Adware.Gexin.12193

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) 0a22####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) ac####.l####.uc####.####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) api.wh####.com:443
TCP(TLS/1.0) loc.map.b####.com:443

Запросы DNS:

a####.exc.mob.com
ac####.l####.uc####.####.cn
api.map.b####.com
api.wh####.com
h####.b####.com
l####.tbs.qq.com
loc.map.b####.com
sdk.o####.p####.####.com
u####.wh####.com

Запросы HTTP GET:

0a22####.cdn.uc####.####.cn/upload/icons/kindergartenservice/CourseLesso...
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/0_001.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/8_001.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/8_006.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/8_007.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/8_008.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/erge.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/etiquette_02.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/happyenglish_02.png
0a22####.cdn.uc####.####.cn/upload/icons/mainpage/montessorilanguage_02....
0a22####.cdn.uc####.####.cn/upload/icons/radio/coverimage/Album/20161130...
0a22####.cdn.uc####.####.cn/upload/icons/radio/coverimage/Album/20161212...

Запросы HTTP POST:

a####.exc.mob.com/errconf
ac####.l####.uc####.####.cn/get_device_info
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/03cdb397c2c54645e55077c25fa27f6dfb065bcab844034....0.tmp
/data/data/####/07a4579ec4b4a56c015040a81ca1244534437e35de89de0....0.tmp
/data/data/####/0d1dd7832b910bc2e2ad48bb2c108a1d524b4a2e2a8fec6....0.tmp
/data/data/####/1db0ab5eba1463fd3d08481c311c06dd2b5ddb2ca412b58....0.tmp
/data/data/####/2834cf1d314a9591642e769ae6f2f40f038edb87f57ed5f....0.tmp
/data/data/####/2bea7a98f3b441a44d8a60bf7a7d32b323d17c4f50c2a97....0.tmp
/data/data/####/3d45dc8fe2d05919ae6555889d38372ffb45a1a04eeeb4a....0.tmp
/data/data/####/4562b75f0de50e288d1e5f0c689aa87025bbb05bec39bdd....0.tmp
/data/data/####/64d7f4e46913b596f9bde0201299d4b81f9eacd47b3b7f5....0.tmp
/data/data/####/65c933f6eb8dfc3bca981f8ef03052fc941579e6aab2132....0.tmp
/data/data/####/6698e764d57d78a22785dc3a362da0c9fe4e4856c9c8d05....0.tmp
/data/data/####/67342c6765130618e9a05530a00de1bc988f76464f71406....0.tmp
/data/data/####/6fbeeae9989134fbbe546d4ed7a8202e406905a9475cc79....0.tmp
/data/data/####/71db1fbccfa12407f1ecae2042e8a8f6
/data/data/####/723305959c7aa77cb4c3c0a90675ed7a67be538f29a7ce8....0.tmp
/data/data/####/723305959c7aa77cb4c3c0a90675ed7a67be538f29a7ce8...412b.0
/data/data/####/82c9c6a9921e1dfd6eb59a9e2b0214a6d758707442014c8....0.tmp
/data/data/####/8ac7c976bb190d05106f4d00e64fd6e215f44947eaf7d3e....0.tmp
/data/data/####/8f725518e1a53a91a61ef1db1512863eaaa900fe2ec9e1f....0.tmp
/data/data/####/91d9e381214ff4eb87716b4411941749e3cb86162562217....0.tmp
/data/data/####/940685b5691380496f8e38c4cf98d368b0c23c6a0ec70a8....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1555009112688
/data/data/####/a6fd8240c8f3536d185c36adc1737379a2f76685e9a2bfb....0.tmp
/data/data/####/authStatus_com.rjwh.dingdong.clients;remote.xml
/data/data/####/c270add7a152c38388c4111eba39854b5d2124338fd7daa....0.tmp
/data/data/####/core_info
/data/data/####/d9688b8a22c06c35c4b310d0079bed5e1b0b57ca132a790....0.tmp
/data/data/####/dac3e947f6c7ddbe52036af842b3fd61c88bf05c0c72d22....0.tmp
/data/data/####/db_ddbb_2-journal
/data/data/####/domain_1
/data/data/####/e9d123a694e2f4de9d2f0e8f9e8764cfed364414f59643f....0.tmp
/data/data/####/f5798d26ad5d53e1a6955a7606d298e06d8b01d00bc1863....0.tmp
/data/data/####/fb679491a8e2205ffcf17f55f91a763bd1226dd8597a4d9....0.tmp
/data/data/####/fb8dfeaa68c6d6d000e6c069600fa941a6d228ee199af27....0.tmp
/data/data/####/firll.dat
/data/data/####/getui_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu1029644748.so
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/ucloud_device_adapter.xml
/data/data/####/whrjwh.xml
/data/media/####/.artc_lock
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.timestamp
/data/media/####/.wkl
/data/media/####/Gray_Big_Number.fnt
/data/media/####/Gray_Big_Number_0.png
/data/media/####/Gray_Small_Number.fnt
/data/media/####/Gray_Small_Number_0.png
/data/media/####/Orange_Big_Number.fnt
/data/media/####/Orange_Big_Number_0.png
/data/media/####/Orange_Small_Number.fnt
/data/media/####/Orange_Small_Number_0.png
/data/media/####/beeStar.png
/data/media/####/bg.jpg
/data/media/####/bg_7f53930b.png
/data/media/####/bgm_51bcd9c7.mp3
/data/media/####/bmFont.fnt
/data/media/####/bmFont.png
/data/media/####/button.mp3
/data/media/####/button_41c43e93.mp3
/data/media/####/clap.mp3
/data/media/####/clap_sound.mp3
/data/media/####/close.png
/data/media/####/cloud.js
/data/media/####/cloud.plist
/data/media/####/cloud.png
/data/media/####/cloud1.png
/data/media/####/cloud2.png
/data/media/####/cocos2djs.js
/data/media/####/conn.js
/data/media/####/correctEnd.mp3
/data/media/####/default.js
/data/media/####/default.res.json
/data/media/####/description.json
/data/media/####/dingdong.js
/data/media/####/dingdong.json
/data/media/####/dingdong.plist
/data/media/####/dingdong.png
/data/media/####/dingdongCar_ske_2687ffc8.json
/data/media/####/dingdongCar_tex_1e1d3141.png
/data/media/####/dingdongCar_tex_2986cc11.json
/data/media/####/dingdongSister.json
/data/media/####/dingdongSister.plist
/data/media/####/dingdongSister.png
/data/media/####/dingdong_ske_2f0411f1.json
/data/media/####/dingdong_tex_3a260d16.png
/data/media/####/dingdong_tex_4914634d.json
/data/media/####/dragonBones.min.js
/data/media/####/effectStar.png
/data/media/####/egret.min.js
/data/media/####/egret.web.min.js
/data/media/####/egret_icon.png
/data/media/####/end1.png
/data/media/####/end2.png
/data/media/####/erWeiMa.png
/data/media/####/evaType0.mp3
/data/media/####/evaType1.mp3
/data/media/####/evaType2.mp3
/data/media/####/evaType3.mp3
/data/media/####/evaType4.mp3
/data/media/####/evaType5.mp3
/data/media/####/favicon.ico
/data/media/####/fontLoading_5e199f55.fnt
/data/media/####/fontLoading_e9ea92c.png
/data/media/####/fontsRed_30dd8c73.fnt
/data/media/####/fontsRed_50c178dd.png
/data/media/####/game.js
/data/media/####/game.min.js
/data/media/####/gameDefault.plist
/data/media/####/gameDefault.png
/data/media/####/gamePay.plist
/data/media/####/gamePay.png
/data/media/####/groupGame.js
/data/media/####/hand.png
/data/media/####/iconDingDong.png
/data/media/####/iconFloor.png
/data/media/####/iconSpeak.png
/data/media/####/index.html
/data/media/####/info.png
/data/media/####/infoWord1.png
/data/media/####/infoWord2.png
/data/media/####/infoWord3.png
/data/media/####/infoWord4.png
/data/media/####/infoWord5.png
/data/media/####/infoWord6.png
/data/media/####/kown.png
/data/media/####/label1.png
/data/media/####/label2.png
/data/media/####/label3.png
/data/media/####/label4.png
/data/media/####/label5.png
/data/media/####/label6.png
/data/media/####/light.plist
/data/media/####/light.png
/data/media/####/lightBall.png
/data/media/####/load-0sheet_58478695.json
/data/media/####/load-0sheet_7ef842de.png
/data/media/####/loadScene.js
/data/media/####/loadingBg.png
/data/media/####/loadingBg_4a85ab2c.png
/data/media/####/loadingCloud.png
/data/media/####/loadingStar1.png
/data/media/####/main.min.js
/data/media/####/manifest.json
/data/media/####/mapCloseButton.png
/data/media/####/mapDataSet.js
/data/media/####/mapMethodSet.js
/data/media/####/mapPromptBox.png
/data/media/####/mapRetryButton.png
/data/media/####/mapSpriteClass.js
/data/media/####/map_1.png
/data/media/####/map_2.png
/data/media/####/map_3.png
/data/media/####/map_4.png
/data/media/####/map_5.png
/data/media/####/map_6.png
/data/media/####/map_bg.png
/data/media/####/p3.gif
/data/media/####/panelBg.png
/data/media/####/paopao.png
/data/media/####/pay_buyEnter.mp3
/data/media/####/pet_ske_528beccd.json
/data/media/####/pet_tex_23b83d10.png
/data/media/####/pet_tex_6d5c0ec6.json
/data/media/####/popBg.png
/data/media/####/preload-0sheet_48780feb.json
/data/media/####/preload-0sheet_65b935ed.png
/data/media/####/project.json
/data/media/####/promise.min.js
/data/media/####/res.min.js
/data/media/####/resource.js
/data/media/####/result0.mp3
/data/media/####/result1.mp3
/data/media/####/result2.mp3
/data/media/####/rightStar.png
/data/media/####/sceneC.js
/data/media/####/sceneCSub.js
/data/media/####/server.js
/data/media/####/sound1_1_1_baozha_191163b4.mp3
/data/media/####/startWord_3e261e2.mp3
/data/media/####/store.js
/data/media/####/store.min.js
/data/media/####/sub_map_1.png
/data/media/####/sub_map_1_1.png
/data/media/####/sub_map_2.png
/data/media/####/sub_map_2_1.png
/data/media/####/sub_map_3.png
/data/media/####/sub_map_3_1.png
/data/media/####/sub_map_4.png
/data/media/####/sub_map_4_1.png
/data/media/####/sub_map_5.png
/data/media/####/sub_map_5_1.png
/data/media/####/sub_map_6.png
/data/media/####/sub_map_6_1.png
/data/media/####/tbslog.txt
/data/media/####/tips.png
/data/media/####/tween.min.js
/data/media/####/web_cache_3_1_sound1.mp3
/data/media/####/web_cache_button.mp3
/data/media/####/web_cache_lose.mp3
/data/media/####/web_cache_win.mp3
/data/media/####/web_public_background_music1.mp3
/data/media/####/web_public_checkpoint_back_music.mp3
/data/media/####/web_public_defeated1.mp3
/data/media/####/web_public_defeated2.mp3
/data/media/####/web_public_defeated3.mp3
/data/media/####/web_public_drawing.mp3
/data/media/####/web_public_effect1.mp3
/data/media/####/web_public_effect_waou.mp3
/data/media/####/web_public_lose.mp3
/data/media/####/web_public_patch_puzzle_succeed1.mp3
/data/media/####/web_public_patch_puzzle_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed1.mp3
/data/media/####/web_public_pull_figure_succeed2.mp3
/data/media/####/web_public_pull_figure_succeed3.mp3
/data/media/####/web_public_success.mp3
/data/media/####/web_public_ye.mp3
/data/media/####/web_public_yinzhang.mp3
/data/media/####/word0_0_0_6d9e2071.mp3
/data/media/####/word0_0_1_6d522e2c.mp3
/data/media/####/word0_0_2_36668334.mp3
/data/media/####/word0_0_3_692baf68.mp3
/data/media/####/word0_0_4_3edc9bf0.mp3
/data/media/####/word0_1_0_1d42039d.mp3
/data/media/####/word0_2_0_5e3239f3.mp3
/data/media/####/word0_3_0_401992ba.mp3
/data/media/####/word0_4_0_566b1d40.mp3
/data/media/####/xinsui.plist
/data/media/####/xinsui.png

Другие:

Запускает следующие shell-скрипты:

cat /sys/class/net/wlan0/address
getprop ro.product.cpu.abi

Загружает динамические библиотеки:

crash_analysis
getuiext2
libjiagu1029644748
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней