Adware.Gexin.10864

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
TCP(HTTP/1.1) i####.g####.com.####.net:80
TCP(HTTP/1.1) tinyali####.c####.l####.####.com:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) qos.l####.360.cn:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) s####.s.360.cn:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) enhance####.r####.cn:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) sdk.l####.360.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(HTTP/1.1) s####.l####.360.####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) oth.up####.mdt.####.com:8080
TCP(HTTP/1.1) oth.str.mdt.####.com:8080
TCP(TLS/1.0) 5bb1####.cdn.uc####.####.cn:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) dt.net####.im:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) publish####.b####.com.####.com:443
TCP(TLS/1.0) wl####.weilito####.net.####.com:443
TCP(TLS/1.0) log####.weilito####.net:443
TCP(TLS/1.0) wea####.weilito####.net.####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) 04img####.eas####.com.####.com:443
TCP(TLS/1.0) sdkc####.e.360.cn:443

Запросы DNS:

04img####.eas####.com
08img####.eas####.com
a####.u####.com
ads.weilito####.net
b####.g####.com
c####.g####.com
c####.g####.com
clien####.weilito####.net
dt.net####.im
enhance####.r####.cn
gs.g####.com
i####.g####.com
im####.9l####.com
imgc####.qq.com
l####.cc
lbs.net####.im
log####.weilito####.net
mi.g####.qq.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
oth.up####.mdt.####.com
p####.ugd####.com
p.s.3####.cn
pc.weilito####.net
publish####.b####.com
qos.l####.360.cn
res####.a####.com
s####.e.qq.com
s####.l####.360.cn
s####.s.360.cn
sdk.l####.360.cn
sdkc####.e.360.cn
t1.hua####.cn
up####.weilito####.net
v.g####.qq.com
wa####.127.net
wea####.weilito####.net
wl####.weilito####.net

Запросы HTTP GET:

i####.g####.com.####.net/newsapp_bt/0/7894719499/641
i####.g####.com.####.net/newsapp_bt/0/8260332652/641
i####.g####.com.####.net/newsapp_bt/0/8260335899/641
i####.g####.com.####.net/newsapp_bt/0/8269087075/641
i####.g####.com.####.net/newsapp_bt/0/8269087077/641
i####.g####.com.####.net/newsapp_bt/0/8269087079/641
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
qos.l####.360.cn/vc.gif?&bid=####&pid=####&ver=####&c_ver=####&os=####&m...
s####.l####.360.####.com/Object.getFile/livecloudsdk/YW5kcm9pZF9wbHVnaW5...
s####.s.360.cn/ak/2e65f2f2fdaf6c699b223c61b1b5ab89.html?m2=####
s####.tc.qq.com/gdt/0/DAAESbqAUAALQABYBcicegCEbFgujD.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAOR64AUAALQABhBbemCUCJ3_8lh5.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAlBwGAUAALQABjBcgPAXB1x1GGpl.jpg/0?ck=####
sdk.l####.360.cn/codec?os=####&tm=####&model=####&r=####&package=####&pi...
sdk.l####.360.cn/qvideo_sdk_and_android_2.0.9.19012503.conf?os=####&tm=#...
sdk.l####.360.cn/rtc2?sign=####&os=####&tm=####&model=####&r=####&packag...
tinyali####.c####.l####.####.com/image/201903/24/06a15aa7eda8da2f323f956...
tinyali####.c####.l####.####.com/image/201903/24/0f1ef9736c01057c236da97...
tinyali####.c####.l####.####.com/image/201903/24/6bbf4b2e8de1fd04d9a2b9c...

Запросы HTTP POST:

a####.u####.com/app_logs
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
enhance####.r####.cn/enhancement/api/v1/ads
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/bd
gs.g####.com/geshu/sdkStatistics/ubi
l####.cc/i/sdk/install
oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
oth.str.mdt.####.com:8080/analytics/upload
oth.str.mdt.####.com:8080/analytics/upload?sid=####
oth.up####.mdt.####.com:8080/beacon/vercheck
p.s.3####.cn/update/update.php?p=####
s####.e.qq.com/activate
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1193285149-1476954937
/data/data/####/-1902697806-645898271
/data/data/####/-271704022-442850446
/data/data/####/-43444619-2023533310
/data/data/####/-787817630-1278279443
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0df5428f83b9f266fea33e66315ea1f11dd1b853046e834....0.tmp
/data/data/####/0e9ba02c805ba3c0b81e16157edc1fb595a4d4648020074....0.tmp
/data/data/####/12798981851790078896
/data/data/####/1304069187-1045216054
/data/data/####/1307891571583697664
/data/data/####/1470b9b2f07ea6e296a94ab2562b771f8264d30e779c6e6....0.tmp
/data/data/####/1684906645-934092447
/data/data/####/17719159721248884730
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/1da4ce3d808a5c84dad04b5cc8c1bd05ad4da402f4c6524....0.tmp
/data/data/####/1dfac38e907ae38b4e6ac02b45d03fb918821c3ae4a946f....0.tmp
/data/data/####/2113267121-440516294
/data/data/####/372552131-1638884067
/data/data/####/3efd232747226b06703dd7c165b12350e5b82c5c94d7c8e....0.tmp
/data/data/####/4170dc00bb32527efa6ac5d0b4abdf3b275bed569c618ce....0.tmp
/data/data/####/46e21ee69dc2f091d13de23f212f0e8972d92017f268c1b....0.tmp
/data/data/####/47e0e341606ab11928650bb347eaef33b5daf146251f254....0.tmp
/data/data/####/504383f2f870e3d514e40b715d6027158da49e1345e4136....0.tmp
/data/data/####/69c635bafbfc68182b57f67f9ce4532baf476ec6ead6840....0.tmp
/data/data/####/78189db5a8698614e3a64551fc3d5cce60678a0b916ae0b....0.tmp
/data/data/####/AKTorchDownload.db-journal
/data/data/####/Beacon_sig_1.lock
/data/data/####/DENGTA_META.xml
/data/data/####/DownloadMarket.db-journal
/data/data/####/ECalendarPreferences.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_883d8a8d8c35039814932350efa3944a.xml
/data/data/####/NIM_DC_WATCHER_SP.xml
/data/data/####/PreSettings-journal
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData2e65f2f2fdaf6c699b223c61b1b5ab89.xml
/data/data/####/ReadAward.xml
/data/data/####/SuishenAd_prf.xml
/data/data/####/SuishenExitPageSDK_v102.apk
/data/data/####/Update.db.xml
/data/data/####/WlttNews.db-journal
/data/data/####/Y24ud2VsaS5zdG9yeQ==.tick.lock
/data/data/####/a58211d72de8ac8ae62bf78f9f9e9975bdf17b6e08ea672....0.tmp
/data/data/####/a6188bcef1cacba64ee079c07f6bced8b8907c7fccad0ed....0.tmp
/data/data/####/abf4c6354c860ba5a058c6703dbb4acb13340765e14fa71....0.tmp
/data/data/####/app_globel_config_file.xml
/data/data/####/b8a1a98522cd763d15b25bc5b0f07280dbc4cfebd8c8f8f....0.tmp
/data/data/####/beacon_db-journal
/data/data/####/beacontsa_cover.xml
/data/data/####/beacontsa_cover_check.lock
/data/data/####/bec55effda94efe00e22ae906a8da125242b4767bbc3408....0.tmp
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/c6828c276127ade496cd7e02b874ff910077a3d52820a83....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cloud_switch_cache
/data/data/####/cn.weli.story_preferences.xml
/data/data/####/com.qihoo.livecloud.settings.GPWebrtcSettings.pref.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/d63fd9ac1841d05f452f89036f8a17a92bb5b3467c123f6....0.tmp
/data/data/####/d8592104b212636dc3835c0bfc07b22e2a154a72a37da83....0.tmp
/data/data/####/d9d41983e2680f261b9203133094ffcda90ba2370d49f26....0.tmp
/data/data/####/daemon
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/e16b07a0db8ed7d8fa13215ff1f8e529d328d983c530207....0.tmp
/data/data/####/ef11f980d7238b905324aae5abaaab36b81f9de7e6ed885....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f971feea192a3cbd49241d5abbeab9bd11287fab9745e43....0.tmp
/data/data/####/finalcore.jar
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gtc.db-journal
/data/data/####/history_cache.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu587952875.so
/data/data/####/libjplayer.so.tmp
/data/data/####/liblocalserver.so.tmp
/data/data/####/libmyssl.so.1.1
/data/data/####/libmyssl.so.1.1.tmp
/data/data/####/libtranscore.so.tmp
/data/data/####/libviewer.so.tmp
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/net_2.0.9.19012503.zip
/data/data/####/player_2.0.9.19012503.zip
/data/data/####/pref.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/qhvc_plugin.xml
/data/data/####/qhvc_plugin.xml.bak
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/share_data.xml
/data/data/####/sp.livecloud.database.xml
/data/data/####/suishenAccountInfo.xml
/data/data/####/suishen_ad.db-journal
/data/data/####/suishen_ad_pramas.xml
/data/data/####/tools_2.0.9.19012503.zip
/data/data/####/torch_sdk_config.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/update_lc
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/media/####/.deviceId
/data/media/####/.iddata
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/1553419234136.db
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89 (deleted)
/data/media/####/7Ni
/data/media/####/7Ni (deleted)
/data/media/####/__VERSION__
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/blank.png
/data/media/####/btn_nav_bg.9.png
/data/media/####/btn_nav_sel.9.png
/data/media/####/cn.weli.story_.db
/data/media/####/dialog_details_bg.9.png
/data/media/####/dialog_dismiss.png
/data/media/####/dialog_dismiss_sel.png
/data/media/####/download_btn_normal.9.png
/data/media/####/fes_type_sel.9.png
/data/media/####/grid_bg.9.png
/data/media/####/grid_sel.9.png
/data/media/####/ic_btn_down.png
/data/media/####/ic_default.png
/data/media/####/info
/data/media/####/list_bg_sel.png
/data/media/####/meta.dat
/data/media/####/nim_sdk.log
/data/media/####/top_btn_normal.9.png
/data/media/####/top_btn_selected.9.png
/data/media/####/uninstall_apk_list
/data/media/####/update_btn_normal.9.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
getprop ro.build.fingerprint
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
mars_d -p <Package> -s com.igexin.sdk.PushService -p1r 44 -p1w 45 -p2r 46 -p2w 47

Загружает динамические библиотеки:

EcalendarLib
daemon_api20
libjiagu587952875
libjplayer
liblocalserver
libtranscore
libviewer
pl_droidsonroids_gif

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней