Adware.Gexin.12445

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) s####.milian####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) mobile-####.newr####.com:443
TCP(TLS/1.0) api.y####.me:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.man.aliy####.com
ad####.m.ta####.com
ada####.m.ta####.com
api.y####.me
c####.g####.ig####.com
c-h####.g####.com
lbs.net####.im
mobile-####.newr####.com
mobile-####.newr####.com
plb####.u####.com
pub-####.qin####.com
s####.milian####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com
wa####.127.net
wfd.net####.im

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Gfv491
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_iRz660
t####.c####.q####.####.com/tdata_zzW503

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
c-h####.g####.com/api.php?format=####&t=####
s####.milian####.com/api/count?action=####&app=####&sex=####&channel=###...
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/2019-04-18T02;34;39.836+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;34;46.946+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;34;54.001+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;00.364+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;07.365+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;13.624+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;20.468+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;27.322+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;35.499+00;00-IS_SILENT.stacktrace
/data/data/####/2019-04-18T02;35;43.047+00;00-IS_SILENT.stacktrace
/data/data/####/ACRA-INSTALLATION
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/NIMSDK_Config_4fb272b22e546b28cb7d80ffe329b526.xml
/data/data/####/NRAnalyticAttributeStore.xml
/data/data/####/NRCrashStore.xml
/data/data/####/UTCommon.xml
/data/data/####/a11efb60f468
/data/data/####/a==7.5.3&&6.5.2.3_1555554878542_envelope.log
/data/data/####/ap.Lock
/data/data/####/com.newrelic.android.agent.v1_me.yidui.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0ODc3ODUw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0ODg1MjYy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0ODk4Nzg0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0ODkyMzAx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTA1Mzg3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTE4NDk3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTExNjEy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTI1NTcx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTMzNjk3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NTU0OTQxMDIx;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&6.5.2.3_1555554877913_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554885294_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554892314_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554898763_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554905419_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554911679_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554918517_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554925609_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554933749_envelope.log
/data/data/####/i==1.2.0&&6.5.2.3_1555554941245_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-1745532112.so
/data/data/####/me.yidui_preferences.xml
/data/data/####/multidex.version.xml
/data/data/####/nr_installation
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/tdata_Gfv491
/data/data/####/tdata_Gfv491.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_iRz660
/data/data/####/tdata_iRz660.jar
/data/data/####/tdata_zzW503
/data/data/####/tdata_zzW503.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/yidui.db-journal
/data/data/####/yidui.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/me.yidui.bin
/data/media/####/me.yidui.db
/data/media/####/nim_sdk.log
/data/media/####/sysid.dat
/data/media/####/tdata_Gfv491
/data/media/####/tdata_MkX219
/data/media/####/tdata_iRz660
/data/media/####/tdata_zzW503
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.tanliani.service.GetuiPushService 23804 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1745532112.so
dumpsys meminfo 2299
dumpsys meminfo 2561
dumpsys meminfo 2698
dumpsys meminfo 2840
dumpsys meminfo 2958
dumpsys meminfo 3074
dumpsys meminfo 3195
dumpsys meminfo 3322
dumpsys meminfo 3464
dumpsys meminfo 3609
logcat -t 100 -v time
ls /sys/class/thermal
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.tanliani.service.GetuiPushService 23804 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu-1745532112
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней