Adware.Gexin.11948

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
TCP(HTTP/1.1) oth.str.mdt.####.com:8080
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) qos.l####.360.cn:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) s####.s.360.cn:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) ssy-ima####.b0.upa####.com:80
TCP(HTTP/1.1) enhance####.r####.cn:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) sdk.l####.360.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(HTTP/1.1) s####.l####.360.####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) oth.up####.mdt.####.com:8080
TCP(TLS/1.0) wapif####.dftou####.com:443
TCP(TLS/1.0) 65a4####.cdn.uc####.####.cn:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) mobads-####.b####.com:443
TCP(TLS/1.0) ci####.s####.com:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) m.tt.vip-dns####.com:443
TCP(TLS/1.0) 0####.s####.com:443
TCP(TLS/1.0) 07img####.eas####.com.####.com:443
TCP(TLS/1.0) wl####.weilito####.net.####.com:443
TCP(TLS/1.0) log####.weilito####.net:443
TCP(TLS/1.0) eh.wel####.cn:443
TCP(TLS/1.0) wea####.weilito####.net.####.com:443
TCP(TLS/1.0) softwor####.dftou####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) m####.eas####.com:443
TCP(TLS/1.0) i####.g####.com.####.net:443
TCP(TLS/1.0) pcunion####.s####.com:443
TCP(TLS/1.0) wapac####.dftou####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) sdkc####.e.360.cn:443
TCP(TLS/1.0) s####.dftou####.com:443
TCP(TLS/1.0) f####.s####.com:443
TCP(TLS/1.0) posi####.dftou####.com:443

Запросы DNS:

0####.s####.com
01img####.eas####.com
02img####.eas####.com
06img####.eas####.com
07img####.eas####.com
09img####.eas####.com
a####.u####.com
ads.weilito####.net
b####.g####.com
c####.g####.com
c####.g####.com
ci####.s####.com
clien####.weilito####.net
eh.wel####.cn
enhance####.r####.cn
f####.s####.com
gs.g####.com
hm.b####.com
i####.g####.com
im####.st####.suishe####.net
imgc####.qq.com
l####.cc
lbs.net####.im
log####.weilito####.net
m####.eas####.com
m.t####.cn
mi.g####.qq.com
mo####.b####.com
mobads-####.b####.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
oth.up####.mdt.####.com
p####.ugd####.com
p.s.3####.cn
pc.weilito####.net
pcunion####.s####.com
posi####.dftou####.com
qos.l####.360.cn
res####.a####.com
s####.dftou####.com
s####.e.qq.com
s####.l####.360.cn
s####.s.360.cn
sdk.l####.360.cn
sdkc####.e.360.cn
softwor####.dftou####.com
st####.et####.cn
up####.weilito####.net
v.g####.qq.com
wa####.127.net
wapac####.dftou####.com
wapif####.dftou####.com
wea####.weilito####.net
wl####.weilito####.net

Запросы HTTP GET:

mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
qos.l####.360.cn/vc.gif?&bid=####&pid=####&ver=####&c_ver=####&os=####&m...
s####.l####.360.####.com/Object.getFile/livecloudsdk/YW5kcm9pZF9wbHVnaW5...
s####.s.360.cn/ak/2e65f2f2fdaf6c699b223c61b1b5ab89.html?m2=####
s####.tc.qq.com/gdt/0/DAAE7juAUAALQABTBckikPDqKg6fNF.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAkvloAUAALQABjBcqGpqDjdhTuA_.jpg/0?ck=####
sdk.l####.360.cn/codec?os=####&tm=####&model=####&r=####&package=####&pi...
sdk.l####.360.cn/qvideo_sdk_and_android_2.0.6.18082901.conf?os=####&tm=#...
sdk.l####.360.cn/rtc?os=####&tm=####&model=####&r=####&package=####&pid=...
ssy-ima####.b0.upa####.com/2e52e1dc5ac9d868e9983bd3fd8ced1c/62a80e94e6c8...

Запросы HTTP POST:

a####.u####.com/app_logs
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
enhance####.r####.cn/enhancement/api/v1/ads
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/bd
gs.g####.com/geshu/sdkStatistics/ubi
l####.cc/i/sdk/install
oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
oth.str.mdt.####.com:8080/analytics/upload
oth.str.mdt.####.com:8080/analytics/upload?sid=####
oth.up####.mdt.####.com:8080/beacon/vercheck
p.s.3####.cn/update/update.php?p=####
s####.e.qq.com/activate
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-12205436181589024130
/data/data/####/-1365411972-637041936
/data/data/####/-2017579659-527092075
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0d12ae3d47cedc9107fa67b3fa2c0a2574cf52234277405....0.tmp
/data/data/####/0f21cac7acdf1170ad71cf80fed8c8368c1c90be28789b7....0.tmp
/data/data/####/1004063920-1777735044
/data/data/####/10fb25f41e7bbe6b3cb46bbc0d834b81c3dda2f2de84b3c....0.tmp
/data/data/####/1107c701479d6de1617b541d1a1ad0ca08ebbce479c66fb....0.tmp
/data/data/####/1486495159435054127
/data/data/####/1640419604-1366351516
/data/data/####/1646720621433071518
/data/data/####/174c652285ea545df12f3ba9c07e5ec67c7d77b0ddb1ec3....0.tmp
/data/data/####/1890c25870574c80efff39cca262272a48d1692795c6b57....0.tmp
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/2206b0a86a3db1994cf2a5d6f8a03ef03ab47531009cd1e....0.tmp
/data/data/####/22550633936a68f3b9e29e7804cee7cd11a0738054a0e69....0.tmp
/data/data/####/227358fa9de0cbea3902a7b558de4eb2ba947e044f47e46....0.tmp
/data/data/####/22f0b46524bd348b65c4cf14c7cde424de134bd0eec68eb....0.tmp
/data/data/####/258858d579407165cc6be1d0fb49d85e906162bc68936a2....0.tmp
/data/data/####/2a56076fc83879e663a300590fc9c2a3b3218620d80ccd3....0.tmp
/data/data/####/2d5268a136c2fec629855985af2b951efe8079ba8b3cdc5....0.tmp
/data/data/####/2e948246d874560e90ffe37e1a1cecc3615f5e0c0274e86....0.tmp
/data/data/####/2eccc8693fb287c9f018b4802462bed06fe60c30aac195a....0.tmp
/data/data/####/3414ea2e073c3f07eabb6cd1620ebfddf4a6fccf2dd66d6....0.tmp
/data/data/####/3456242e5a9b1bd2e723cde3002f21fdc9adcb60c4e2971....0.tmp
/data/data/####/345dbd037c53114a4c90da6875281691f0ff3b2ef9519e3....0.tmp
/data/data/####/362032076447046391
/data/data/####/3e1a8a04ddfa7b74527bd7bdaeba9a3a2bc757ee69b2b84....0.tmp
/data/data/####/442904212-1443447870
/data/data/####/489698bdd660254d7e9b42266ce56beb6a315124bfb0796....0.tmp
/data/data/####/4a8e89e8ff363a78e483bbc3eb535a9a8a6cafb63c38638....0.tmp
/data/data/####/4ee17a7847b387faf229bc7e468999861121058c78c4e3f....0.tmp
/data/data/####/508515635958c2079e416ca5a95eb3ece6eaa37aa802e29....0.tmp
/data/data/####/53992efb1ecb6e9141a6e20800b3690008590ba29a78eb4....0.tmp
/data/data/####/59019e9770d5d622c111b9cf346a9417c62ae1683682273....0.tmp
/data/data/####/5beaaf8dd387586e8dbdab4ea2d0cce930162ae27c4fa21....0.tmp
/data/data/####/5d5ca6117bdf4bbf630774d6551c813a3932a45ec93a5af....0.tmp
/data/data/####/60d8e8faddaf719caeb70d21a8bc81266e916b2e9a46025....0.tmp
/data/data/####/61986638c96dd966f30dc77b10f18b3f33fd4698b65471a....0.tmp
/data/data/####/66ba65f56f00f2453f9403cc472607a3c2f855b98f845b8....0.tmp
/data/data/####/6c7e5295df43baba9ee69b35853dae404ade4d4d9e524b2....0.tmp
/data/data/####/74601b5998dd21b74396041fe8c9409e4fc267d5ca4d9d8....0.tmp
/data/data/####/796e2cb23e2d3694a680e974b3abd775da3568af85efc20....0.tmp
/data/data/####/7b62000465d268fcdc83c80dbc9d24d3f37b2e361d58a51....0.tmp
/data/data/####/7ceecb2bf3839372f385e50608aa9d95528e87fc8a012d7....0.tmp
/data/data/####/82826fc2b6723e8fa1b280c4678e180fb4965ace0128c11....0.tmp
/data/data/####/860c64a99f5f89a260c50a20e483c7b3eae40a07d82d608....0.tmp
/data/data/####/87cbc05857d46890faa11496b5b56ed27cebd31292fa8b6....0.tmp
/data/data/####/999cce6250cdd9aa36dffd38576f39404d22e63297d4ed1....0.tmp
/data/data/####/9d65dbc332720ac4575eeadfe0a35d5cf349ae4c03f5f77....0.tmp
/data/data/####/9fb300eb436f75590d5f06b8f5d1cf63a3f1a053c1aef07....0.tmp
/data/data/####/AKTorchDownload.db-journal
/data/data/####/ApplicationCache.db-journal
/data/data/####/ApplicationCache.db-journal (deleted)
/data/data/####/Beacon_sig_1.lock
/data/data/####/CnAndroidInfo.xml
/data/data/####/DENGTA_META.xml
/data/data/####/DownloadMarket.db-journal
/data/data/####/ECalendarPreferences.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/NIMSDK_Config_883d8a8d8c35039814932350efa3944a.xml
/data/data/####/PreSettings-journal
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData2e65f2f2fdaf6c699b223c61b1b5ab89.xml
/data/data/####/ReadAward.xml
/data/data/####/SKY_SP.xml
/data/data/####/SuishenAd_prf.xml
/data/data/####/SuishenExitPageSDK_v95.apk
/data/data/####/Update.db.xml
/data/data/####/WlttNews.db-journal
/data/data/####/Y24ud2VsaS5zdG9yeQ==.tick.lock
/data/data/####/a125d82383ae7db7da90c11c47d1d3671a9cbe798fc539f....0.tmp
/data/data/####/a487e68f5af4920e3f81dd7b10da4871ad18d9dc11b8ee7....0.tmp
/data/data/####/a4a0b0d9f615aa6c882b71a3627fdb7c090a6f2fc29258f....0.tmp
/data/data/####/a6063b675713257a3876b4e48a596123c514ab3497133a5....0.tmp
/data/data/####/a8d0bb14482eab08512ceb35ce4032ba2fa1a203c072866....0.tmp
/data/data/####/add5ab2329589700a41aba1055cfc96af4f2b5b37dce8f0....0.tmp
/data/data/####/app_globel_config_file.xml
/data/data/####/b4f004101485c2f7774f3655c86e3b2b4f2556fbb986fb2....0.tmp
/data/data/####/bcde84b39206f904f6629ec4f27339d74a38b3caa592af2....0.tmp
/data/data/####/beacon_db-journal
/data/data/####/beacontsa_cover.xml
/data/data/####/beacontsa_cover_check.lock
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/c1835f13a37120c8e136ca640e5913a210f00ca75f5919c....0.tmp
/data/data/####/c506a8862745dcba75482e22f4241cc8b5605371ee72db3....0.tmp
/data/data/####/c6e68b981bae7570b1fc1b109a21122ec92f41a445cf7ff....0.tmp
/data/data/####/c9409a842cbe0ea1cb6d91731b9449c8248c7e43f4e7cf7....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cc584e3947048bcfda65293cdd67f8a093b9151fe2d606d....0.tmp
/data/data/####/cloud_switch_cache
/data/data/####/cn.weli.story_preferences.xml
/data/data/####/cn.weli.story_preferences.xml.bak
/data/data/####/com.qihoo.livecloud.settings.GPWebrtcSettings.pref.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/d771ead784a095af8d9e09422e4a5fcc68cffa6347c4916....0.tmp
/data/data/####/daemon
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/ec3a926314ce92805e3df6455f31d515e6acd703e929100....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f6f4bc2d9012e6be83b27d91d9bb7d35114b4f909216e09....0.tmp
/data/data/####/f9ea019f5a1169205f5d4a42bc85e36a858cf82fb205cbc....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/fb73cf4372ef7a7a3519c9e1e1a88923869adfc37bebc13....0.tmp
/data/data/####/fd83fad7657b89ca59e13ee044e4673b41e03a625ca3f45....0.tmp
/data/data/####/fe059d7a379307858d8192dd3616d7eefbfcbfd49f67ebe....0.tmp
/data/data/####/ff73d5ac5d76175ca7a7ec9a3eb6f1f3f711e17dd6f9d17....0.tmp
/data/data/####/finalcore.jar
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gtc.db-journal
/data/data/####/history_cache.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/ias_sp.xml (deleted)
/data/data/####/ias_sp.xml.bak
/data/data/####/ias_sp.xml.bak (deleted)
/data/data/####/index
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu587952875.so
/data/data/####/libjplayer.so.tmp
/data/data/####/liblocalserver.so.tmp
/data/data/####/libmyssl.so.1.1 (deleted)
/data/data/####/libmyssl.so.1.1.tmp
/data/data/####/libtranscore.so.tmp
/data/data/####/libviewer.so.tmp
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/localserver_2.0.6.18081503.zip
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/player_2.0.6.18082901.zip
/data/data/####/pref.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/qhvc_plugin.xml
/data/data/####/qhvc_plugin.xml.bak
/data/data/####/qhvc_plugin.xml.bak (deleted)
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/share_data.xml
/data/data/####/sp.livecloud.database.xml
/data/data/####/suishenAccountInfo.xml
/data/data/####/suishen_ad.db-journal
/data/data/####/suishen_ad_pramas.xml
/data/data/####/tools_2.0.6.18082901.zip
/data/data/####/torch_sdk_config.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml (deleted)
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/update_lc
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.deviceId
/data/media/####/.iddata
/data/media/####/.nomedia
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/1554654217060.db
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89 (deleted)
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/blank.png
/data/media/####/btn_nav_bg.9.png
/data/media/####/btn_nav_sel.9.png
/data/media/####/cn.weli.story_.db
/data/media/####/dialog_details_bg.9.png
/data/media/####/dialog_dismiss.png
/data/media/####/dialog_dismiss_sel.png
/data/media/####/download_btn_normal.9.png
/data/media/####/f8y
/data/media/####/f8y (deleted)
/data/media/####/fes_type_sel.9.png
/data/media/####/grid_bg.9.png
/data/media/####/grid_sel.9.png
/data/media/####/ic_btn_down.png
/data/media/####/ic_default.png
/data/media/####/info
/data/media/####/list_bg_sel.png
/data/media/####/meta.dat
/data/media/####/nim_sdk.log
/data/media/####/top_btn_normal.9.png
/data/media/####/top_btn_selected.9.png
/data/media/####/uninstall_apk_list
/data/media/####/update_btn_normal.9.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
getprop ro.build.fingerprint

Загружает динамические библиотеки:

EcalendarLib
daemon_api20
libjiagu587952875
libjplayer
liblocalserver
libtranscore
libviewer
pl_droidsonroids_gif

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней