Adware.Gexin.11527

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t####.to####.com:9183
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.to####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) q####.a####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP sdk.o####.t####.####.com:5224
TCP 1####.92.13.45:443
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
c####.g####.ig####.com
c-h####.g####.com
log.u####.com
mt####.go####.com
nav.cn.ron####.com
pub-####.qin####.com
q####.dd####.com
s####.cn.ron####.com
s####.u####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.to####.com

Запросы HTTP GET:

q####.a####.com//media/2018-07-19180719185640651.jpg
q####.a####.com//media/2018-09-28180928103348039.jpg
q####.a####.com//media/2019-03-14190314154910498.jpg
q####.a####.com//media/2019-03-24190324072558470.jpg
q####.a####.com//media/artwork/160326/1632274cli_a_163228414.jpg
q####.a####.com//media/artwork/170529/1722345cli_a_172239654.jpg
q####.a####.com//media/artwork/170706/0700456cli_a_070024218.jpg
q####.a####.com//media/artwork/170818/141423cli_a_141402305.jpg
q####.a####.com//media/artwork/170905/2145165cli_a_214532235.jpg
q####.a####.com//media/artwork/180428/1718171cli_a_171818342.jpg
q####.a####.com//media/zdupload/appuser/2015/1026/201510261111290888.jpg
q####.a####.com/media/180831/180831174121188.png
q####.a####.com/media/180904/180904154729302.png
q####.a####.com/media/180904/180904160021389.png
q####.a####.com/media/artwork/160326/1632274cli_a_163228414.jpg
q####.a####.com/media/artwork/170529/1722345cli_a_172239654.jpg
q####.a####.com/media/artwork/170706/0700456cli_a_070024218.jpg
q####.a####.com/media/artwork/170818/141423cli_a_141402305.jpg
q####.a####.com/media/artwork/170905/2145165cli_a_214532235.jpg
q####.a####.com/media/artwork/180428/1718171cli_a_171818342.jpg
q####.a####.com/media/zdupload/appuser/2015/1026/201510261111290888.jpg
t####.c####.q####.####.com/tdata_AXX896
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_Fus136
t####.to####.com/sm/and_clt_au.html?doAction=####&auid=####&gtid=####&cl...
t####.to####.com/sm/media/default/test4/icon_bjjr.png
t####.to####.com/sm/media/default/test4/icon_hxlq.png
t####.to####.com/sm/media/default/test4/icon_jhjr.png
t####.to####.com/sm/media/default/test4/icon_mtcycw.png
t####.to####.com/sm/media/default/test4/icon_wmcs.png
t####.to####.com:9183/sm/android_client_update.html?and_code=####&uid_mu...
t####.to####.com:9183/sm/appuser/message.html?pageid=####&userid=####&ui...
t####.to####.com:9183/sm/appuser/token?uid_must=####&providername=####&u...
t####.to####.com:9183/sm/cartoon/screen?providername=####&uniqueIdentifi...
t####.to####.com:9183/sm/masterques/mqtype?type=####&clientType=####&ver...
t####.to####.com:9183/sm/newselftest/firsttab?providername=####&uniqueId...
t####.to####.com:9183/sm/newselftest/freetest?providername=####&uniqueId...
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
rp-na####.ron####.com/navi.xml
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
t####.to####.com:9183/sm/and_clt_au.html
t####.to####.com:9183/sm/and_clt_userDo.html?doAction=####&clientType=##...
t####.to####.com:9183/sm/askquestion/mainlist.html
t####.to####.com:9183/sm/askquestion/reward618.html
t####.to####.com:9183/sm/testuser/testuserlist.html?z=####&clientType=##...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/07f8388235451cc32a2a5f4c1ee201dc307b3f2741fbd75....0.tmp
/data/data/####/1554250196328.log
/data/data/####/1554250196328.log.bak
/data/data/####/166699ee4129aaf5d51febd71da1580e02b641c240f3635....0.tmp
/data/data/####/19049f740cfacb7b6e2dc2cf3bd268a793d0980e12944ad....0.tmp
/data/data/####/277fcc80f4fe7e9cb46d7b287c0b479668d54ed040966a1....0.tmp
/data/data/####/3126dc2a1c57b69f4ca0f0eb054475892b4b0574c0f06ce....0.tmp
/data/data/####/5141d4b414d2
/data/data/####/5a1046327394097467b7b492f62040225b401fe9f0d538c....0.tmp
/data/data/####/6ebc2775c1609bcdd5b79eb191490e1d411965c4a26071e....0.tmp
/data/data/####/7fd7953c076de1280c4bc6ebf9d89fd3e1f9b55b3469a03....0.tmp
/data/data/####/8f8699d0226183ec842cc9a0d83750bda776a53e91ec835....0.tmp
/data/data/####/990902a91ec3d7c26b3ac7b538bc4ca1bf0b852f36b2172....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/COUNTLY_STORE.xml
/data/data/####/ContextData.xml
/data/data/####/IMKitUserInfoCache-journal
/data/data/####/Log2File.xml
/data/data/####/RongKitConfig.xml
/data/data/####/RongNavigation.xml
/data/data/####/RongPush.xml
/data/data/####/Statistics.xml
/data/data/####/a220a880f966c44098cf7fa6b30eed5e6d3f3a30c2cb0ae....0.tmp
/data/data/####/b239e619fcc251e6bf285462b92b44705ec317ee2af2397....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/client_preferences.xml
/data/data/####/d09e523403c7df404532eac0bfa39f944443eead9326084....0.tmp
/data/data/####/d29656c08c2061f8d43d8a9ab963d845f9bab7197f7d35c....0.tmp
/data/data/####/db_float_desk-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/imei.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rongIM.xml
/data/data/####/run.pid
/data/data/####/storage-journal
/data/data/####/tdata_AXX896
/data/data/####/tdata_AXX896.jar
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_Fus136
/data/data/####/tdata_Fus136.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a$d$d$d$0$g$g$g$
/data/media/####/app.db
/data/media/####/c$d$d$d$0$g$g$g$
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mrkj.sm.bin
/data/media/####/com.mrkj.sm.db
/data/media/####/d$d$d$d$0$g$g$g$
/data/media/####/d$d$d$d$1062774$g$g$g$1062774&0
/data/media/####/e$d$d$d$1$g$g$g$
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/key_cache_version
/data/media/####/tdata_AXX896
/data/media/####/tdata_BAI450
/data/media/####/tdata_Fus136
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.getui.sm.SMPushService 24071 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.getui.sm.SMPushService 24071 300 0

Загружает динамические библиотеки:

RongIMLib
getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней