Adware.Gexin.10874

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) i####.hon####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 1####.217.17.142:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) andro####.hon####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) i####.hon####.com:443

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
andro####.hon####.com
av1.x####.com
c####.x####.com
c####.x####.com
i####.hon####.com
i####.hon####.com
log.u####.com
plb####.u####.com
sdk.o####.p####.####.com
u####.u####.com

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/52d637a756240b840c019238/...
i####.hon####.com/img/960540.jpg
i####.hon####.com/img/bangdan/2019.03.01.3yuehuodong540.jpg
i####.hon####.com/img/bangdan/20190226.74758.540.jpg
i####.hon####.com/img/bangdan/20190321.87680.540.jpg

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0c28b5d238b4ca875c9dda48e442d13c573440e93d95d06....0.tmp
/data/data/####/1553443279593_2273
/data/data/####/1553443279741_2273
/data/data/####/1553443279808_2273
/data/data/####/1553443280265_2273
/data/data/####/1553443280368_2273
/data/data/####/1553443280926_2273
/data/data/####/1553443285253_2427
/data/data/####/1553443289980_2551
/data/data/####/1553443296340_2810
/data/data/####/1553443296535_2810
/data/data/####/1553443300381_3026
/data/data/####/1553443302632_3026
/data/data/####/1553443304855_3026
/data/data/####/1553443314423_3026
/data/data/####/1553443314453_3026
/data/data/####/1553443314631_3026
/data/data/####/1553443314730_3026
/data/data/####/1553443321231_3026
/data/data/####/1553443321277_3026
/data/data/####/1553443321364_3026
/data/data/####/1553443324347_3026
/data/data/####/1870e4153350a4e84ee7a5d14ccd3c4b964ddf90dac5af1....0.tmp
/data/data/####/19b595213614bced9e594858abbdf8dc23cac77b99164f1....0.tmp
/data/data/####/21bac145e982ffbe8ea5518784ad9508e43137fde1bc03e....0.tmp
/data/data/####/3312cb4cb4948ea2b14f8ba90d46bdbc109b9f07ac322b7....0.tmp
/data/data/####/34635da4fd645c92d729e200a61e631b27f790e7575c6f6....0.tmp
/data/data/####/346464d8f8ae4f9e8ea0df0201c9b7de0d6b3dd434ee7c4....0.tmp
/data/data/####/37917808bd70a8b38e0f11c65beffd4cb8598f5e18d1ac0....0.tmp
/data/data/####/3f44811b90a911623527614b710cd0d6d26c5a15f540808....0.tmp
/data/data/####/4486d726c7f03f54ef35fd3390539a14d2cf6623553d9fc....0.tmp
/data/data/####/44ff9406b34d86c0cff42cd6804f5ea2f593afb77d8f7c3....0.tmp
/data/data/####/4665344c42afc01d739b4c32ac38d8468c702622c415acb....0.tmp
/data/data/####/481c45275e22d43ed436713d833c273574e527dbc8433f7....0.tmp
/data/data/####/51bd5055c3cfe88d7939b5d94d3d36ced9f1d1eda2e2517....0.tmp
/data/data/####/531ceb12ed1684416626e1f9ac47d70a85e3afe63e719f6....0.tmp
/data/data/####/54064c9466dbc2e06d0a46286d144282458d264b5f79f31....0.tmp
/data/data/####/55f7211d2854cd1a5e9a399ffb2090778b1e80093e8af4c....0.tmp
/data/data/####/5f81049c922f1776288ef6793d5599bb65a00fd5c6c247d....0.tmp
/data/data/####/64e9ebe0c751a833bc24acad33b74a360772962bc12576d....0.tmp
/data/data/####/696d380cf5df141d889a9f8e4a3eafa6862a10e2b4d3d70....0.tmp
/data/data/####/6b34ef3f4f96f1fb80ba657c262a7692ff256fec3865f3d....0.tmp
/data/data/####/76209fa2f9f78accbdb667b2c76f45beb9b48d8e07eb3b1....0.tmp
/data/data/####/7722c30abd48bfcd49a6dd5656fd02703860e0aa34fa614....0.tmp
/data/data/####/7786b5d3b1f28ee8aef09923c50ca50c5c4ca0e4c913f08....0.tmp
/data/data/####/7a97e69017d4a1f7ddf6001fe86e6aeb27852e528811234....0.tmp
/data/data/####/7bb6777075d82facee662373bfe809426258b2ba903f6cd....0.tmp
/data/data/####/7d90787f7a4747cd7cbeac4c8fa46f41711490c308bf3eb....0.tmp
/data/data/####/850cf88bf8512830feb0d248d50eae0153ced25dcf6f8bc....0.tmp
/data/data/####/867a2a126492a60464a66224733a36b16a7ad5b9865517d....0.tmp
/data/data/####/8b1f85eb71d313182c4b219ae1d92de059d0361f7ad0bc3....0.tmp
/data/data/####/956a04139cae06410637a710645042f1aaef9896063a0e6....0.tmp
/data/data/####/9efd9126abc737bae8b5a8e1714e2d0f217fcbc5346e420....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/FavDATA.xml
/data/data/####/MiscDATA.xml
/data/data/####/MultiDex.lock
/data/data/####/TDCloudSettingsConfig4211D3004564432A8D27C299D6A0B729.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UserDATA.xml
/data/data/####/a==7.5.3&&3.7.2_1553443281101_envelope.log
/data/data/####/b5d79471e97690973eccf0e399dded4d78bb8c6a02559ea....0.tmp
/data/data/####/b5fe5bb49a0063aaf53611c8612a465dab687867c52637e....0.tmp
/data/data/####/b777e0aebfd5c0db01b7bbbde65b058136e808ba8e10885....0.tmp
/data/data/####/b9a6749c4a88cf89d9cf2f0d02211a28801ece87bbc6569....0.tmp
/data/data/####/bugly_db_legu-journal
/data/data/####/c35428061a07b8b4389885b90742ae07b8e73fe7ca81297....0.tmp
/data/data/####/c3de26f420abc0b4898360f85f0ccaf4084d2ba8665b3ed....0.tmp
/data/data/####/c4465b330834071c01137ba37976e02f723e3d6ce894c13....0.tmp
/data/data/####/d7377c693a1210dff68d18a45eca58efac0f49a2c43eeb2....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjc4ODkz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjg0OTc1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjg4ODMy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjk1NjQ1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjk4NTg2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjk5NzUx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzNDQzMjkzMDU1;
/data/data/####/de5f28ad2c42fa9d4e00733d6453ffc8081e310974f0bba....0.tmp
/data/data/####/dfaf64781276ebb2f4a6e8d04c0fdac5c8df2b307616dd6....0.tmp
/data/data/####/e6092550ad95f947036521cf3de940374ca4d5aeafca64c....0.tmp
/data/data/####/e65a281e5cb400668801e23a306533be521e6368c196ee4....0.tmp
/data/data/####/eccf2552dda0061133a95fd9b05da34f150de48919c8ab9....0.tmp
/data/data/####/ee427930d32b7d87a5550b0be99adc3f79fc88c12bb1f7f....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f76fe7e8d1573f8c55cf40e1b395f8317fcb74a5e34e256....0.tmp
/data/data/####/f90f7c8e0213f74e90d7bd1a9eca531b4d21847561596ac....0.tmp
/data/data/####/gdt_first_install_file.xml
/data/data/####/getui_sp.xml
/data/data/####/home_store_guide.xml
/data/data/####/hong.db-journal
/data/data/####/i==1.2.0&&3.7.2_1553443279027_envelope.log
/data/data/####/i==1.2.0&&3.7.2_1553443293148_envelope.log
/data/data/####/info.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pop_config_file.xml
/data/data/####/salt
/data/data/####/security_info
/data/data/####/select_class_id_file.xml
/data/data/####/sex_flag_name.xml
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/-1695376217
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/10829545.sht
/data/media/####/10829548.sht
/data/media/####/10829549.sht
/data/media/####/10829550.sht
/data/media/####/10829551.sht
/data/media/####/10829552.sht
/data/media/####/10829553.sht
/data/media/####/10829555.sht
/data/media/####/10829556.sht
/data/media/####/10829558.sht
/data/media/####/10829560.sht
/data/media/####/10829561.sht
/data/media/####/10829562.sht
/data/media/####/10829563.sht
/data/media/####/10829564.sht
/data/media/####/10829725.sht
/data/media/####/10829814.sht
/data/media/####/10830354.sht
/data/media/####/10830444.sht
/data/media/####/10830902.sht
/data/media/####/10830970.sht
/data/media/####/10836181.sht
/data/media/####/10836227.sht
/data/media/####/10836619.sht
/data/media/####/10836677.sht
/data/media/####/10836687.sht
/data/media/####/10836702.sht
/data/media/####/10837221.sht
/data/media/####/10837252.sht
/data/media/####/10837278.sht
/data/media/####/10837296.sht
/data/media/####/10837678.sht
/data/media/####/10837708.sht
/data/media/####/10837773.sht
/data/media/####/10838164.sht
/data/media/####/10838188.sht
/data/media/####/10838209.sht
/data/media/####/10838770.sht
/data/media/####/10839306.sht
/data/media/####/10839328.sht
/data/media/####/10839674.sht
/data/media/####/10839710.sht
/data/media/####/10839737.sht
/data/media/####/10840410.sht
/data/media/####/10840517.sht
/data/media/####/10840518.sht
/data/media/####/10840519.sht
/data/media/####/10840810.sht
/data/media/####/10840839.sht
/data/media/####/10841332.sht
/data/media/####/10841359.sht
/data/media/####/10841919.sht
/data/media/####/10841928.sht
/data/media/####/10841950.sht
/data/media/####/10842345.sht
/data/media/####/10842397.sht
/data/media/####/10842425.sht
/data/media/####/10842923.sht
/data/media/####/10842941.sht
/data/media/####/10843035.sht
/data/media/####/10843494.sht
/data/media/####/10843560.sht
/data/media/####/10843572.sht
/data/media/####/10844066.sht
/data/media/####/10844097.sht
/data/media/####/10844118.sht
/data/media/####/10844449.sht
/data/media/####/10844451.sht
/data/media/####/10844452.sht
/data/media/####/10844856.sht
/data/media/####/10844860.sht
/data/media/####/10844861.sht
/data/media/####/10849555.sht
/data/media/####/10849556.sht
/data/media/####/10849557.sht
/data/media/####/10850433.sht
/data/media/####/10850532.sht
/data/media/####/10850867.sht
/data/media/####/10850963.sht
/data/media/####/10851075.sht
/data/media/####/10851399.sht
/data/media/####/10851647.sht
/data/media/####/10851755.sht
/data/media/####/10852095.sht
/data/media/####/10852194.sht
/data/media/####/10852277.sht
/data/media/####/10852588.sht
/data/media/####/10852733.sht
/data/media/####/10852829.sht
/data/media/####/10853151.sht
/data/media/####/10853308.sht
/data/media/####/10853372.sht
/data/media/####/10853677.sht
/data/media/####/10853810.sht
/data/media/####/10853895.sht
/data/media/####/10854193.sht
/data/media/####/10854586.sht
/data/media/####/10854657.sht
/data/media/####/10854908.sht
/data/media/####/10855072.sht
/data/media/####/10855153.sht
/data/media/####/10855394.sht
/data/media/####/10855554.sht
/data/media/####/10855639.sht
/data/media/####/10855912.sht
/data/media/####/10856090.sht
/data/media/####/10856171.sht
/data/media/####/10856415.sht
/data/media/####/10856640.sht
/data/media/####/10856955.sht
/data/media/####/10857128.sht
/data/media/####/10857369.sht
/data/media/####/10857573.sht
/data/media/####/10857830.sht
/data/media/####/10858050.sht
/data/media/####/10858304.sht
/data/media/####/10858496.sht
/data/media/####/10858776.sht
/data/media/####/10858965.sht
/data/media/####/10859237.sht
/data/media/####/10859467.sht
/data/media/####/10859817.sht
/data/media/####/10860178.sht
/data/media/####/10860347.sht
/data/media/####/11126498.sht
/data/media/####/11126499.sht
/data/media/####/11127546.sht
/data/media/####/11127547.sht
/data/media/####/11128646.sht
/data/media/####/11128647.sht
/data/media/####/11129720.sht
/data/media/####/11129721.sht
/data/media/####/11130814.sht
/data/media/####/11130816.sht
/data/media/####/11132635.sht
/data/media/####/11132636.sht
/data/media/####/11133632.sht
/data/media/####/11133633.sht
/data/media/####/11134594.sht
/data/media/####/11134595.sht
/data/media/####/11135786.sht
/data/media/####/11135788.sht
/data/media/####/11136731.sht
/data/media/####/11136732.sht
/data/media/####/11136733.sht
/data/media/####/11136738.sht
/data/media/####/11138031.sht
/data/media/####/11138032.sht
/data/media/####/11138033.sht
/data/media/####/11138034.sht
/data/media/####/11138932.sht
/data/media/####/11138934.sht
/data/media/####/11138936.sht
/data/media/####/11138937.sht
/data/media/####/11139242.sht
/data/media/####/11139243.sht
/data/media/####/11139245.sht
/data/media/####/11139246.sht
/data/media/####/11140225.sht
/data/media/####/11140227.sht
/data/media/####/11140229.sht
/data/media/####/19-03-24 16;01;18.txt
/data/media/####/19-03-24 16;01;24.txt
/data/media/####/19-03-24 16;01;28.txt
/data/media/####/19-03-24 16;01;32.txt
/data/media/####/19-03-24 16;01;36.txt
/data/media/####/19-03-24 16;01;38.txt
/data/media/####/2023520444
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней