data/media/####/Global
/data/media/####/LogPath.txt
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yy.yylite.bin
/data/media/####/com.yy.yylite.db
/data/media/####/d2b08ce4-1e6c-4515-b320-680ecdd98da2
/data/media/####/deviceToken
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/hdcltid.ini
/data/media/####/hdstatis_20190308.log
/data/media/####/hduuid_v1
/data/media/####/imsdk.txt
/data/media/####/info.txt
/data/media/####/libcom_yy_lite_plugin_im.so
/data/media/####/libcom_yy_lite_plugin_liveextension.so
/data/media/####/libcom_yy_lite_plugin_quiz.so
/data/media/####/libcom_yy_lite_plugin_updateres.so
/data/media/####/pushsvc_log.txt
/data/media/####/shumei.txt
/data/media/####/tdata_JNg986
/data/media/####/tdata_MkX219
/data/media/####/tdata_iRz660
/data/media/####/tdata_zzW503
/data/media/####/test.log
/data/media/####/uuid
/data/media/####/yysdk_adapter-03-08-20-02.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5a276a10f29d982f520000f1","utdid":"XILKXjBdv+UDAGdzx1HfKZkW","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.yy.pushsvc.GTPush.GeTuiService 24325 300 0
cat /proc/self/cgroup
cat /sys/class/net/wlan0/address
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id
ls -l /system/bin/su
ls -l /system/xbin/su
ls /
ls /sys/class/thermal
mount
ps
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.yy.pushsvc.GTPush.GeTuiService 24325 300 0

Загружает динамические библиотеки:

DeviceIdentifier
androiditna
basenet
getuiext2
im
libgnustl_shared
libjiagu708335345
libyycrashreport
smsdk
tnet-3.1
yycrashreport
yylog
yyprotolitesdk

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
DES
DES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней