Adware.Gexin.11533

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) www.yunha####.com:80
TCP(HTTP/1.1) www.sq####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sq####.com:80
TCP(HTTP/1.1) wild####.al####.com.####.net:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) www.sq####.com:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) www.yunha####.com:443
TCP(TLS/1.0) hk.wagbr####.non####.####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) wild####.al####.com.####.net:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
ad####.m.ta####.com
ada####.m.ta####.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
img.al####.com
nbsdk-b####.al####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
sq####.com
st####.dc####.net.cn
wgo.mm####.com
www.sq####.com
www.yunha####.com
y####.al####.com

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
qin####.com.www.####.com/tdata_EDT356
sq####.com/Public/Admin/Uploads/App/5ca2c5f72b7ca.apk
sq####.com/Public/Admin/Uploads/AppNotice/5c9c673cd52a3.png
sq####.com/Public/Admin/Uploads/AppNotice/5c9c6768bae69.png
ti####.c####.l####.####.com/config/hz-hzv3.conf
wild####.al####.com.####.net/imgextra/i4/3247054694/O1CN01Eb3nCb1kXtdMfw...
www.sq####.com/index.php?s=####&version=####&vendor=####&type=####
www.yunha####.com/Public/Admin/Uploads/Cates/1546574666.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546574709.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546574776.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546580218.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546580416.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546580417.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546580418.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581668.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581747.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581767.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581785.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581792.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546581810.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546653395.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546654049.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546655155.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546655806.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546655825.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546655981.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546655999.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546656167.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546656295.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659236.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659244.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659250.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659257.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659265.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659276.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659280.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659288.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659425.png
www.yunha####.com/Public/Admin/Uploads/Cates/1546659433.png

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-Eps8ouiijaMi0bK1-lV0j7TH18.-1144542057.tmp
/data/data/####/.imei.txt
/data/data/####/056cbe9061f7
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1zq7f-OiIVW2_9H2leucXkT0dHA.1407198988.tmp
/data/data/####/21c22f492aba3de8.lock
/data/data/####/39OTG14dFdQACUCKI0j9e6ZlseA.589041894.tmp
/data/data/####/3wnrrpj1BYVfyXocA0y69Ft4UXA.692144600.tmp
/data/data/####/4HqfVQygGV3pwy8u9nB11kBrTiw.1635828276.tmp
/data/data/####/4UbUU-3MQlaJc4JRIWxsstjtnk8.-1637142361.tmp
/data/data/####/4ZSk5aZyXHk0DNclXZQXqAB-O7U.90886752.tmp
/data/data/####/6EoTs77xerYZtpQUFrygrx9zAZ0.-1150720692.tmp
/data/data/####/8uNpA1DHC0uV39Cq4z6lyoFyX6k.1094863612.tmp
/data/data/####/930a31b34bd52c08.lock
/data/data/####/Alvin2.xml
/data/data/####/B9_L0re3wFxJIeGc54DLLzPRgsE.96371210.tmp
/data/data/####/CL-tYpD6nKZTkYyawvrlXX-Mqgs.-930204638.tmp
/data/data/####/ContextData.xml
/data/data/####/Hn76YrqeRlk4bqO2YtsxQIpTpEE.-634411167.tmp
/data/data/####/Ki6Z38iU3chct2jllTAFRlG3fEk.-1999561674.tmp
/data/data/####/M2q5DyGEU3CWnFO9dUdSZEWkvdE.1343273966.tmp
/data/data/####/MultiDex.lock
/data/data/####/NEnboWpQur4Oi18odNuEEoqtfvk.413382041.tmp
/data/data/####/PAyVnvnt9Pdk0J2yqu93UmztJ9o.-1217707897.tmp
/data/data/####/Pu9hOrXqChcygsSEvL6-plHX9tg.-404602234.tmp
/data/data/####/Q0VSVC5SU0EK.txt91a
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/U0ittqmWz-xi-Lm_DS8YIz9igX4.205087976.tmp
/data/data/####/UTCommon.xml
/data/data/####/V_robvsKeLYp7TV9wqxXV00JOsA.-663269230.tmp
/data/data/####/WoULgw5mAmtwB2TSJ3oQjdyfktE.1281803468.tmp
/data/data/####/XCJveTODoEcVy-6BX-cZtUyfUio.1390254473.tmp
/data/data/####/YdenOzMfRPaQTuB6BAX_9AFb6Yg.1817742559.tmp
/data/data/####/_WUFQzTOlnmbYsYQs0OrQz9YpT0.-786701465.tmp
/data/data/####/__UNI__225ABE7.xml
/data/data/####/__UNI__225ABE7_download_dcloud.xml
/data/data/####/__UNI__225ABE7_storages.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/adlR_HDb5SdItOZjS8HkfY4OX5s.1465712503.tmp
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/auth_sdk_device.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/clientid_igexin.xml
/data/data/####/crash_dump.log
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/disk_entries_list_image_cache_1890513809.xml
/data/data/####/eMCUpq5IdCDajQ4qElOoaFvacmA.1450777085.tmp
/data/data/####/eje3cnc
/data/data/####/f4W0z5ahADKta-LPdqCKvdh7f_Q.138710786.tmp
/data/data/####/f7tSD2KbopURM0OXqIck_uTroQg.-228840513.tmp
/data/data/####/gU7GMeIaoUN0PIk6UMMStlIxIvM.-371638915.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/imei.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/io.dcloud.H513BBB44_preferences.xml
/data/data/####/iy6xzlZBfZjkx4QhmZbMIZ6TDAM.440700271.tmp
/data/data/####/jsb.version
/data/data/####/libnfix.so
/data/data/####/libsgmainso-5.3.80.so
/data/data/####/libsgmainso-5.3.80.so.tmp.2330
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/m9c6LqMbqXAArpdBr3mFEjosNZs.1625964715.tmp
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/o_WIrNBMURPC9cL1GYQJU3VTpSg.2084220571.tmp
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qZ228iN9UHBZgcz3i19dsL2xH5M.1808775657.tmp
/data/data/####/run.pid
/data/data/####/sUO91f0eCPfYd4HFBXoDZVkP7hE.826088659.tmp
/data/data/####/security_info
/data/data/####/sp.lock
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/syT6eCRuZ30XKGPJSuwHU6mU6TU.948985376.tmp
/data/data/####/test_app
/data/data/####/timestamp
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/vdIiAD9uQEhEVLXI1LOMNDS3aOc.137057544.tmp
/data/data/####/wEahz007tynnC533wJx9GlVHsc4.-1163405167.tmp
/data/data/####/wQHGxQRxyaUsTuiQXQJOzeoa-j8.-874084748.tmp
/data/data/####/wb7z672nJF6QAOU8ziD0ph6Rk78.194759633.tmp
/data/data/####/wdDDCZEH4-n66Tm9Tj62f6Jj24o.1335291508.tmp
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wiXGu0oMKstFNLTRDynQJPG3F9o.-813047642.tmp
/data/data/####/yf1448A5O06tQq7KLYsYeR7ZOKg.-944204003.tmp
/data/data/####/zaAaKAJGFBetJTgHmp7PlRYRkWE.2114497224.tmp
/data/media/####/.imei.txt
/data/media/####/5ca2c5f72b7ca.apk
/data/media/####/AdEnable.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/dd7893586a493dc3
/data/media/####/dt281554253979064.download
/data/media/####/hid.dat
/data/media/####/io.dcloud.H513BBB44.bin
/data/media/####/io.dcloud.H513BBB44.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/data/app-lib/<Package>-1//libweexjsb.so 61 65 1 <Package Folder>/app_crash/crash_dump.log
/data/app-lib/<Package>-1//libweexjsb.so 77 74 1 <Package Folder>/app_crash/crash_dump.log
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24470 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24470 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
imagepipeline
libnfix
libshella-2.9.1.2
libufix
nfix
sgmainso-5.3
ufix
ut_c_api
weexcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней