Adware.Gexin.10289

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) scs.opensp####.cn:80
TCP(HTTP/1.1) rev.uar.h####.com:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) oss.newairc####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) hotfix####.aliy####.com:443
TCP(TLS/1.0) h5.newairc####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) l####.tbs.qq.com:443
TCP(TLS/1.0) schedul####.yo####.com:443
TCP(TLS/1.0) hk.wagbr####.non####.####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225
UDP 1####.168.110.1:137

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.man.aliy####.com
a####.u####.com
api.map.b####.com
api.s####.mob.com
c####.g####.ig####.com
c-h####.g####.com
c.d####.mob.com
d####.d####.mob.com
d####.opensp####.cn
h5.newairc####.com
hotfix####.aliy####.com
img.newairc####.com
l####.tbs.qq.com
loc.map.b####.com
m.d####.mob.com
oss.newairc####.com
pub-####.qin####.com
res####.a####.com
rev.uar.h####.com
s####.ml####.cc
scs.opensp####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
tj.youza####.com
www.go####.com
www.gst####.com
y####.al####.com

Запросы HTTP GET:

api.s####.mob.com/date
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
oss.newairc####.com/hsb/pic/201812/17/0e49912c-5d25-405f-9d76-a0c9a7bc43...
oss.newairc####.com/hsb/pic/201812/17/9b36f5ef-9e97-41d8-b3be-428b411eed...
oss.newairc####.com/hsb/pic/201812/18/d302f4ab-a667-422f-b37b-0e10e64740...
oss.newairc####.com/hsb/pic/201812/27/8271b9b2-87d8-423c-beb0-3c95a4bf14...
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_Wqf010
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_duV457
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c-h####.g####.com/api.php?format=####&t=####
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
rev.uar.h####.com/cfg/sdk
scs.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
scs.opensp####.cn/scs?cmd=####&logver=####&size=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1205749317
/data/data/####/-1312716470
/data/data/####/-1382126915
/data/data/####/-1382126916
/data/data/####/-1382126917
/data/data/####/-1382126920
/data/data/####/-1389566919
/data/data/####/-409803754
/data/data/####/-907257644
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/00f9008b9cfad87e3fd01423fd899b3a.0
/data/data/####/015f587368438b8cbf116f55ebcf0c0cabf1ac42879fd1c....0.tmp
/data/data/####/04999a96645bcbc1aee3cabd3dc54229d1c60113ff13bc5....0.tmp
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/12585f40acaa93283a156e9f10db8e1b015ffb8d06c0cb1....0.tmp
/data/data/####/1389023919
/data/data/####/1695857311
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/2016050192
/data/data/####/204722132
/data/data/####/22485bd1e106c48cbbb1d08ea1c0143362af6cf18f84f67....0.tmp
/data/data/####/337525857
/data/data/####/357505049
/data/data/####/386967948
/data/data/####/3bc90359750fc141e2486987321329e728839acb1c32cce....0.tmp
/data/data/####/49
/data/data/####/493988454
/data/data/####/4dbe33951bf85f75b500f1f140c4e9161a0ad8cabc7c12d....0.tmp
/data/data/####/57860e585369403d0bc04add9e62beefc87e15857bc7ce0....0.tmp
/data/data/####/5bd1dc4e7f6c04236d66bcb3d88c5dda9865da6017757e4....0.tmp
/data/data/####/6643278_article.js
/data/data/####/6a043ef76855c51cdba70628cfcc5cd8bfcb02ef4cd8d39....0.tmp
/data/data/####/710593431
/data/data/####/718e66c2727634a4e1da91cbdd1eb01c2129cca5e1267b8....0.tmp
/data/data/####/724395981
/data/data/####/8329f819e91e720c72c2471fe8747fa5bcd57130a6f8cce....0.tmp
/data/data/####/871566ad15b6adcfe2b527d4b9b3a3c37db829e03b4784b....0.tmp
/data/data/####/9b9006fb2e415697b4b10b7ece2e04ccbe5c978503f697b....0.tmp
/data/data/####/9fe1e6414e44dd48831d882756fa1dba.0
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/MultiDex.lock
/data/data/####/Q0VSVC5SU0EK.txt8f4
/data/data/####/QQ_3x.png
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/SG_INNER_DATA
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/WebViewSettings.xml
/data/data/####/a6c3ced2e93d06e61289eb28e7a8e15703127cc823f221a....0.tmp
/data/data/####/af494f1159ccd4fb282ec7a90188c5c52fc0608b5e37594....0.tmp
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/appcfgdata.xml
/data/data/####/apprtdata.xml
/data/data/####/article.js
/data/data/####/authStatus_com.founder.huashang;remote.xml
/data/data/####/b238dcd2d6348c1edc67ace5408284442435eac1b4b0a0d....0.tmp
/data/data/####/base.css
/data/data/####/c37b170d86f3ad5a8f6faeda890ae3438489ef6f964bc02....0.tmp
/data/data/####/c38c6c03f2b1d3a11d2f7a77e179145a63958c5914de112....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/columnId.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/com.youzan.mobile.AnalyticsPrefs.xml
/data/data/####/comment_user_head_icon.png
/data/data/####/core_info
/data/data/####/d17a83dd16366b019b949773f99b6394383fa8dc18b480b....0.tmp
/data/data/####/d1ba9eb4e748
/data/data/####/d416481e238771cfebce34f50561cf52e62a7e78c7c2027....0.tmp
/data/data/####/d68c1372d54ece64083a4450ce083ff5152a1045bc6456f....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_founder0-journal
/data/data/####/dc15c2eaf23369522b
/data/data/####/dc1a0f513e61e92887
/data/data/####/dc43132b0376596c31
/data/data/####/dc57e91e184aa93d59
/data/data/####/debug.conf
/data/data/####/download_upload
/data/data/####/e0efa522b3081a99680a85cbcce43d022f0e84b26376bc0....0.tmp
/data/data/####/edf8d0c3a3f812fe479e8bfec42a403e1ebd3eb77bfdb28....0.tmp
/data/data/####/events
/data/data/####/events-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f8f85fdbf96ca94f8db2451ed9ea9fa21489f570fc54e4e....0.tmp
/data/data/####/fc4e70c1ae4ab6c1b88a3709449c2c6997dfd5727816951....0.tmp
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/gx_sp.xml
/data/data/####/helpMsg.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_praise.png
/data/data/####/icon_praiseStar.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/iflytek_state_com.founder.huashang.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.min.js
/data/data/####/libcuid.so
/data/data/####/libjiagu-158701243.so
/data/data/####/libsgavmp_315532800000.zip.tmp.2292
/data/data/####/libsgavmpso-5.4.1001.so.tmp.2292
/data/data/####/libsgmain_315532800000.zip.tmp.2292
/data/data/####/libsgmainso-5.4.38.so.tmp.2292
/data/data/####/libsgsecuritybody_315532800000.zip.tmp.2292
/data/data/####/libsgsecuritybodyso-5.4.28.so.tmp.2292
/data/data/####/lock.lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/news_detail.html
/data/data/####/persistent_data.xml
/data/data/####/play.png
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/sgFile.lock
/data/data/####/shareTimeline_3x.png
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/sina_3x.png
/data/data/####/sp.lock
/data/data/####/sp_sophix.xml
/data/data/####/sp_sophix.xml.bak
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_Wqf010
/data/data/####/tdata_Wqf010.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_duV457
/data/data/####/tdata_duV457.jar
/data/data/####/top_time_0
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wx_3x.png
/data/media/####/.al
/data/media/####/.artc_lock
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.di (deleted)
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.iew
/data/media/####/.iew (deleted)
/data/media/####/.mps
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/1552682384755.db
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/app.db
/data/media/####/com.founder.huashang.bin
/data/media/####/com.founder.huashang.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/dd7893586a493dc3
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/hid.dat
/data/media/####/iflyworkdir_test
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_Jga153
/data/media/####/tdata_Wqf010
/data/media/####/tdata_bca864
/data/media/####/tdata_duV457
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/xbin/which su
<Package Folder>/files/dc15c2eaf23369522b
<Package Folder>/files/dc1a0f513e61e92887
<Package Folder>/files/dc43132b0376596c31
<Package Folder>/files/dc57e91e184aa93d59
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 25013 300 0
app_process /system/bin com.android.commands.pm.Pm list packages
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.build.version.release
getprop ro.product.cpu.abi
grep -E -v root|shell|system
mount
pm list packages
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 25013 300 0
top -d 0 -n 1

Загружает динамические библиотеки:

entryexpro
getuiext3
libjiagu-158701243
locSDK7a
msc
neh
sgavmpso-5.4
sgmainso-5.4
sgsecuritybodyso-5.4

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding

Использует повышенные привилегии.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней