Adware.Gexin.10017

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) prs####.i####.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) sto####.i####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
c####.g####.ig####.com
c-h####.g####.com
l####.tbs.qq.com
log.u####.com
prs####.i####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sto####.i####.com

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/58d9c3dd04e2056ef4001e76/...
prs####.i####.com/banner/dav-banner18100820273834435.jpg@!banner
prs####.i####.com/banner/dav-banner18100820281380263.jpg@!banner
prs####.i####.com/banner/dav-banner18100820284614305.jpg@!banner
prs####.i####.com/banner/dav-banner18100820292485888.jpg@!banner
prs####.i####.com/banner/dav-banner18100820295665092.jpg@!banner
prs####.i####.com/banner/dav-banner18100820302542923.jpg@!banner
prs####.i####.com/banner/dav-banner18100820305896376.jpg@!banner
prs####.i####.com/banner/dav-banner18100820312428395.jpg@!banner
prs####.i####.com/banner/dav-banner18100820315603929.jpg@!banner
prs####.i####.com/banner/dav-banner18100820322190525.jpg@!banner
prs####.i####.com/banner/dav-banner18100820325525719.jpg@!banner
prs####.i####.com/banner/dav-banner18100820332495541.jpg@!banner
prs####.i####.com/banner/dav-banner18100820574564084.jpg@!banner
prs####.i####.com/banner/dav-banner19022110113580758.jpg@!banner
prs####.i####.com/banner/dav-banner19022114211861291.jpg@!banner
prs####.i####.com/banner/dav-banner19022114215103844.jpg@!banner
prs####.i####.com/banner/dav-banner19022509570346807.jpg@!banner
prs####.i####.com/banner/dav-banner19031109530779224.jpg@!banner
prs####.i####.com/banner/dav-banner19031115271840051.jpg@!banner
prs####.i####.com/resource/224dYiDxD5.jpg@!resource_face
prs####.i####.com/resource/5SriC7kmdn.jpg@!resource_face
prs####.i####.com/resource/HrMaJzmeew.jpg@!resource_face
prs####.i####.com/resource/KwjZanXpJn.jpg@!resource_face
prs####.i####.com/resource/P2tKbFTHxr.jpg@!resource_face
prs####.i####.com/resource/T8PNidzb6y.jpg@!resource_face
prs####.i####.com/resource/T8bm3jJcaE.png@!resource_face
prs####.i####.com/resource/dav-resource18061710303054459.jpg@!resource
prs####.i####.com/resource/dav-resource18072515465069263.jpg@!resource
prs####.i####.com/resource/dav-resource1808201146532399.jpg@!resource
prs####.i####.com/resource/dav-resource18092809104377256.jpg@!resource
prs####.i####.com/resource/dav-resource18101813421886854.jpg@!resource
prs####.i####.com/resource/dav-resource18102217290330267.jpg@!resource
prs####.i####.com/resource/dav-resource18102413373722843.jpg@!resource
prs####.i####.com/resource/dav-resource18102610502595627.jpg@!resource
prs####.i####.com/resource/dav-resource18102715290055991.jpg@!resource
prs####.i####.com/resource/dav-resource18111721500421555.jpg@!resource
prs####.i####.com/resource/dav-resource18113019562523495.jpg@!resource
prs####.i####.com/resource/dav-resource1812021008101086.jpg@!resource
prs####.i####.com/resource/dav-resource18120511023348518.jpg@!resource
prs####.i####.com/resource/dav-resource18120714503455408.jpg@!resource
prs####.i####.com/resource/dav-resource18121217383150985.jpg@!resource
prs####.i####.com/resource/dav-resource18121913301586063.jpg@!resource
prs####.i####.com/resource/dav-resource18122214322593422.jpg@!resource
prs####.i####.com/resource/dav-resource18122813232033918.jpg@!resource
prs####.i####.com/resource/dav-resource19010816324405503.jpg@!resource
prs####.i####.com/resource/dav-resource19011611333428563.jpg@!resource
prs####.i####.com/resource/dav-resource19012213535248992.jpg@!resource
prs####.i####.com/resource/dav-resource19012313135892466.jpg@!resource
prs####.i####.com/resource/dav-resource19012315312919306.jpg@!resource
prs####.i####.com/resource/dav-resource19012417114419985.jpg@!resource
prs####.i####.com/resource/dav-resource19012813084743077.jpg@!resource
prs####.i####.com/resource/dav-resource19021816092432332.jpg@!resource
prs####.i####.com/resource/dav-resource19022511391461966.jpg@!resource
prs####.i####.com/resource/dav-resource19022710140823493.jpg@!resource
prs####.i####.com/resource/dav-resource1903041114073437.jpg@!resource
prs####.i####.com/resource/dav-resource19030411272771367.jpg@!resource
prs####.i####.com/resource/dav-resource19030411310769277.jpg@!resource
prs####.i####.com/resource/dav-resource19030411382407765.jpg@!resource
prs####.i####.com/resource/eXmFFbn3Mk.png
prs####.i####.com/resource/ehk3xzw2w6.jpg@!resource_face
prs####.i####.com/resource/hTScpT7k3M.jpg@!resource_face
prs####.i####.com/resource/wiBnJP8dtt.jpg@!resource_face
prs####.i####.com/resource/y3s2YCEAp7.png@!resource_face
qin####.com.www.####.com/tdata_EDT369
sto####.i####.com/index.php?s=####
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_Wqf010
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_ynp969
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sto####.i####.com/index.php?s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/06fc0df6715cba0d451564a56aa38606.0.tmp
/data/data/####/06fc0df6715cba0d451564a56aa38606.1.tmp
/data/data/####/0a44db345d9d623e4a840124cc6532da.0.tmp
/data/data/####/0a44db345d9d623e4a840124cc6532da.1.tmp
/data/data/####/12fa3fb6cef817d3703695425a657ebc.0.tmp
/data/data/####/12fa3fb6cef817d3703695425a657ebc.1.tmp
/data/data/####/164c9902c9ce7f473253fbf55dcd94d6.0.tmp
/data/data/####/164c9902c9ce7f473253fbf55dcd94d6.1.tmp
/data/data/####/1b17a4cafaf34935e23b2ef573bc7ea4.0.tmp
/data/data/####/1b17a4cafaf34935e23b2ef573bc7ea4.1.tmp
/data/data/####/235c33d0ce4551f417f15b4673ddf144.0.tmp
/data/data/####/235c33d0ce4551f417f15b4673ddf144.1.tmp
/data/data/####/25848a5e7e4717bcf2e74dc362527bc4.0.tmp
/data/data/####/25848a5e7e4717bcf2e74dc362527bc4.1.tmp
/data/data/####/27aa9dbe8f7460573fed5a5d55a7848d.0.tmp
/data/data/####/27aa9dbe8f7460573fed5a5d55a7848d.1.tmp
/data/data/####/2c6fec18d52fa3581ca7a384b407184d.0.tmp
/data/data/####/2c6fec18d52fa3581ca7a384b407184d.1.tmp
/data/data/####/2de168420b87a6e30dbdb44ffba01fec.0.tmp
/data/data/####/2de168420b87a6e30dbdb44ffba01fec.1.tmp
/data/data/####/33a50704ea52c9d18ac16e361ee8792e.0.tmp
/data/data/####/33a50704ea52c9d18ac16e361ee8792e.1.tmp
/data/data/####/34b4c8f1a2d6b32e45597a566e348353.0.tmp
/data/data/####/34b4c8f1a2d6b32e45597a566e348353.1.tmp
/data/data/####/34f32f6ce38c6e19766a03a1d181a756.0.tmp
/data/data/####/34f32f6ce38c6e19766a03a1d181a756.1.tmp
/data/data/####/42f26b2d08ee6d78b659972a304d41fc.0.tmp
/data/data/####/42f26b2d08ee6d78b659972a304d41fc.1.tmp
/data/data/####/43b08e5b6b8e61b0d69dc5ffcaee9f14.0.tmp
/data/data/####/43b08e5b6b8e61b0d69dc5ffcaee9f14.1.tmp
/data/data/####/43c76d36b55eb2413b4a25769bc7d92c.0.tmp
/data/data/####/43c76d36b55eb2413b4a25769bc7d92c.1.tmp
/data/data/####/4634369a225c127a84a788c2016e6284.0.tmp
/data/data/####/4634369a225c127a84a788c2016e6284.1.tmp
/data/data/####/478e3faea1c248de3a550580db556d6b.0.tmp
/data/data/####/478e3faea1c248de3a550580db556d6b.1.tmp
/data/data/####/48232e10885fa2dca8de94f306839b38.0.tmp
/data/data/####/48232e10885fa2dca8de94f306839b38.1.tmp
/data/data/####/4b709cf69f2c2f095a7e9b11e712e1a8.0.tmp
/data/data/####/4b709cf69f2c2f095a7e9b11e712e1a8.1.tmp
/data/data/####/4ee11af65c72cfff6802ef979236bfbd.0.tmp
/data/data/####/4ee11af65c72cfff6802ef979236bfbd.1.tmp
/data/data/####/4f76d8a31c384e84c51645bc76aa0d77.0.tmp
/data/data/####/4f76d8a31c384e84c51645bc76aa0d77.1.tmp
/data/data/####/56f672e7c0c5d6bc46955a68ab0632bf.0.tmp
/data/data/####/56f672e7c0c5d6bc46955a68ab0632bf.1.tmp
/data/data/####/5f1d70ac4a4ca982f146830e6121044a.0.tmp
/data/data/####/5f1d70ac4a4ca982f146830e6121044a.1.tmp
/data/data/####/6228ebfefdab1c3243a90994269ccde2.0.tmp
/data/data/####/6228ebfefdab1c3243a90994269ccde2.1.tmp
/data/data/####/681dfe0c53b1e907a21f036d1b4e8534.0.tmp
/data/data/####/681dfe0c53b1e907a21f036d1b4e8534.1.tmp
/data/data/####/698f2bfa3256c2bb8195804170b62768.0.tmp
/data/data/####/698f2bfa3256c2bb8195804170b62768.1.tmp
/data/data/####/755ef15aad82e578530eb720125ad33a.0.tmp
/data/data/####/755ef15aad82e578530eb720125ad33a.1.tmp
/data/data/####/8057e128b0131bee5d94b36756726ade.0.tmp
/data/data/####/8057e128b0131bee5d94b36756726ade.1.tmp
/data/data/####/8528fa16f5e06bbc0678786a4ac650b5.0.tmp
/data/data/####/8528fa16f5e06bbc0678786a4ac650b5.1.tmp
/data/data/####/85a78691ab95657311bd2abe30e6c636.0.tmp
/data/data/####/85a78691ab95657311bd2abe30e6c636.1.tmp
/data/data/####/87d50bac3fcf53b3055bed3018dab47c.0.tmp
/data/data/####/87d50bac3fcf53b3055bed3018dab47c.1.tmp
/data/data/####/8ca0be9096a15647525a9a1270e5ec21.0.tmp
/data/data/####/8ca0be9096a15647525a9a1270e5ec21.1.tmp
/data/data/####/8f2e8d078908e986943e0e8c0f6a1ba6.0.tmp
/data/data/####/8f2e8d078908e986943e0e8c0f6a1ba6.1.tmp
/data/data/####/903f086ec1eeab4f415797952677ee6c.0.tmp
/data/data/####/903f086ec1eeab4f415797952677ee6c.1.tmp
/data/data/####/9201281025cee2c0d1d8b026e96a2b16.0.tmp
/data/data/####/9201281025cee2c0d1d8b026e96a2b16.1.tmp
/data/data/####/948ab6885833841994551ffe504b2b79.0.tmp
/data/data/####/948ab6885833841994551ffe504b2b79.1.tmp
/data/data/####/95e84502c0e817e3f73a130edbfec287.0.tmp
/data/data/####/95e84502c0e817e3f73a130edbfec287.1.tmp
/data/data/####/9b804993f71936e7c3f62e1c8c5bda98.0.tmp
/data/data/####/9b804993f71936e7c3f62e1c8c5bda98.1.tmp
/data/data/####/9ef8d83b1244e44c5bc0a0c6d2ddb127.0.tmp
/data/data/####/9ef8d83b1244e44c5bc0a0c6d2ddb127.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/a1bd46eec65fb642343ad1b025e7a885.0.tmp
/data/data/####/a1bd46eec65fb642343ad1b025e7a885.1.tmp
/data/data/####/a269a2c4ae86a139d1468fb3bcc24779.0.tmp
/data/data/####/a269a2c4ae86a139d1468fb3bcc24779.1.tmp
/data/data/####/a297c219be1bb375c023bc2fa7be7ade.0.tmp
/data/data/####/a297c219be1bb375c023bc2fa7be7ade.1.tmp
/data/data/####/b2c72c10b3e88ed0a96527694340ea47.0.tmp
/data/data/####/b2c72c10b3e88ed0a96527694340ea47.1.tmp
/data/data/####/b330647fa88d2887fdecb8006ac7bdbf.0.tmp
/data/data/####/b330647fa88d2887fdecb8006ac7bdbf.1.tmp
/data/data/####/b62e30dbbd83172521d2558dee72d0b9.0.tmp
/data/data/####/b62e30dbbd83172521d2558dee72d0b9.1.tmp
/data/data/####/bd68b1f5fd5356d603193bb946889dc9.0.tmp
/data/data/####/bd68b1f5fd5356d603193bb946889dc9.1.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/core_info
/data/data/####/dc4747f00dfa93bbd429379e25c5aaca.0.tmp
/data/data/####/dc4747f00dfa93bbd429379e25c5aaca.1.tmp
/data/data/####/dc924c54cc40cf5271f86e93294cc34d.0.tmp
/data/data/####/dc924c54cc40cf5271f86e93294cc34d.1.tmp
/data/data/####/dca762fcbe3a3552f32435094b752ceb.0.tmp
/data/data/####/dca762fcbe3a3552f32435094b752ceb.1.tmp
/data/data/####/dd7021ed61d827c741b7206642d57368.0.tmp
/data/data/####/dd7021ed61d827c741b7206642d57368.1.tmp
/data/data/####/df08dae2ae79b3d774529c100d63cb58.0.tmp
/data/data/####/df08dae2ae79b3d774529c100d63cb58.1.tmp
/data/data/####/e020009da1fc824e5aeb6b093789c661.0.tmp
/data/data/####/e020009da1fc824e5aeb6b093789c661.1.tmp
/data/data/####/e18a75b67141e2607139f5a4604093a5.0.tmp
/data/data/####/e18a75b67141e2607139f5a4604093a5.1.tmp
/data/data/####/e27314d2e94b08b6afd49402c847515a.0.tmp
/data/data/####/e27314d2e94b08b6afd49402c847515a.1.tmp
/data/data/####/e5a7a7c743bd4cba50a61fb0e211e2a1.0.tmp
/data/data/####/e5a7a7c743bd4cba50a61fb0e211e2a1.1.tmp
/data/data/####/e795d264f79b38e3d9dad17122eed2e9.0.tmp
/data/data/####/e795d264f79b38e3d9dad17122eed2e9.1.tmp
/data/data/####/e9029a71653657e74c9c9a474b6f9bef.0.tmp
/data/data/####/e9029a71653657e74c9c9a474b6f9bef.1.tmp
/data/data/####/ec24d33270ed9a0858c426edb709c372.0.tmp
/data/data/####/ec24d33270ed9a0858c426edb709c372.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2e5f3c4d82f7653576fb7873ebeea29.0.tmp
/data/data/####/f2e5f3c4d82f7653576fb7873ebeea29.1.tmp
/data/data/####/f5ae58cd1907a242b770bcaadbf487de.0.tmp
/data/data/####/f5ae58cd1907a242b770bcaadbf487de.1.tmp
/data/data/####/f6036ba98443c2379ab55473d33f7d48.0.tmp
/data/data/####/f6036ba98443c2379ab55473d33f7d48.1.tmp
/data/data/####/f8708a171fca41dded9bd85db80bc881.0.tmp
/data/data/####/f8708a171fca41dded9bd85db80bc881.1.tmp
/data/data/####/f9c979b9610cef4a7dd6a0652565b3b1.0.tmp
/data/data/####/f9c979b9610cef4a7dd6a0652565b3b1.1.tmp
/data/data/####/fc8d291e75e9
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hmall.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-1825764045.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_Wqf010
/data/data/####/tdata_Wqf010.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_ynp969
/data/data/####/tdata_ynp969.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/org.gbmedia.hmall.bin
/data/media/####/org.gbmedia.hmall.db
/data/media/####/tdata_Jga153
/data/media/####/tdata_Wqf010
/data/media/####/tdata_bca864
/data/media/####/tdata_ynp969
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.MyPushService 24659 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.MyPushService 24659 300 0

Загружает динамические библиотеки:

getuiext3
libjiagu-1825764045

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней