Adware.Gexin.10193

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
UDP(NTP) n####.al####.com:123
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) conte####.chao####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
conte####.chao####.com
g####.chao####.com
gxpic####.chao####.com
gxv####.chao####.com
log.u####.com
n####.al####.com
p####.chao####.com
plb####.u####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

Запросы HTTP GET:

d####.c####.l####.####.com/photos/life/other/00009
d####.c####.l####.####.com/photos/life/other/00017
d####.c####.l####.####.com/photos/life/other/00039
d####.c####.l####.####.com/photos/life/other/00045
d####.c####.l####.####.com/photos/life/other/00083
d####.c####.l####.####.com/photos/life/other/00119
d####.c####.l####.####.com/photos/life/other/00127
d####.c####.l####.####.com/photos/life/other/00144
d####.c####.l####.####.com/photos/life/other/00151
d####.c####.l####.####.com/photos/life/other/00155
d####.c####.l####.####.com/test/image/acatar/奥巴马辣条.jpg
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/0?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/1?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/2?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/3?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/4?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/5?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/6?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/7?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149435/8?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/149502/0?imageVi####
d####.c####.l####.####.com/test/pics/fanjian/all_pics/80464/0?imageVi####
d####.c####.l####.####.com/test/videos/douyin/liked_videos/6622474227146...
d####.c####.l####.####.com/test/videos/douyin/liked_videos/6623856613130...
d####.c####.l####.####.com/test/videos/haokan/videos/8366430352501646619...
d####.c####.l####.####.com/test/videos/haokan/videos/8965153503882143557...
d####.c####.l####.####.com/test/videos/weibo_hist/2393541445/M_Gki9zkepZ...
d####.c####.l####.####.com/test/videos/weibo_hist/2393541445/M_Go2GeEZ9v...
d####.c####.l####.####.com/test/videos/weibo_hist/2393541445/M_GoFStCKsr...
d####.c####.l####.####.com/test/videos/weibo_hist/2393541445/M_GoIaIzoyc...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_Wqf010
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_duV457
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/05543767119d994b81e619d26ceca4260fdfcbbc2d172d2....0.tmp
/data/data/####/1004
/data/data/####/11ff983f0a0a
/data/data/####/147c0df765c87c570b8c47c5d5780cdfd3c346e4524aa03....0.tmp
/data/data/####/1acd00596a3b124bd4527ad9cbd0532ae40d4721ad9a4cb....0.tmp
/data/data/####/2258d03f6e753fef7c8947096a94ef43d7a3918105caadb....0.tmp
/data/data/####/2258d03f6e753fef7c8947096a94ef43d7a3918105caadb...d784.0
/data/data/####/27ad37cf2dbe5ad0d0b9b53fb97f56a4b0140b28fb58e3f....0.tmp
/data/data/####/2aee690b0453593cd439e4eb974819c199c1bbea13062fd....0.tmp
/data/data/####/2b35b03014b4747404f3ed3fd433d9215652edd43f3c250....0.tmp
/data/data/####/2b72d6d2064403f57fffd80016ee577631eca9afa15a5d7....0.tmp
/data/data/####/2bf71f7cd185b3e74075e4b735466c7a2749be66dca0a40....0.tmp
/data/data/####/2c3035f681e3ed97dc7ca8fbd8985000f60c870f56b7b0d....0.tmp
/data/data/####/2de963fdbdaa387bce291e54e0830bc04126430247cabb5....0.tmp
/data/data/####/3098d79a09eda176abcacc2ed427cad86dd2eb60398f59d....0.tmp
/data/data/####/32755c3e14f42d634a3ab67fd29aae4d7b19a10b00abf32....0.tmp
/data/data/####/33b95e5055b6919704c9d8f995bd1eb5c99d55f62d7a59b....0.tmp
/data/data/####/360c76a9b274e9788dee8b176c6f463601acc3b9c74ae3f....0.tmp
/data/data/####/3b1abdef8d370ee1f0d9d7851b6f1a73a292a7f1d37eaaa....0.tmp
/data/data/####/3d07c9b121ad1da37c1a27acfefc32f30714f83aabcb9dc....0.tmp
/data/data/####/423446be1ba1467bef755f279c95c6c039f670091c64c77....0.tmp
/data/data/####/4872927a091624030332ee6cf93e9fc9155f39338f0138d....0.tmp
/data/data/####/4b168232d8572381ffeb72c418afa6f99479613dfd4fbbe....0.tmp
/data/data/####/4dbecd03b01c6e38f8f3c79bd708085966e7a7ac0ddc43e....0.tmp
/data/data/####/4df299b8be88c52e3b315e15d47e3fdcfce24515e76b68e....0.tmp
/data/data/####/4f0c1bc7090418eaa052b00f2c88b0ce055da0672f8507f....0.tmp
/data/data/####/509d2cc1c8ea2cde315867bf0573e74f054fc14849b12bb....0.tmp
/data/data/####/5436d7cd2687a546cbe239230de27c811156922db7afc61....0.tmp
/data/data/####/5710a9c6d347f0118332054e44d9dbf66002e1657c298de....0.tmp
/data/data/####/5977aa2c19a25a70784b579c9b3889a3b6cbba82a8cc1a7....0.tmp
/data/data/####/5d6332996e62ce7ae5e468463c8b914b3e6c6afcb8e7423....0.tmp
/data/data/####/5e17f86369888a1f10021504dab50189a2478dc3b532d2a....0.tmp
/data/data/####/6789f1efef890f92b608c43f4ac25c46e49f8950ba82510....0.tmp
/data/data/####/6e628c054322abda378b1569210dce0c7f3a542cb510525....0.tmp
/data/data/####/722ffb814fc8a047b193f54d941d9cb9f47626b3f4e5cfc....0.tmp
/data/data/####/78dc5dbf62d8eca248452c119157bce7cc1ee2bbb595783....0.tmp
/data/data/####/790fb5605d264e0c9a0e5b7a2448d70853f56ca27b50d97....0.tmp
/data/data/####/812a924dd29149c2d9250bfc59290215e7b595c18cac5b8....0.tmp
/data/data/####/816c0ed6cae80279f8719de35c997d488c43c92f5cddeb7....0.tmp
/data/data/####/86f1b47f741df160f65d82a34400a59c5d82536d8f09895....0.tmp
/data/data/####/8921ac6d8a666f4a3b7b56441756a55d94378c3c19b73e0....0.tmp
/data/data/####/8960fcfcbadce6a49bfe2ffc1d152a737df3dcff4d59f77....0.tmp
/data/data/####/8bc915b6a919d2fce8f4af9593509777084d0bb52b0a216....0.tmp
/data/data/####/91540dfc9a2d037cab8de8b3ad6c5511f19bbb225ae1c2c....0.tmp
/data/data/####/9570d5dab78c3b68df56cdc4b281e06b729ddb18512cd4c....0.tmp
/data/data/####/95be6d6e5ab4bd26f2516adc957bb52da20da5c8c3ca233....0.tmp
/data/data/####/991f9eaf5c0a8ae0b0c9009bbac29e2323d06d09536e5ec....0.tmp
/data/data/####/9f869be245d5bb2455ba76aa8d5188b6d02a657feb6029c....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a08634acc0b95869365629d37bdf53511f0a9d0258c58be....0.tmp
/data/data/####/a0c956135a023c03c5f6b64bf5fd8cde43565b5bde4a813....0.tmp
/data/data/####/a9b5928690983c0ce15698e878795d9a28a9a886ee2a2f9....0.tmp
/data/data/####/a==7.5.4&&1.0.0_1552588675366_envelope.log
/data/data/####/ae12ddd45e9eb90970c22cc00b7d7635d052f711a7871d4....0.tmp
/data/data/####/b13a61308803ab12b8ece32a90bac26cfccc2dcea052c5e....0.tmp
/data/data/####/b15539c1e97061264de1695cb7ea7a770d39938d483517e....0.tmp
/data/data/####/b5c7d54025f98c65d24ae07359c96e826992fdb66f40a09....0.tmp
/data/data/####/ba3576308071df8948b759fcc8bb3a9a549e9038bfdf0a1....0.tmp
/data/data/####/bbb3cce762c622248c35fb2f25942d882319931e7d4fbdf....0.tmp
/data/data/####/bfc45d16ed2f9c351ae2482ecc03d76ea17fac4b2bdc999....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/c884af7b9180cb4e5a40ce0a648d1990a006373c1306f0c....0.tmp
/data/data/####/c8efd214816077b05a4b7652cb306c0a2ceb28490d98bb6....0.tmp
/data/data/####/cb79ea5b3768de37682f5915c055c6c8ec86d62a0145766...9cf7.0
/data/data/####/cf3fb0365684e4dadc367624a25acc2e2ec83c0a910ac16....0.tmp
/data/data/####/crashrecord.xml
/data/data/####/d17b8dfb3c43d74d382ab7a959e3ad83311aa6909e2c98e....0.tmp
/data/data/####/d17b8dfb3c43d74d382ab7a959e3ad83311aa6909e2c98e...1418.0
/data/data/####/d2366b9a62856bc01c4925302b10bbd95e4f826d22a5880...2064.0
/data/data/####/d38c4d1eaa6a98228153e74ae6376cf7b341e31642daf2a....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyNTg4Njc0Mzk4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyNTg4Njg5NDE3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyNTg4NzAxODI0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyNTg4NzE2NjU5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUyNTg4NzMzMjc5;
/data/data/####/dW1weF9zaGFyZV8xNTUyNTg4Njc2NTI1;
/data/data/####/dW1weF9zaGFyZV8xNTUyNTg4Njc2NTY4;
/data/data/####/dc7a2cc8060b39a980222be866c91c89806c90e75fc1bd5....0.tmp
/data/data/####/e4db918ef05643a4b7326691adcf662044c0fe42d0b849b....0.tmp
/data/data/####/e76f687df482001d914546028f468f2d6f9fb70044dfb35....0.tmp
/data/data/####/e92dc95687f080912bfc03f9b90b4dd512a715bb64ce46f....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fae74a638adc066497b1cd5f9e258b4964e08e758f54f12....0.tmp
/data/data/####/fb629e10c81dd5103b59f49ca8d31c9a492401a34da5274....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&1.0.0_1552588674452_envelope.log
/data/data/####/i==1.2.0&&1.0.0_1552588689399_envelope.log
/data/data/####/i==1.2.0&&1.0.0_1552588701846_envelope.log
/data/data/####/i==1.2.0&&1.0.0_1552588716683_envelope.log
/data/data/####/i==1.2.0&&1.0.0_1552588733307_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-1626942992.so
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_Wqf010
/data/data/####/tdata_Wqf010.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_duV457
/data/data/####/tdata_duV457.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/app.db
/data/media/####/com.bubble.witty.bin
/data/media/####/com.bubble.witty.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/sysid.dat
/data/media/####/tdata_Jga153
/data/media/####/tdata_Wqf010
/data/media/####/tdata_bca864
/data/media/####/tdata_duV457
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24608 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop
ls /
ls /sys/class/thermal
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.PushService 24608 300 0

Загружает динамические библиотеки:

Bugly
c++_shared
getuiext3
libjiagu-1626942992
mmkv

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней