Adware.Gexin.12318

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) mob.bz.m####.com:80
TCP(HTTP/1.1) ap####.v0.m####.com:80
TCP(HTTP/1.1) imgal####.res.m####.com:80
TCP(HTTP/1.1) g####.hun####.com:80
TCP(HTTP/1.1) use####.api.max.####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) st.bz.m####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) www.qchann####.cn:80
TCP(HTTP/1.1) x.da.m####.com:80
TCP(HTTP/1.1) o####.ar####.api.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) res####.a####.com:80
TCP(HTTP/1.1) api.a####.durianc####.com:80
TCP(HTTP/1.1) m####.api.m####.com:80
TCP(HTTP/1.1) x.da.hun####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) cdn.app.1####.####.com:80
TCP(HTTP/1.1) da####.c####.qini####.com:80
TCP(HTTP/1.1) hi.tencen####.top:80
TCP(HTTP/1.1) log.da.hun####.com:80
TCP(HTTP/1.1) cou####.pe####.m####.com:80
TCP(HTTP/1.1) o####.ac####.api.####.com:80
TCP(HTTP/1.1) s5.hun####.com:80
TCP(TLS/1.0) app.onetwo####.top.####.com:443
TCP(TLS/1.0) 2####.58.212.174:443
TCP(TLS/1.0) qq.i####.com:443
TCP(TLS/1.0) hi.tencen####.top:443
TCP sdk.o####.t####.####.com:5224
TCP 43.2####.145.6:5227
TCP t####.nz4.ig####.com:5224

Запросы DNS:

1####.h####.com
7j####.c####.z0.####.com
a####.u####.com
ap####.v0.m####.com
api####.a####.com
api.a####.durianc####.com
app.onetwo####.top
b####.l####.top
c-h####.g####.com
cdn.app.1####.top
cdn.app.p####.top
cdn.img.p####.top
cou####.pe####.m####.com
g####.hun####.com
hi.tencen####.top
imgal####.res.m####.com
log.da.hun####.com
m####.api.m####.com
m.i####.com
mo####.api.hun####.com
mob.bz.m####.com
mt####.go####.com
o####.ac####.api.####.com
o####.ar####.api.####.com
pub-####.qin####.com
pv.s####.com
rc.m####.com
s5.hun####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
st.bz.m####.com
t####.nz4.g####.net
t####.nz4.ge####.com
t####.nz4.ig####.com
use####.api.max.####.com
www.qchann####.cn
x.da.hun####.com
x.da.m####.com

Запросы HTTP GET:

ap####.v0.m####.com/pv.php?nt=####&cpid=####&md=####&tst=####&gps=####&s...
api.a####.durianc####.com/api/v1/pkg.jsp?chid=####
cdn.app.1####.####.com/lh
cou####.pe####.m####.com/message/poll?uid=####&osVersion=####&did=####&m...
da####.c####.qini####.com/upload/201904/9/app/20190409172554996.apk
da####.c####.qini####.com/upload/201904/9/img/20190409172553882.png
g####.hun####.com/mobile/distribute.do?deviceid=####
gdv.a.s####.com/cityjson
imgal####.res.m####.com/mediafiles/wiad_creative/1037/1554192597129.jpg
imgal####.res.m####.com/mediafiles/wiad_creative/369/15516892606757.jpg
mob.bz.m####.com/odin/c1/channel/list?uid=####&osVersion=####&mac=####&o...
o####.ac####.api.####.com/artist/getRecommendCollectArtist?uid=####&osVe...
o####.ar####.api.####.com/artist/getArtistListByIds?uid=####&type=####&t...
qin####.com.www.####.com/tdata_EDT369
s5.hun####.com/channel/live?uid=####&osVersion=####&ticket=####&appVersi...
s5.hun####.com/mobile/rank?c=####
s5.hun####.com/mobile/rank?uid=####&osVersion=####&c=####&mac=####&osTyp...
s5.hun####.com/mobile/user?uid=####&c=####&mac=####
s5.hun####.com/recommend?uid=####&platform=####&osVersion=####&mac=####&...
s5.hun####.com/user/getActivity?uid=####&osVersion=####&ticket=####&appV...
s5.hun####.com/v1/config/play?uid=####&osVersion=####&ticket=####&appVer...
s5.hun####.com/v5/listconfig?uid=####&platform=####&osVersion=####&mac=#...
s5.hun####.com/v6/search/recommend?uid=####&osVersion=####&ticket=####&a...
st.bz.m####.com/odin/c1/channel/index?uid=####&osVersion=####&mac=####&o...
t####.c####.q####.####.com/config/bj-bjv7.conf
t####.c####.q####.####.com/config/hz-bjv8.conf
t####.c####.q####.####.com/tdata_AXX896
t####.c####.q####.####.com/tdata_BAI450
t####.c####.q####.####.com/tdata_IcB528
use####.api.max.####.com/person5ad6eea479eeb.png@1wh_1e_1c_0o_0l_130h_13...

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
hi.tencen####.top/wakeup/hx
hi.tencen####.top/wulink/req
log.da.hun####.com/v1/t
m####.api.m####.com/mpns/parseLog
o####.ac####.api.####.com/global/config
res####.a####.com/v3/log/init
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
www.qchann####.cn/center/adj
www.qchann####.cn/center/adj?appkey=####
x.da.hun####.com/json/app/boot
x.da.m####.com/m/page

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-613446676
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/05d9aacfa237
/data/data/####/169e14ded56dd0a11b65cc02ebb5bafdd02088e07ad9e47....0.tmp
/data/data/####/1703720991
/data/data/####/257306020
/data/data/####/257306024
/data/data/####/257306028
/data/data/####/3e304289cd3b71103d37ee2fb132cfb0037512e71267254....0.tmp
/data/data/####/52930ae9a1b2cfaf8c3b7d07e6d442ee
/data/data/####/5c77f90c0b8e9f84427ce435d85e8490
/data/data/####/5e686e3f123922edef6d778e3b64ea53
/data/data/####/614108960
/data/data/####/6164488808ecdfe1bb669cf1488d6e4f
/data/data/####/7620c433961ec9a24133759c06edaf0b
/data/data/####/7c83fc1db7ae9ec26cbdda99f1bd6e4a
/data/data/####/7eff6793e3725b2dba67257df68686f0
/data/data/####/7f7924b050cb25218f67e1c01819864b
/data/data/####/933978904
/data/data/####/DEVI.xml
/data/data/####/ImgoPad-journal
/data/data/####/LIN1001.xml
/data/data/####/LIN1002.xml
/data/data/####/LIN1004.xml
/data/data/####/LIN1005.xml
/data/data/####/LIN1006.xml
/data/data/####/LIN1008.xml
/data/data/####/LIN1009.xml
/data/data/####/LIN1017.xml
/data/data/####/LIN1019.xml
/data/data/####/LIN1020.xml
/data/data/####/LIN1021.xml
/data/data/####/LIN1022.xml
/data/data/####/LIN1023.xml
/data/data/####/LIN1024.xml
/data/data/####/LIN1025.xml
/data/data/####/LIN1026.xml
/data/data/####/LIN1027.xml
/data/data/####/LIN1028.xml
/data/data/####/MGTVCommon.xml
/data/data/####/MGTVCommon.xml.bak (deleted)
/data/data/####/MV3Plugin.ini
/data/data/####/MV3Plugin_Default.ini
/data/data/####/QT.xml
/data/data/####/a0220.xml
/data/data/####/a022001.xml
/data/data/####/arch.xml
/data/data/####/ba89449d71cefdca03e63132fbff5e4cabbbdc4233f5536....0.tmp
/data/data/####/c385.db-journal
/data/data/####/c867ec8bfa1045f3cd8913f24175c684
/data/data/####/cn.com.mma.mobile.tracking.other.xml
/data/data/####/e3abffcba1ef676d18f8ff588fed9926571b10f07bf57de....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/firstedlink.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hmt_agent_commonutill_com.shg.shadow.ying.xml
/data/data/####/hmt_agent_commonutill_device_id.xml
/data/data/####/hmt_agent_online_setting_com.shg.shadow.ying.xml
/data/data/####/hmt_analytics
/data/data/####/hmt_analytics-journal
/data/data/####/hmt_init_savetime.xml
/data/data/####/hmt_irsuid.xml
/data/data/####/hmt_session_id.xml
/data/data/####/hmt_session_id_savetime.xml
/data/data/####/hmt_session_id_savetime.xml.bak
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/isr.xml
/data/data/####/journal.tmp
/data/data/####/last_know_location.xml
/data/data/####/lh_oimsp.xml
/data/data/####/libjiagu-1756485166.so
/data/data/####/multidex.version.xml
/data/data/####/openudid_prefs.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qtsession.xml
/data/data/####/root.db-journal
/data/data/####/run.pid
/data/data/####/tdata_AXX896
/data/data/####/tdata_AXX896.jar
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_IcB528
/data/data/####/tdata_IcB528.jar
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/media/####/.nomedia
/data/media/####/0295d2dcc629da5c4045ac75695025dd
/data/media/####/29d0f7a3e39311596d0911e3075f2dde.apk
/data/media/####/2dfd06a6bcf3760b24357d9606e470fb
/data/media/####/5c019c1a5614e1b0dc85c5e7f24d06cc
/data/media/####/69040f1a17287ce1db2b8c5c3e6fcf76
/data/media/####/AN.csv-20190414233739
/data/media/####/TruthInfo.csv-1555285060341
/data/media/####/UA.csv-20190414233740
/data/media/####/UnicomTrafficFree.log
/data/media/####/apge.csv-20190414233749
/data/media/####/app.db
/data/media/####/cc12c74fd520fa001ab32a0a65a3e25a
/data/media/####/cl.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.shg.shadow.ying.bin
/data/media/####/com.shg.shadow.ying.db
/data/media/####/dv.tmp
/data/media/####/e1861d107f376e84776fb223567fd3ed
/data/media/####/fb7e71a2a94c1cce892cf8f102cd5f22
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal.tmp
/data/media/####/qt.csv.1555285057630.txt
/data/media/####/tdata_AXX896
/data/media/####/tdata_BAI450
/data/media/####/tdata_IcB528
/data/media/####/test.log
/data/media/####/uuid

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.hunantv.imgo.service.GetuiPushService 24864 300 0
cat /proc/cpuinfo
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 777 /storage/emulated/0/a022004/29d0f7a3e39311596d0911e3075f2dde.apk
ls -l /system/bin/su
ls -l /system/xbin/su
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.hunantv.imgo.service.GetuiPushService 24864 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu-1756485166

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней