Adware.Gexin.10788

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) s####.b####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) at.al####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443

Запросы DNS:

a####.b####.qq.com
ad####.m.ta####.com
ada####.m.ta####.com
aexcep####.b####.qq.com
and####.b####.qq.com
app.cng####.cn
at.al####.com
log.u####.com
nbsdk-b####.al####.com
plb####.u####.com
s####.b####.com
s####.u####.com
sdk.o####.p####.####.com
u####.u####.com
wb.110.ta####.com
wgo.mm####.com
y####.al####.com

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
hk.wagbr####.non####.####.com/saveWb.json
na61-####.wagbr####.ali####.####.com/api/update.do
s####.b####.com/appuapi/callapi?ActionID=####&Ver=####&Source=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0389eebbde4098e307b9cc24efb9946cc9dc3f3b885c277....0.tmp
/data/data/####/0389eebbde4098e307b9cc24efb9946cc9dc3f3b885c277...8e7d.0
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/0c56ed35c32aa7e30b8ed9641470d53982c9e599950b8d0....0.tmp
/data/data/####/0cecd60100b98cd5aa371a821c71c278fe41a27e2608c41....0.tmp
/data/data/####/0e31b79ddfd38a62d0d20aaf7a45a09d7e4079897f83beb....0.tmp
/data/data/####/0e86605c4b323167c60abdb67a7ab6b30c3f0a7e7c30bba....0.tmp
/data/data/####/11b753e3cd015db744a2917d9707e5620d41aa25b384153....0.tmp
/data/data/####/135a920b7a91504b.lock
/data/data/####/1553293098480.log
/data/data/####/16587912a49def98081cd3b1bcd47deccb6482c00e7763d....0.tmp
/data/data/####/21364da483d9d1c82232f67e89e5246a320a15641bb6c14....0.tmp
/data/data/####/2324b665056767285305d4bbf81e8192a25a18e13b0b062....0.tmp
/data/data/####/2ef5178b5ae5dfb921d45b73d9bc313d044f00c352c8e20....0.tmp
/data/data/####/31762482a5fcd001f44c7f6d3b0c54b95bc211a0ecf4553....0.tmp
/data/data/####/344b0ebebf505ddee7196fdda67cba6c
/data/data/####/3f689400998dc431f43e751cc76212638efb008f50bb79a...071b.0
/data/data/####/468bcc96f52876631ba906c4197ddd0c3120e8cd52cfe67....0.tmp
/data/data/####/4ea76bd8c0515c2c78b5c2db6b6323c6569a572153bdb7b....0.tmp
/data/data/####/5062b1d8069cf34c4b5e083a7f4b53ad301ed52257160d1....0.tmp
/data/data/####/510aef8635abcfda7ea9c16b009a50141b1e7e575320d6d....0.tmp
/data/data/####/5526e2b1293417798d0c16a2b4500f0c6d7a67ca3d73229....0.tmp
/data/data/####/555bc45337da3aa1dd397835b4eb3fb66fd16987951459a....0.tmp
/data/data/####/5793cc1560e3cf00e47561cef9feedf1df8554d5d8fc9c0....0.tmp
/data/data/####/5c8d12d01017366d970a3b8832208886d100481f47997e0....0.tmp
/data/data/####/70346cf8bc570039b6e554a844a36d759487eed7542c27d....0.tmp
/data/data/####/725a9ca2b85bc222.lock
/data/data/####/7a75b009db7da8983488dddc57e2b04f4fcc08e0d5ffdcd....0.tmp
/data/data/####/7e0879d391a9220fc1bb263f381b3cd52ebca7da28b313b....0.tmp
/data/data/####/8211c4e5591a278a9bd87943a11c241ee5a93c82e6e3c6a....0.tmp
/data/data/####/838d178c5ec2c07552eeff30647e4585b49b762bcd35d31....0.tmp
/data/data/####/8c67e5bbcd4217e9dac5478a805840fac67048f133f3077....0.tmp
/data/data/####/8c67e5bbcd4217e9dac5478a805840fac67048f133f3077...a3e2.0
/data/data/####/8e041dee266dd08f1c6da60e86aff90e5bb57e069a1591e....0.tmp
/data/data/####/8e4b60f992f6e8df6e80d103783d0847abd18b8bfe349e7....0.tmp
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/9086b32e4cb90d167401a84622becf530c244455e79cc6a....0.tmp
/data/data/####/931398e0bca7799854183dcf1cb72bdb66dcdb9c2d708bf....0.tmp
/data/data/####/931398e0bca7799854183dcf1cb72bdb66dcdb9c2d708bf...f83f.0
/data/data/####/96bb0416bab9579e77917df14cc7b3f722b042e029f5e1d....0.tmp
/data/data/####/971681faf57eeb4e62bad6afa8a468767fac9faabffd4ed....0.tmp
/data/data/####/9a8c5fa24aaf08f8161bf048adb921cf8183e1b65bccb67....0.tmp
/data/data/####/9e0f1e539fa37af22a10a69a80152e6331396dd2c3a3f27....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/BMWEEXOPEN_NATIVE_SP.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/UTCommon.xml
/data/data/####/a1f6b3e2aa6139d3c4b50979013f698f2540799215b2e0c....0.tmp
/data/data/####/a50ded306ec0286b5ea0141fe07ec8feab7a57ec866ac0b....0.tmp
/data/data/####/a5bb75845eef9f28342450aa573ecc5530878b897f5416c....0.tmp
/data/data/####/a8a51327be7230eb23fd44988f17ca1c121a2019c291c62....0.tmp
/data/data/####/ab914f43b8296c2c.lock
/data/data/####/ac5f3fdec8ec508461be5193186d22c78e36fe423f00b70....0.tmp
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/b0a7eade8ad223fae503a561ea0da2c722c998c6e6ca479....0.tmp
/data/data/####/b0bd9ff93cebf28392b22d3207cca5a46573a1879a19e40....0.tmp
/data/data/####/b68755eba35727825e6e0098400a67f5eca8dfa016eed0d....0.tmp
/data/data/####/bb7eda74d36de67e1b70dfcc7b3826a5893ed1abafbf88e....0.tmp
/data/data/####/bb7eda74d36de67e1b70dfcc7b3826a5893ed1abafbf88e...89b3.0
/data/data/####/bdp_pref.xml
/data/data/####/bugly_db_legu
/data/data/####/bugly_db_legu-journal
/data/data/####/c0989d9085e71bec0b23ff989769894c2597232825b180d...ce89.0
/data/data/####/c22f4f7480bc9fcfacd6af42a206baa49dbe6919e64e4e1....0.tmp
/data/data/####/c48d6112b05c3c2fb8a5765f530b7bb873525655cbaa953....0.tmp
/data/data/####/c5b12a9f92093fd3fc18ef092c1a181d6b09a9f3dc474ec....0.tmp
/data/data/####/cn.cnganen.app_preferences.xml
/data/data/####/d4bd7210a7d8c2ebe2bec911e71db7be4ddabafb793eabf....0.tmp
/data/data/####/d4e73f44752c4497252c912922c5ca777f26c2a7bc120f3....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzMjkzMDk4OTgx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzMjkzMTE0NDky;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzMjkzMTIyOTMw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzMjkzMTMxMzMz;
/data/data/####/dbbca34be688f0c3bb4029bac02e541ecfda88e717c4733....0.tmp
/data/data/####/eb3af17f696898302ef1520b71c9b1bb93bf6c638bc5542....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f540b54ee55c58e98a2126d6de64da9f49794590853a067...da42.0
/data/data/####/f91d9d78ce74c87d1c3fdd4fd844c183d6e8d12b0b8c14a....0.tmp
/data/data/####/faa6b748d72eb55f3cbd1f155801d226d8f6cf086f99f77....0.tmp
/data/data/####/fc76f2580055e397b94aba14b030eef923ed28957bbe816....0.tmp
/data/data/####/fcfa40ad2f4bdd76f92c0658db64f8d193f97a4c4b1067a....0.tmp
/data/data/####/getui_sp.xml
/data/data/####/i==1.2.0&&1.4_1553293098990_envelope.log
/data/data/####/i==1.2.0&&1.4_1553293114536_envelope.log
/data/data/####/i==1.2.0&&1.4_1553293131946_envelope.log
/data/data/####/imei.xml
/data/data/####/info.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jsserver_crash_info.log
/data/data/####/libnfix.so
/data/data/####/libsgmain_1534714278000.dex
/data/data/####/libsgmainso-5.1.81.so.tmp
/data/data/####/libshella-2.9.0.1.so
/data/data/####/libufix.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/onesdk_device.xml
/data/data/####/security_info
/data/data/####/sp.lock
/data/data/####/timestamp
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/_ku.png
/data/media/####/ad_n1.png
/data/media/####/ad_qiandao@3x.png
/data/media/####/benyueshouyi.png
/data/media/####/bindAlipay.js
/data/media/####/browser.js
/data/media/####/bundle.zip
/data/media/####/dd7893586a493dc3
/data/media/####/de1.png
/data/media/####/de2.png
/data/media/####/default_user_logo.jpg
/data/media/####/demo.jpg
/data/media/####/douyin01.gif
/data/media/####/douyin02.gif
/data/media/####/douyin03.png
/data/media/####/douyin04.gif
/data/media/####/douyin05.png
/data/media/####/douyin06.png
/data/media/####/du-youhui.png
/data/media/####/duanwei-icon.png
/data/media/####/duishou-icon.png
/data/media/####/font_1469606063_76593.ttf
/data/media/####/font_1469606522_9417143.woff
/data/media/####/font_zn5b3jswpofuhaor.ttf
/data/media/####/forgetPass.js
/data/media/####/gongxian.js
/data/media/####/guanyu.js
/data/media/####/haohuo_header_bg2.png
/data/media/####/haohuo_header_bg3.png
/data/media/####/help-icon-right3@2x.png
/data/media/####/hid.dat
/data/media/####/home-top-logo.png
/data/media/####/home-top-search.png
/data/media/####/home_header_bg.png
/data/media/####/home_header_image_jctj.png
/data/media/####/icon-1024.png
/data/media/####/icon-gy.png
/data/media/####/icon.png
/data/media/####/icon_20.png
/data/media/####/icon_9_9.png
/data/media/####/icon_ic_tb.png
/data/media/####/icon_ic_tm.png
/data/media/####/icon_menu_chaoshi.png
/data/media/####/icon_menu_chongzhi.png
/data/media/####/icon_menu_jiaju.png
/data/media/####/icon_menu_meiyi.png
/data/media/####/icon_menu_meizhuang.png
/data/media/####/icon_menu_muying.png
/data/media/####/icon_menu_nanzhuang.png
/data/media/####/icon_menu_nvzhuang.png
/data/media/####/icon_menu_qiche.png
/data/media/####/icon_menu_qita.png
/data/media/####/icon_menu_shengxian.png
/data/media/####/icon_menu_shuma.png
/data/media/####/icon_menu_xiebao.png
/data/media/####/icon_menu_yundong.png
/data/media/####/icon_muying.png
/data/media/####/icon_my_alipay.png
/data/media/####/icon_my_che.png
/data/media/####/icon_my_dd.png
/data/media/####/icon_my_gonggao.png
/data/media/####/icon_my_gonggao@2x.png
/data/media/####/icon_my_gonggao@3x.png
/data/media/####/icon_my_guanyu.png
/data/media/####/icon_my_help.png
/data/media/####/icon_my_help@2x.png
/data/media/####/icon_my_help@3x.png
/data/media/####/icon_my_news.png
/data/media/####/icon_my_shengqian.png
/data/media/####/icon_my_shoucang.png
/data/media/####/icon_my_yaoqing.png
/data/media/####/icon_my_ydd.png
/data/media/####/icon_my_yijian.png
/data/media/####/icon_my_zhengqian.png
/data/media/####/icon_nav_chong.png
/data/media/####/icon_nav_jingp.png
/data/media/####/icon_nav_ju.png
/data/media/####/icon_nav_more.png
/data/media/####/icon_nav_muy.png
/data/media/####/icon_nav_nvz.png
/data/media/####/icon_nav_pinpai.png
/data/media/####/icon_nav_qiang.png
/data/media/####/icon_nav_reqiang.png
/data/media/####/icon_nav_shuma.png
/data/media/####/icon_nvzhuang.png
/data/media/####/icon_search.png
/data/media/####/icon_tab_caifu.png
/data/media/####/icon_tab_caifu_b.png
/data/media/####/icon_tab_faxian@3x.png
/data/media/####/icon_tab_faxian_b.png
/data/media/####/icon_tab_hb@3x.png
/data/media/####/icon_tab_hb_b.png
/data/media/####/icon_tab_my@3x.png
/data/media/####/icon_tab_my_b.png
/data/media/####/icon_tab_search@3x.png
/data/media/####/icon_tab_search_b.png
/data/media/####/icon_tab_shouyi.png
/data/media/####/icon_tab_shouyi_b.png
/data/media/####/icon_tab_youxuan.png
/data/media/####/icon_tab_youxuan_b.png
/data/media/####/icon_top_search.png
/data/media/####/iconfont-eros.ttf
/data/media/####/iconfont-ganen.ttf
/data/media/####/iconfont.ttf
/data/media/####/index.js
/data/media/####/invite.js
/data/media/####/jiangli.png
/data/media/####/jingli.gif
/data/media/####/jingzhishenghuo-nv.png
/data/media/####/juhuasuan.png
/data/media/####/line-shouyi.png
/data/media/####/login.js
/data/media/####/m-close.png
/data/media/####/m-true.png
/data/media/####/md5.json
/data/media/####/my_header_bg.png
/data/media/####/no-coupon.png
/data/media/####/order.js
/data/media/####/play-btn.png
/data/media/####/putForward.js
/data/media/####/qr.png
/data/media/####/quan_bg.png
/data/media/####/register.js
/data/media/####/right.png
/data/media/####/rm-title-img.png
/data/media/####/setting.js
/data/media/####/share_title.png
/data/media/####/shouye-top-bg.png
/data/media/####/sysid.dat
/data/media/####/t-order.png
/data/media/####/taoqianggou.png
/data/media/####/tborder.js
/data/media/####/team-order-hezuo.png
/data/media/####/team-order-hezuo2.png
/data/media/####/team-order-icon.png
/data/media/####/team-order-icon2.png
/data/media/####/team-order-icon3.png
/data/media/####/team.js
/data/media/####/teamReward.js
/data/media/####/team_menu_icon.png
/data/media/####/tip-denglu.gif
/data/media/####/tip-denglu.png
/data/media/####/tip-denglu2.png
/data/media/####/tuichu.png
/data/media/####/wan_succ_red_bg.png
/data/media/####/webview.js
/data/media/####/yaoqingma-icon.png
/data/media/####/yinyong.png
/data/media/####/yl-shuoming.png
/data/media/####/youhuidiejia.png
/data/media/####/youxuan_title.png
/data/media/####/yx-banner01.png
/data/media/####/zhaomuling.png

Другие:

Запускает следующие shell-скрипты:

/data/app-lib/<Package>-1/libweexjsb.so 60 0
/data/app-lib/<Package>-1/libweexjsb.so 61 0
/data/app-lib/<Package>-1/libweexjsb.so 62 0
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.1.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
Patcher
getuiext2
libnfix
libshella-2.9.0.1
libufix
nfix
sgmainso-5.1
ufix
ut_c_api
weexjsc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DESede-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней