Adware.Gexin.12291

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) mob.bz.m####.com:80
TCP(HTTP/1.1) ap####.v0.m####.com:80
TCP(HTTP/1.1) imgal####.res.m####.com:80
TCP(HTTP/1.1) 0####.h####.com:80
TCP(HTTP/1.1) g####.hun####.com:80
TCP(HTTP/1.1) use####.api.max.####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) st.bz.m####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) www.qchann####.cn:80
TCP(HTTP/1.1) x.da.m####.com:80
TCP(HTTP/1.1) o####.ar####.api.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) res####.a####.com:80
TCP(HTTP/1.1) api.a####.durianc####.com:80
TCP(HTTP/1.1) m####.api.m####.com:80
TCP(HTTP/1.1) x.da.hun####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) s5.hun####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) cdn.app.1####.####.com:80
TCP(HTTP/1.1) da####.c####.qini####.com:80
TCP(HTTP/1.1) hi.tencen####.top:80
TCP(HTTP/1.1) log.da.hun####.com:80
TCP(HTTP/1.1) cdn.app.p####.####.com:80
TCP(HTTP/1.1) cou####.pe####.m####.com:80
TCP(HTTP/1.1) o####.ac####.api.####.com:80
TCP(TLS/1.0) app.onetwo####.top.####.com:443
TCP(TLS/1.0) qq.i####.com:443
TCP(TLS/1.0) hi.tencen####.top:443
TCP sdk.o####.t####.####.com:5224
TCP t####.nz4.ig####.com:5224
TCP 43.2####.145.10:5227

Запросы DNS:

0####.h####.com
1####.h####.com
7j####.c####.z0.####.com
a####.u####.com
ap####.v0.m####.com
api####.a####.com
api.a####.durianc####.com
app.onetwo####.top
b####.l####.top
c-h####.g####.com
cdn.app.1####.top
cdn.app.p####.top
cdn.img.p####.top
cou####.pe####.m####.com
g####.hun####.com
hi.tencen####.top
imgal####.res.m####.com
log.da.hun####.com
m####.api.m####.com
m.i####.com
mo####.api.hun####.com
mob.bz.m####.com
o####.ac####.api.####.com
o####.ar####.api.####.com
pub-####.qin####.com
pv.s####.com
rc.m####.com
s5.hun####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
st.bz.m####.com
t####.nz4.g####.net
t####.nz4.ge####.com
t####.nz4.ig####.com
use####.api.max.####.com
www.qchann####.cn
x.da.hun####.com
x.da.m####.com

Запросы HTTP GET:

0####.h####.com/preview/sp_images/2018/yuanchuang/321558/4475492/2018072...
0####.h####.com/preview/sp_images/2018/zongyi/323564/4457296/20180709091...
ap####.v0.m####.com/pv.php?nt=####&cpid=####&md=####&tst=####&gps=####&s...
api.a####.durianc####.com/api/v1/pkg.jsp?chid=####
cdn.app.1####.####.com/dp
cdn.app.1####.####.com/lh
cdn.app.p####.####.com/tdata_EDT369
cdn.app.p####.####.com/upload/201904/9/app/20190409172554996.apk
cou####.pe####.m####.com/message/poll?uid=####&osVersion=####&did=####&m...
da####.c####.qini####.com/upload/201904/9/img/20190409172553882.png
g####.hun####.com/mobile/distribute.do?deviceid=####
gdv.a.s####.com/cityjson
gdv.a.s####.com/cityjson?ie=####
imgal####.res.m####.com/mediafiles/wiad_creative/1037/15548863321654.jpg
imgal####.res.m####.com/mediafiles/wiad_creative/7/15468456922527.jpg
mob.bz.m####.com/odin/c1/channel/list?uid=####&osVersion=####&mac=####&o...
o####.ac####.api.####.com/artist/getRecommendCollectArtist?uid=####&osVe...
o####.ar####.api.####.com/artist/getArtistListByIds?uid=####&type=####&t...
s5.hun####.com/channel/live?uid=####&osVersion=####&ticket=####&appVersi...
s5.hun####.com/mobile/rank?c=####
s5.hun####.com/mobile/rank?uid=####&osVersion=####&c=####&mac=####&osTyp...
s5.hun####.com/mobile/user?uid=####&c=####&mac=####
s5.hun####.com/recommend?uid=####&platform=####&osVersion=####&mac=####&...
s5.hun####.com/user/getActivity?uid=####&osVersion=####&ticket=####&appV...
s5.hun####.com/v1/config/play?uid=####&osVersion=####&ticket=####&appVer...
s5.hun####.com/v5/listconfig?uid=####&platform=####&osVersion=####&mac=#...
s5.hun####.com/v6/search/recommend?uid=####&osVersion=####&ticket=####&a...
st.bz.m####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
t####.c####.q####.####.com/config/bj-bjv7.conf
t####.c####.q####.####.com/config/hz-bjv8.conf
t####.c####.q####.####.com/tdata_AXX896
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_IcB528
use####.api.max.####.com/person5ad6eea479eeb.png@1wh_1e_1c_0o_0l_130h_13...
use####.api.max.####.com/person5b1b72e5b9d13.jpg@1wh_1e_1c_0o_0l_130h_13...
use####.api.max.####.com/preview/sp_images/2018/12/25/dianshiju/323323/4...

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
hi.tencen####.top/wakeup/hx
hi.tencen####.top/wulink/req
log.da.hun####.com/v1/t
m####.api.m####.com/mpns/parseLog
o####.ac####.api.####.com/global/config
res####.a####.com/v3/log/init
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
www.qchann####.cn/center/adj
www.qchann####.cn/center/adj?appkey=####
x.da.hun####.com/json/app/boot
x.da.m####.com/m/page

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-613446676
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/16cc43660839b8b9d46fcda954851c0bad4fad5f0fa11a0....0.tmp
/data/data/####/1703720991
/data/data/####/257306020
/data/data/####/257306024
/data/data/####/257306028
/data/data/####/29ec1ca95570dea08c178cc0cf9848fd
/data/data/####/3e304289cd3b71103d37ee2fb132cfb0037512e71267254....0.tmp
/data/data/####/403eafe3d8141867c840e19038b5743d15525d5db8d0e7a....0.tmp
/data/data/####/5c77f90c0b8e9f84427ce435d85e8490
/data/data/####/614108960
/data/data/####/6164488808ecdfe1bb669cf1488d6e4f
/data/data/####/63e9391c6ce392fb7cdc6f58665b6f98
/data/data/####/7115a56b634554a215dea44ee35ec98cbb6dbff42b37696....0.tmp
/data/data/####/77112a6631bddd35799624f6104a4d0a
/data/data/####/78c19d090f120c39214f8939ecd78692
/data/data/####/814c64336f6d6d1857316a88f225d414f838dd9dedd6479....0.tmp
/data/data/####/933978904
/data/data/####/9663ca2d36f0e2852fa2aaaa0d7828378b87a93a198d9e8....0.tmp
/data/data/####/9ba8464562ad041cbeba1e8003f31a6f
/data/data/####/DEVI.xml
/data/data/####/ImgoPad-journal
/data/data/####/LIN1001.xml
/data/data/####/LIN1002.xml
/data/data/####/LIN1004.xml
/data/data/####/LIN1005.xml
/data/data/####/LIN1006.xml
/data/data/####/LIN1008.xml
/data/data/####/LIN1009.xml
/data/data/####/LIN1017.xml
/data/data/####/LIN1019.xml
/data/data/####/LIN1020.xml
/data/data/####/LIN1021.xml
/data/data/####/LIN1022.xml
/data/data/####/LIN1023.xml
/data/data/####/LIN1024.xml
/data/data/####/LIN1025.xml
/data/data/####/LIN1026.xml
/data/data/####/LIN1027.xml
/data/data/####/LIN1028.xml
/data/data/####/MGTVCommon.xml
/data/data/####/MGTVCommon.xml.bak
/data/data/####/MV3Plugin.ini
/data/data/####/MV3Plugin_Default.ini
/data/data/####/QT.xml
/data/data/####/a0220.xml
/data/data/####/a022001.xml
/data/data/####/arch.xml
/data/data/####/c286d7a53b4e
/data/data/####/c2f6a5144788ab83e569d3ec629fd3fdf6d813f9e3ec2df....0.tmp
/data/data/####/c2f6a5144788ab83e569d3ec629fd3fdf6d813f9e3ec2df...961d.0
/data/data/####/c385.db-journal
/data/data/####/cn.com.mma.mobile.tracking.other.xml
/data/data/####/e27487963cb955256c08b6c51dd59105
/data/data/####/e7b5c74b248d2bb50688221386d599e6a0c3494e6bd775c....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/fc35aed9ca2f54ef1969c9fd7bcbbcb2
/data/data/####/firstedlink.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hmt_agent_commonutill_com.henghua.tv.today.xml
/data/data/####/hmt_agent_commonutill_device_id.xml
/data/data/####/hmt_agent_online_setting_com.henghua.tv.today.xml
/data/data/####/hmt_analytics
/data/data/####/hmt_analytics-journal
/data/data/####/hmt_init_savetime.xml
/data/data/####/hmt_irsuid.xml
/data/data/####/hmt_session_id.xml
/data/data/####/hmt_session_id_savetime.xml
/data/data/####/hmt_session_id_savetime.xml.bak
/data/data/####/hmt_session_id_savetime.xml.bak (deleted)
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/isr.xml
/data/data/####/journal.tmp
/data/data/####/last_know_location.xml
/data/data/####/lh_oimsp.xml
/data/data/####/libjiagu298812144.so
/data/data/####/multidex.version.xml
/data/data/####/openudid_prefs.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qtsession.xml
/data/data/####/root.db-journal
/data/data/####/run.pid
/data/data/####/tdata_AXX896
/data/data/####/tdata_AXX896.jar
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_IcB528
/data/data/####/tdata_IcB528.jar
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/media/####/.nomedia
/data/media/####/89921a201494c7be3eb5e20f7fb56328
/data/media/####/AN.csv-20190414071435
/data/media/####/TruthInfo.csv-1555226076265
/data/media/####/UA.csv-20190414071437
/data/media/####/UnicomTrafficFree.log
/data/media/####/ae756fdd03bf3d7214bd7c1291df4204
/data/media/####/apge.csv-20190414071448
/data/media/####/app.db
/data/media/####/cl.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.henghua.tv.today.bin
/data/media/####/com.henghua.tv.today.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d7050efcb2cbb2498c4fa4f2f2e40dfd
/data/media/####/dv.tmp
/data/media/####/e1861d107f376e84776fb223567fd3ed
/data/media/####/ed70e2ce4b13272b6d5e60df4775a520
/data/media/####/ede64ac47a4a9df40754b810918d4523
/data/media/####/fc56dee3ec7305683dff288e1f541fde
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal.tmp
/data/media/####/qt.csv.1555226072975.txt
/data/media/####/tdata_AXX896
/data/media/####/tdata_BAI450
/data/media/####/tdata_IcB528
/data/media/####/test.log
/data/media/####/uuid

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.hunantv.imgo.service.GetuiPushService 24972 300 0
cat /proc/cpuinfo
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
ls -l /system/bin/su
ls -l /system/xbin/su
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.hunantv.imgo.service.GetuiPushService 24972 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu298812144

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней