Adware.Gexin.10708

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) welian-####.c####.sensors####.cn:8006
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) i####.we####.com:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP(TLS/1.0) a####.te####.cn:443
TCP(TLS/1.0) i####.we####.com:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) gat####.we####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224
TCP l####.net####.im:8080
TCP 1####.92.114.181:8628

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.te####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
gat####.we####.com
h####.b####.com
i####.we####.com
l####.net####.im
lbs.net####.im
loc.map.b####.com
nav.cn.ron####.com
nim.qi####.com
pub-####.qin####.com
qy-swa####.qi####.com
s####.cn.ron####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
welian-####.c####.sensors####.cn
wfd.net####.im

Запросы HTTP GET:

i####.we####.com/bvlp1545905262652_250_366_56.png@300w__1l_90Q_2o_1wh.jpg
i####.we####.com/fqpt1553139544350_750_390_16.jpg@600w__1l_90Q_2o_1wh.jpg
i####.we####.com/gbjd1553160037692_750_160_88.png@600x0-5rc_1l_90Q_2o_1w...
i####.we####.com/mxpu1553159838283_750_160_62.png@600x0-5rc_1l_90Q_2o_1w...
i####.we####.com/ngue1545285171173_420_176_31.png@300w__1l_90Q_2o_1wh.jpg
i####.we####.com/ryts1546409272534_750_390_192.png@600w__1l_90Q_2o_1wh.jpg
i####.we####.com/xvet1550461899035_750_390_202.png@600w__1l_90Q_2o_1wh.jpg
i####.we####.com/zaky1545285223762_420_176_30.png@300w__1l_90Q_2o_1wh.jpg
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_FhD658
t####.c####.q####.####.com/tdata_mpY630
t####.c####.q####.####.com/tdata_ngv385
t####.c####.q####.####.com/tdata_vHH584
ti####.c####.l####.####.com/config/hz-hzv3.conf
welian-####.c####.sensors####.cn:8006/config/Android.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
welian-####.c####.sensors####.cn:8006/sa?project=####&token=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/00d33b6c114d
/data/data/####/00defdfa48adc18f3c0b9ec14ebb75fb4b8c579fa78e3e9....0.tmp
/data/data/####/024a350bed33acf801215f78d42b695482f17f01395b06b....0.tmp
/data/data/####/02d06926bb44deb1d44b0154b24b7c03c6874cb9dfeda7b....0.tmp
/data/data/####/05ff5a37f4835e0ffd389b49c4530741a393b4bfc44460b....0.tmp
/data/data/####/1004
/data/data/####/168ff43e6c1c876e06f09a92959e685c2821e604dc87b12....0.tmp
/data/data/####/261B63E5181F3AA6F6F2FAC71BD2D541
/data/data/####/2d4e52fa72dae7e56c7ff561d0ca812813fb362a7992395....0.tmp
/data/data/####/33d9a921cf87903be2c8747f9cf3acbed6280ff0520795e....0.tmp
/data/data/####/3fd93a8a53136c3c4c3391fde8edad96dfb247d75a708c0....0.tmp
/data/data/####/40a787429178afc1521908f806583c9e97fbbcb876f3490....0.tmp
/data/data/####/415c28fbf17aeacc1c121f6edef986abcac58ca1350a569....0.tmp
/data/data/####/426eaeaed8f702b138b7c892f993d8ace6ce1670d86537a....0.tmp
/data/data/####/4bbc7ba24009f9590291e0e98ff8354e05973206bf14344....0.tmp
/data/data/####/508fc64c3528d05abaca484a4be5ef0a4b2ceeae3dc51b5....0.tmp
/data/data/####/73466995953ff6979fd50719e7b2dbf178f3ba18696c837....0.tmp
/data/data/####/7c6c25c40fca8221667d23dacebdcd2e7a5eaf407a34a94....0.tmp
/data/data/####/7d5e3e1e5e2c9a266aeab8bae0db620c6eee5b8caab10fa....0.tmp
/data/data/####/8417BC437EE8B889ED99096A5870B769
/data/data/####/8645a6aff042733ec0cb9c472dd75fa9edec02e1c3d351a....0.tmp
/data/data/####/95984c0b244d8ee7d80ba80d4c943670f2e66dda5ad6c0c....0.tmp
/data/data/####/COUNTLY_STORE.xml
/data/data/####/CobubRazor_SharedPref.xml
/data/data/####/FwLog.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/NIMSDK_Config_283097b66d9e0ce7adc7ec410ca663a0_...41.xml
/data/data/####/RongPush.xml
/data/data/####/RongPushAppConfig.xml
/data/data/####/Statistics.xml
/data/data/####/TESTIN_AB.xml
/data/data/####/TESTIN_AB.xml.bak
/data/data/####/TESTIN_AB_EXP.xml
/data/data/####/Unicorn.283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1553214680308
/data/data/####/a56f0870ef3200fc6a9ec3ce857bc255138fddcbc9317c1....0.tmp
/data/data/####/ae398e086ccd9a6f10b31977aade737619ef26e735a11ef....0.tmp
/data/data/####/authStatus_com.csm.welian.xml
/data/data/####/authStatus_com.csm.welian;remote.xml
/data/data/####/b6d49448af28f10c1943e44f4bb409134c2d2b98f25e61d....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cdb-journal
/data/data/####/citybdcity
/data/data/####/citybdcity-journal
/data/data/####/citycountry.db
/data/data/####/citycountry.db-journal
/data/data/####/com.csm.welian.abTestin.db
/data/data/####/com.csm.welian.abTestin.db-journal
/data/data/####/com.csm.welian_preferences.xml
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...leted)
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/crashrecord.xml
/data/data/####/d35f2091c45d34aa5adbf1e620ee8054ceb2b4c2718afdd....0.tmp
/data/data/####/e6d0cb3629f7bd5ddff6dfc9e6cd82c60fd3e2b5ada0c14....0.tmp
/data/data/####/f89e2b6e522ea7b705ea95d76fc162ac18fc5402b7270f9....0.tmp
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/locale.config.xml
/data/data/####/mix.dex
/data/data/####/mobclick_agent_cached_com.csm.welian119
/data/data/####/msg.db-journal
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/newwelian.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qiyu_save_283097b66d9e0ce7adc7ec410ca663a0.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/sensorsdata.xml (deleted)
/data/data/####/tdata_FhD658
/data/data/####/tdata_FhD658.jar
/data/data/####/tdata_mpY630
/data/data/####/tdata_mpY630.jar
/data/data/####/tdata_ngv385
/data/data/####/tdata_ngv385.jar
/data/data/####/tdata_vHH584
/data/data/####/tdata_vHH584.jar
/data/data/####/testin.ab.allocation.TESTIN_abc74b26d-fc64-4be2...1a.xml
/data/data/####/testin.ab.experiment.TESTIN_abc74b26d-fc64-4be2...1a.xml
/data/data/####/testin.ab.visualTESTIN_abc74b26d-fc64-4be2-93a8...1a.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/unicorn#cheese#
/data/data/####/visualeditor.changes.xml
/data/data/####/welianRoom.db-journal
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/0149C896DA47D915185439068DF4A6A4
/data/media/####/03798ABA62A32FBA7F843C1401C15639
/data/media/####/03D3AB186A1B107D4F65EF9D8B13DB84
/data/media/####/15B27E0C893C2D06593CCE8955A2F678
/data/media/####/280403F74BBF5F071B9A76BFEA2C99D9
/data/media/####/3B696D2E684B408FF3EEF65D303CD937
/data/media/####/487FEA16FAAE74AEAE5CC7C51CC4164B
/data/media/####/51AE628650A35145D015D297589EA23D
/data/media/####/5F4E430AED06F2E00D4A4A4EC5D8E15A
/data/media/####/635C0A97FEFDE8238D6758DF285C21A0
/data/media/####/6A164B7994FD4C5E5F29C517FF2F393D
/data/media/####/7D1BE2E79C66C00FD4A0032990303361
/data/media/####/813F58C4E176FCA56D7CC0DCB930504E
/data/media/####/85A5372F63EBF1CE1CBD6D02277803FD
/data/media/####/85C8397FF39C074060824AEEB5741519
/data/media/####/89EFE53D1ED9F106FF2E50919FD1364D
/data/media/####/91831C7227C4A94DAAE7F632D46E5784
/data/media/####/9D75056153A5901E47DB059670ED0A3A
/data/media/####/ABC026ACCEED1DBF37E0E49AA34A09F9
/data/media/####/B3453E9E1CDE9012430C5B1ADD5E234D
/data/media/####/B3CD9761E7EC63E195635C439EC9CAFA
/data/media/####/B5F43B066B989DC1BC6770CFE1ADBD80
/data/media/####/B89DD4F926FE3F8A777E0807BDCC70D8
/data/media/####/B8ABE45252C5C52D4A05523CAD9D3227
/data/media/####/C477F29ECABE09F1F349F6C930B4739A
/data/media/####/CSM_WELIAN_CI_ANDOROID_ID
/data/media/####/D1C32EA35FB8D27AFEC9C5D8B1F63C1D
/data/media/####/D67AA344F7C4E7994145BA93ECD6E53D
/data/media/####/D859053ECA25157D327F501994425F81
/data/media/####/E01C007B20C19726AABB8040A8B026AB
/data/media/####/EB44D2CAD6F9E1EA140D4FD229165EAE
/data/media/####/EC3803264FFDAC3DD0EAF61480015A95
/data/media/####/F67AED055BFF7844D52BCE270EECDEF7
/data/media/####/app.db
/data/media/####/cc6348ff60f0341e651f5dd73e118ebe_0_5.9.1
/data/media/####/com.csm.welian.bin
/data/media/####/com.csm.welian.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/record.log
/data/media/####/tdata_FhD658
/data/media/####/tdata_mpY630
/data/media/####/tdata_ngv385
/data/media/####/tdata_vHH584
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.PushService 24374 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
Bugly
RongIMLib
crash_analysis
getuiext2
libnfix
libshella-2.9.1.2
libufix
locSDK7b
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней