Adware.Gexin.12191

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ruji####.wh####.com:80
TCP(HTTP/1.1) kinderg####.wh####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) 0a22####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443

Запросы DNS:

a####.exc.mob.com
api.map.b####.com
h####.b####.com
kinderg####.wh####.com
l####.tbs.qq.com
loc.map.b####.com
ruji####.wh####.com
sdk.o####.p####.####.com
u####.wh####.com

Запросы HTTP GET:

0a22####.cdn.uc####.####.cn/upload/VideoCover/VIDEOSOURCEURL/20190401102...
0a22####.cdn.uc####.####.cn/upload/kindergardenservice/menu/master/teach...
kinderg####.wh####.com/article_5812989.html?userid=####&babyid=####&plat...
kinderg####.wh####.com/css/thread.css
kinderg####.wh####.com/images/XIAOLOGO_LOADING.png
kinderg####.wh####.com/js/thread.min.js
kinderg####.wh####.com/upload/kindergardenservice/image/20190403/6368988...
ruji####.wh####.com/web/Service.asmx/getOnlineClassMainPage?category=###...
ruji####.wh####.com/web/VersionCheck.ashx?platform=####&ostype=####&vers...

Запросы HTTP POST:

a####.exc.mob.com/errconf
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/1c612916feb4f9350e4fd0feb07f9fb9
/data/data/####/MultiDex.lock
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1555008557493
/data/data/####/a2c1345612ca1c8ca14e982f268e2370e2737eaa7553d9d....0.tmp
/data/data/####/ae135d72daaa6d25f8b55439fbe3fd744fe3e5c5fd7327b....0.tmp
/data/data/####/authStatus_com.rjwh_yuanzhang.dingdong.clients;remote.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db_ddbb_2-journal
/data/data/####/debug.conf
/data/data/####/domain_1
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/firll.dat
/data/data/####/getui_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/index
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu-1600181424.so
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/whrjwh.xml
/data/media/####/.artc_lock
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.timestamp
/data/media/####/.wkl
/data/media/####/Gray_Big_Number.fnt
/data/media/####/Gray_Big_Number_0.png
/data/media/####/Gray_Small_Number.fnt
/data/media/####/Gray_Small_Number_0.png
/data/media/####/Orange_Big_Number.fnt
/data/media/####/Orange_Big_Number_0.png
/data/media/####/Orange_Small_Number.fnt
/data/media/####/Orange_Small_Number_0.png
/data/media/####/beeStar.png
/data/media/####/bg.jpg
/data/media/####/bg_7f53930b.png
/data/media/####/bgm_51bcd9c7.mp3
/data/media/####/bmFont.fnt
/data/media/####/bmFont.png
/data/media/####/button.mp3
/data/media/####/button_41c43e93.mp3
/data/media/####/clap.mp3
/data/media/####/clap_sound.mp3
/data/media/####/close.png
/data/media/####/cloud.js
/data/media/####/cloud.plist
/data/media/####/cloud.png
/data/media/####/cloud1.png
/data/media/####/cloud2.png
/data/media/####/cocos2djs.js
/data/media/####/conn.js
/data/media/####/correctEnd.mp3
/data/media/####/default.js
/data/media/####/default.res.json
/data/media/####/description.json
/data/media/####/dingdong.js
/data/media/####/dingdong.json
/data/media/####/dingdong.plist
/data/media/####/dingdong.png
/data/media/####/dingdongCar_ske_2687ffc8.json
/data/media/####/dingdongCar_tex_1e1d3141.png
/data/media/####/dingdongCar_tex_2986cc11.json
/data/media/####/dingdongSister.json
/data/media/####/dingdongSister.plist
/data/media/####/dingdongSister.png
/data/media/####/dingdong_ske_2f0411f1.json
/data/media/####/dingdong_tex_3a260d16.png
/data/media/####/dingdong_tex_4914634d.json
/data/media/####/dragonBones.min.js
/data/media/####/effectStar.png
/data/media/####/egret.min.js
/data/media/####/egret.web.min.js
/data/media/####/egret_icon.png
/data/media/####/end1.png
/data/media/####/end2.png
/data/media/####/erWeiMa.png
/data/media/####/evaType0.mp3
/data/media/####/evaType1.mp3
/data/media/####/evaType2.mp3
/data/media/####/evaType3.mp3
/data/media/####/evaType4.mp3
/data/media/####/evaType5.mp3
/data/media/####/favicon.ico
/data/media/####/fontLoading_5e199f55.fnt
/data/media/####/fontLoading_e9ea92c.png
/data/media/####/fontsRed_30dd8c73.fnt
/data/media/####/fontsRed_50c178dd.png
/data/media/####/game.js
/data/media/####/game.min.js
/data/media/####/gameDefault.plist
/data/media/####/gameDefault.png
/data/media/####/gamePay.plist
/data/media/####/gamePay.png
/data/media/####/groupGame.js
/data/media/####/hand.png
/data/media/####/iconDingDong.png
/data/media/####/iconFloor.png
/data/media/####/iconSpeak.png
/data/media/####/index.html
/data/media/####/info.png
/data/media/####/infoWord1.png
/data/media/####/infoWord2.png
/data/media/####/infoWord3.png
/data/media/####/infoWord4.png
/data/media/####/infoWord5.png
/data/media/####/infoWord6.png
/data/media/####/kown.png
/data/media/####/label1.png
/data/media/####/label2.png
/data/media/####/label3.png
/data/media/####/label4.png
/data/media/####/label5.png
/data/media/####/label6.png
/data/media/####/light.plist
/data/media/####/light.png
/data/media/####/lightBall.png
/data/media/####/load-0sheet_58478695.json
/data/media/####/load-0sheet_7ef842de.png
/data/media/####/loadScene.js
/data/media/####/loadingBg.png
/data/media/####/loadingBg_4a85ab2c.png
/data/media/####/loadingCloud.png
/data/media/####/loadingStar1.png
/data/media/####/main.min.js
/data/media/####/manifest.json
/data/media/####/mapCloseButton.png
/data/media/####/mapDataSet.js
/data/media/####/mapMethodSet.js
/data/media/####/mapPromptBox.png
/data/media/####/mapRetryButton.png
/data/media/####/mapSpriteClass.js
/data/media/####/map_1.png
/data/media/####/map_2.png
/data/media/####/map_3.png
/data/media/####/map_4.png
/data/media/####/map_5.png
/data/media/####/map_6.png
/data/media/####/map_bg.png
/data/media/####/p3.gif
/data/media/####/panelBg.png
/data/media/####/paopao.png
/data/media/####/pay_buyEnter.mp3
/data/media/####/pet_ske_528beccd.json
/data/media/####/pet_tex_23b83d10.png
/data/media/####/pet_tex_6d5c0ec6.json
/data/media/####/popBg.png
/data/media/####/preload-0sheet_48780feb.json
/data/media/####/preload-0sheet_65b935ed.png
/data/media/####/project.json
/data/media/####/promise.min.js
/data/media/####/res.min.js
/data/media/####/resource.js
/data/media/####/result0.mp3
/data/media/####/result1.mp3
/data/media/####/result2.mp3
/data/media/####/rightStar.png
/data/media/####/sceneC.js
/data/media/####/sceneCSub.js
/data/media/####/server.js
/data/media/####/sound1_1_1_baozha_191163b4.mp3
/data/media/####/startWord_3e261e2.mp3
/data/media/####/store.js
/data/media/####/store.min.js
/data/media/####/sub_map_1.png
/data/media/####/sub_map_1_1.png
/data/media/####/sub_map_2.png
/data/media/####/sub_map_2_1.png
/data/media/####/sub_map_3.png
/data/media/####/sub_map_3_1.png
/data/media/####/sub_map_4.png
/data/media/####/sub_map_4_1.png
/data/media/####/sub_map_5.png
/data/media/####/sub_map_5_1.png
/data/media/####/sub_map_6.png
/data/media/####/sub_map_6_1.png
/data/media/####/tbslog.txt
/data/media/####/tips.png
/data/media/####/tween.min.js
/data/media/####/web_cache_3_1_sound1.mp3
/data/media/####/web_cache_button.mp3
/data/media/####/web_cache_lose.mp3
/data/media/####/web_cache_win.mp3
/data/media/####/web_public_background_music1.mp3
/data/media/####/web_public_checkpoint_back_music.mp3
/data/media/####/web_public_defeated1.mp3
/data/media/####/web_public_defeated2.mp3
/data/media/####/web_public_defeated3.mp3
/data/media/####/web_public_drawing.mp3
/data/media/####/web_public_effect1.mp3
/data/media/####/web_public_effect_waou.mp3
/data/media/####/web_public_lose.mp3
/data/media/####/web_public_patch_puzzle_succeed1.mp3
/data/media/####/web_public_patch_puzzle_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed1.mp3
/data/media/####/web_public_pull_figure_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed3.mp3
/data/media/####/web_public_success.mp3
/data/media/####/web_public_ye.mp3
/data/media/####/web_public_yinzhang.mp3
/data/media/####/word0_0_0_6d9e2071.mp3
/data/media/####/word0_0_1_6d522e2c.mp3
/data/media/####/word0_0_2_36668334.mp3
/data/media/####/word0_0_3_692baf68.mp3
/data/media/####/word0_0_4_3edc9bf0.mp3
/data/media/####/word0_1_0_1d42039d.mp3
/data/media/####/word0_2_0_5e3239f3.mp3
/data/media/####/word0_3_0_401992ba.mp3
/data/media/####/word0_4_0_566b1d40.mp3
/data/media/####/xinsui.plist
/data/media/####/xinsui.png

Другие:

Запускает следующие shell-скрипты:

cat /sys/class/net/wlan0/address
getprop ro.product.cpu.abi

Загружает динамические библиотеки:

crash_analysis
getuiext2
libjiagu-1600181424
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней