Adware.Gexin.10363

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
TCP(HTTP/1.1) pc.suishe####.net:80
TCP(HTTP/1.1) log####.suishe####.cn:80
TCP(HTTP/1.1) i####.g####.com.####.net:80
TCP(HTTP/1.1) api.f####.so:80
TCP(HTTP/1.1) oth.str.mdt.####.com:8080
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v0-clie####.r####.cn:80
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) w####.r####.cn:80
TCP(HTTP/1.1) client####.suishe####.cn:80
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) cea7####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) marke####.et####.cn:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) 65a4####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) ap####.g####.com:80
TCP(HTTP/1.1) clien####.r####.cn.####.com:80
TCP(TLS/1.0) 65a4####.cdn.uc####.####.cn:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) hy.yix####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) i####.g####.com.####.net:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) hm.b####.com:443

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
amap####.cn-hang####.oss####.####.com
ap####.g####.com
api.f####.so
b####.g####.com
c####.g####.com
c####.g####.com
c####.mm####.com
c.c####.com
cdn-pan####.suishe####.cn
clien####.r####.cn
client####.suishe####.cn
gs.g####.com
hm.b####.com
hy.yix####.com
i####.g####.com
imgc####.qq.com
l####.cc
log####.suishe####.cn
marke####.et####.cn
mi.g####.qq.com
mt####.go####.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
p####.ugd####.com
pc.suishe####.net
q####.dd####.com
r####.wx.qq.com
res####.a####.com
s####.e.qq.com
s19.c####.com
st####.et####.cn
v0-clie####.r####.cn
v2-st####.et####.cn
w####.r####.cn
z1.c####.com
z9.c####.com
zhwn####.et####.cn

Запросы HTTP GET:

65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/0e078462a6e87524387dbe...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/4b5f4b36207e9d8323d696...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/7b7eb5a05427b3e81520a1...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/b15e98fcf2cfc3e912111d...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/b2977477f24109a57c2561...
65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/b5ab45483f7dd83dc34c2c...
65a4####.cdn.uc####.####.cn/imgs/upload/1513159898.4923.png
65a4####.cdn.uc####.####.cn/imgs/upload/1522834275.6692.png
65a4####.cdn.uc####.####.cn/imgs/upload/1528257364.5136.png
65a4####.cdn.uc####.####.cn/imgs/upload/1550565968.9228.gif
65a4####.cdn.uc####.####.cn/imgs/upload/1552315206.5441.jpg
65a4####.cdn.uc####.####.cn/imgs/upload/1552315261.6187.jpg
cea7####.cdn.uc####.####.cn/dmp-pandora/api/trace/list?city_key=####&app...
clien####.r####.cn.####.com/Ecalender/api/city?city_key=####&foreign=###...
clien####.r####.cn.####.com/lizhi/api/life/day_pics?local_svc_version=##...
clien####.r####.cn.####.com/lizhi/api/plistenV2?city_key=####&app_ts=###...
clien####.r####.cn.####.com/tdata_yAL507
i####.g####.com.####.net/newsapp_bt/0/8147652988/641
i####.g####.com.####.net/newsapp_bt/0/8147661060/641
i####.g####.com.####.net/newsapp_bt/0/8147665286/641
i####.g####.com.####.net/newsapp_bt/0/8173398096/641
i####.g####.com.####.net/newsapp_bt/0/8173398561/641
i####.g####.com.####.net/newsapp_bt/0/8173399630/641
i####.g####.com.####.net/newsapp_bt/0/8173460541/641
i####.g####.com.####.net/newsapp_bt/0/8173460542/641
i####.g####.com.####.net/newsapp_bt/0/8173460544/641
l####.cc/i/sdk/is_gal?imei_md5=####&os=####&p_chklst_version=####&retry_...
marke####.et####.cn/api/ckver?city_key=####&app_ts=####&ver_code=####&de...
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
pc.suishe####.net/peacock/api/ads?&appid=####&publisher=####&dexid=####&...
pc.suishe####.net/peacock/api/adspool?&appid=####&publisher=####&dex=###...
pc.suishe####.net/peacock/api/gate?&pkg=####&appid=####&dex=####&channel...
pc.suishe####.net/peacock/api/zhwnl/v3/awake?city_key=####&app_ts=####&v...
q####.a####.com/media/180817/180817174139931.png
q####.a####.com/media/180817/180817174148357.png
q####.a####.com/media/180817/180817174200502.png
q####.a####.com/media/180817/180817174511370.png
q####.a####.com/media/180817/180817174524905.png
q####.a####.com/media/180817/180817174547665.png
q####.a####.com/media/180817/180817174607455.png
q####.a####.com/media/180817/180817174614741.png
s####.tc.qq.com/gdt/0/DAAcqvyAUAALQABjBciet0CNA6vPWb.jpg/0?ck=####
v0-clie####.r####.cn/lizhi/api/zhwnl/v1/settings/ab?city_key=####&app_ts...
v0-clie####.r####.cn/lizhi/api/zhwnl/v1/settings/innerPush?city_key=####...
v0-clie####.r####.cn/lizhi/api/zhwnl/v3.4/daily?&city_key=####&device=##...
v0-clie####.r####.cn/lizhi/api/zhwnl/v3/headline?&city_key=####&c_pv=###...
w####.r####.cn/wlhx/api/radios/title/?app_sign=####&local_svc_version=##...

Запросы HTTP POST:

a####.u####.com/app_logs
ap####.g####.com/uploadIdBinding
api.f####.so/enhancement/api/v1/ads
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
client####.suishe####.cn/ssy-dmp/api/app/feedback
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/bindInfo
gs.g####.com/geshu/sdkStatistics/uploadBI
l####.cc/i/sdk/install
log####.suishe####.cn/collect/ce/log
log####.suishe####.cn/collect/event/log
marke####.et####.cn/api/client
oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
oth.str.mdt.####.com:8080/analytics/upload
oth.str.mdt.####.com:8080/analytics/upload?sid=####
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1933628558-2050091419
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/20605044061608322851
/data/data/####/ApplicationCache.db-journal
/data/data/####/Beacon_sig_1.lock
/data/data/####/DENGTA_META.xml
/data/data/####/DownloadMarket.db-journal
/data/data/####/ECalendarPreferences.xml
/data/data/####/Evoke.db.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/GuidePreferences.xml
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MyPreferencesJustAdUpdate.xml
/data/data/####/PreSettings-journal
/data/data/####/SuishenAd_prf.xml
/data/data/####/SuishenExitPageSDK_v90.apk
/data/data/####/Umeng.xml
/data/data/####/Update.db.xml
/data/data/####/beacon_db-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/daemon
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/eCalendar.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gin.db-journal
/data/data/####/gtc.db-journal
/data/data/####/history_cache.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/index
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu-302535958.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/mySP.xml
/data/data/####/pref.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/serverData.db-journal
/data/data/####/suishen_ad.db-journal
/data/data/####/suishen_ad_pramas.xml
/data/data/####/tdata_yAL507-1985740901.tmp
/data/data/####/tdata_yAL507.jar
/data/data/####/tempfile
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/._etouch_ecalendar.db
/data/media/####/.lm_device_id
/data/media/####/1513159898.4923.png
/data/media/####/1522834275.6692.png
/data/media/####/165f65ece114d73f7887edd877ef9173_temp
/data/media/####/291142bffd51f0363c33ad27d6627502_temp
/data/media/####/2b67844399c2254db87f9576b195dadd_temp
/data/media/####/355b7c49565ff3deb1ba56ff86b1040d_temp
/data/media/####/47bde09d077090c4390c8e94579c6ca9_temp
/data/media/####/5ed66d879b0f3c15e72d9814375fd173_temp
/data/media/####/608a558c7d979823ad6a70326b0af9b1_temp
/data/media/####/854676deb9e7423ab669e255e7c121e0_temp
/data/media/####/8835ff85d7f48d4dfab21aae90522caf_temp
/data/media/####/8c46398e3106faac9789924d6a4ed2aa_temp
/data/media/####/9f6389d4f1bc729ec9df1d58d2e4adc4_temp
/data/media/####/9fcf3c58d1cdcb5760d520db350d7b18_temp
/data/media/####/ECSettingsV2.db-journal
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/b8e45cd65f16200f800582817b5d92c2_temp
/data/media/####/b8eb7e4c87bacf2e22a10ffe05c60f52_temp
/data/media/####/be296db1221b36d71214cf6d04fb7f3e_temp
/data/media/####/blank.png
/data/media/####/btn_nav_bg.9.png
/data/media/####/btn_nav_sel.9.png
/data/media/####/c8705c8d0c3408ddd5c84943ef4b6463_temp
/data/media/####/cn.etouch.ecalendar.life_.db
/data/media/####/d6a4ce7d5e6a6294d85b2097b973341f_temp
/data/media/####/ddf9d049a3f7a7e29ea51ddbf9303745_temp
/data/media/####/dialog_details_bg.9.png
/data/media/####/dialog_dismiss.png
/data/media/####/dialog_dismiss_sel.png
/data/media/####/download_btn_normal.9.png
/data/media/####/e6e2e7e07fa5644a43bfe412d7e7d515_temp
/data/media/####/e810e405ae515bf78b7e8f393db8a0ab
/data/media/####/e810e405ae515bf78b7e8f393db8a0ab_temp
/data/media/####/etouch_ecalendar.db
/data/media/####/etouch_ecalendar.db-journal
/data/media/####/f04e2d847a7d2b5aec3420e1f66f480f_temp
/data/media/####/f6d66e2fcdd0af62a926e3ec81bc75e5_temp
/data/media/####/f9fdbfb89ffcb1ad5fd5284ac8a36d9d_temp
/data/media/####/fes_type_sel.9.png
/data/media/####/grid_bg.9.png
/data/media/####/grid_sel.9.png
/data/media/####/ic_btn_down.png
/data/media/####/ic_default.png
/data/media/####/info
/data/media/####/list_bg_sel.png
/data/media/####/meta.dat
/data/media/####/tdata_yAL507
/data/media/####/top_btn_normal.9.png
/data/media/####/top_btn_selected.9.png
/data/media/####/update_btn_normal.9.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
chmod 755 <Package Folder>/.jiagu/libjiagu-302535958.so
getprop ro.build.fingerprint
mars_d -p <Package> -s com.igexin.sdk.PushService -p1r 44 -p1w 45 -p2r 46 -p2w 47

Загружает динамические библиотеки:

EcalendarLib
daemon_api20
libjiagu-302535958
pl_droidsonroids_gif

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней