Adware.Gexin.12571

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) cashtou####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) reso####.a####.com:80
TCP(HTTP/1.1) acti####.russi####.cn:80
TCP(HTTP/1.1) co####.cdn.fee####.com:80
TCP(HTTP/1.1) api.an####.huadong####.com:80
TCP(HTTP/1.1) en####.tui####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) img.cashtou####.com:80
TCP(HTTP/1.1) con####.com####.api.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) api.a####.com:80
TCP(HTTP/1.1) api.cashtou####.com:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) api.a####.cp.####.com:80
TCP(HTTP/1.1) api.os.huadong####.com:80
TCP(HTTP/1.1) sf6-ttc####.ps####.com.####.com:80
TCP(HTTP/1.1) ad.p####.huisuo####.com:80
TCP(HTTP/1.1) ap####.g####.com:80
TCP(HTTP/1.1) i####.huadong####.com:80
TCP(TLS/1.0) scd.col####.cashtou####.com:8106
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) img.cp.cashtou####.com:443
TCP(TLS/1.0) f####.cashtou####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) c####.baidust####.com:443
TCP(TLS/1.0) webreso####.cp.cashtou####.com:443
TCP(TLS/1.0) api####.me####.com:443
TCP(TLS/1.0) co####.cdn.fee####.com:443
TCP(TLS/1.0) api.dp.huadong####.com:443
TCP(TLS/1.0) h5.cp.cashtou####.com:443
TCP(TLS/1.0) fp.fraudme####.cn:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) con####.com####.api.####.com:443
TCP(TLS/1.0) sdkc####.e.360.cn:443
TCP(TLS/1.0) i####.huadong####.com:443
TCP(TLS/1.0) is.sn####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
acti####.russi####.cn
ad.p####.huisuo####.com
and####.cli####.go####.com
ap####.g####.com
api####.me####.com
api.a####.com
api.a####.cp.####.com
api.an####.huadong####.com
api.cashtou####.com
api.dp.huadong####.com
api.m####.huadong####.com
api.os.huadong####.com
b####.g####.com
b####.g####.com
c####.baidust####.com
c####.g####.com
c####.g####.com
c####.g####.ig####.com
c-h####.g####.com
cashtou####.oss-cn-####.aliy####.com
co####.cdn.fee####.com
con####.com####.api.####.com
en####.tui####.com
f####.cashtou####.com
fp.fraudme####.cn
h5.cp.cashtou####.com
hm.b####.com
i####.huadong####.com
img.cashtou####.com
img.cp.cashtou####.com
is.sn####.com
lf.sn####.com
norma-e####.m####.com
plb####.u####.com
pos.b####.com
reso####.a####.com
scd.col####.cashtou####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sdkc####.e.360.cn
sf6-ttc####.ps####.com
u####.u####.com
webreso####.cp.cashtou####.com
yun.russi####.cn
yun.tuis####.com

Запросы HTTP GET:

acti####.russi####.cn/activity/index?id=####&slotId=####&login=####&appK...
api.a####.com/frontend/tracking/expclose?id=/engine.tuicoco.com/index/ac...
api.a####.com/frontend/tracking/exposure?id=####
api.a####.com/frontend/tracking/exposure?id=eyJh####
api.a####.cp.####.com/local/channel/get
cashtou####.oss-cn-####.aliy####.com/package/huitoutiaoH019-59-4.0.6.3.txt
co####.cdn.fee####.com/feedadx/pkgcheck
en####.tui####.com/index/activity?appKey=####&adslotId=####
i####.huadong####.com/media/picture/20190227/639ed3dd51a84944a0cbe754766...
i####.huadong####.com/media/picture/20190419/f9451c5f5a4544dba917c4d8bd9...
img.cashtou####.com/splash/image/zhuanpan.jpg
norma-e####.m####.com/android/exchange/getpublickey.do
reso####.a####.com/apollo/picture/20190419/1bbc3e43e8f541f4a40871989f5ba...
sf6-ttc####.ps####.com.####.com/obj/mosaic-legacy/1eb170008975106dd2aa1
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_YaD649

Запросы HTTP POST:

ad.p####.huisuo####.com/cash/newsdetail/own/big/ad/strategy?id=####&appV...
ad.p####.huisuo####.com/cash/newsdetail/own/list/ad/strategy?id=####&app...
ad.p####.huisuo####.com/cash/newsdetail/own/recommend/ad/strategy?id=###...
ad.p####.huisuo####.com/cash/v1/ad/request
ad.p####.huisuo####.com/cash/v1/ad/strategy?id=####&appVersion=####
ad.p####.huisuo####.com/cash/v1/bid/ad/request
ad.p####.huisuo####.com/cash/v1/top/ad/request
ad.p####.huisuo####.com/cash/v1/top/reward/ad/request
ap####.g####.com/bd
ap####.g####.com/rp
api.a####.cp.####.com/attention/common/configs
api.a####.cp.####.com/headLine/getVideoAndArticleNoCoverApi
api.a####.cp.####.com/search/hot-article/isChange?userId=####&loginId=####
api.a####.cp.####.com/search/keyword/search/hotwords/get?userId=####&log...
api.an####.huadong####.com/frontend/event/collect/activate
api.an####.huadong####.com/frontend/event/collect/news/action
api.cashtou####.com/frontend/account/check/state?userId=####&loginId=####
api.cashtou####.com/frontend/account/info?userId=####&loginId=####
api.cashtou####.com/frontend/antifraud/package/list?userId=####&loginId=...
api.cashtou####.com/frontend/collection/check?userId=####&loginId=####
api.cashtou####.com/frontend/config/bean
api.cashtou####.com/frontend/config/bean?userId=####&loginId=####
api.cashtou####.com/frontend/config/region
api.cashtou####.com/frontend/homepage/treasure/box/obtain?userId=####&lo...
api.cashtou####.com/frontend/homepage/treasure/box/query?userId=####&log...
api.cashtou####.com/frontend/login/by/device?userId=####&loginId=####
api.cashtou####.com/frontend/news/channel?userId=####&loginId=####
api.cashtou####.com/frontend/order/list?userId=####&loginId=####
api.cashtou####.com/frontend/read/config/rule?userId=####&loginId=####
api.cashtou####.com/frontend/read/config?userId=####&loginId=####
api.cashtou####.com/frontend/read/encourage/v2/query?userId=####&loginId...
api.cashtou####.com/frontend/reward/ad/config/ad/amount?userId=####&logi...
api.cashtou####.com/frontend/video/channel/info?userId=####&loginId=####
api.cashtou####.com/frontend/video/treasure/box/query?userId=####&loginI...
api.os.huadong####.com/frontend/pull/self
api.os.huadong####.com/frontend/tongdun/sync
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
con####.com####.api.####.com/comment/commentNum
norma-e####.m####.com/push/android/external/add.do
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cfg.htt
/data/data/####/.channel.all.info
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.read.url.list
/data/data/####/.self.video.channel.all.info
/data/data/####/.td-3
/data/data/####/.tdck
/data/data/####/.uis.uif
/data/data/####/11c8f44df269646376bcbb109736610d.0.tmp
/data/data/####/11c8f44df269646376bcbb109736610d.1.tmp
/data/data/####/134679482htt_gdata-journal
/data/data/####/16236d8b7a1f1a9300e945a3c2a208e5.0.tmp
/data/data/####/16236d8b7a1f1a9300e945a3c2a208e5.1.tmp
/data/data/####/20126e1eef980ad27593001d39e39382.0.tmp
/data/data/####/20126e1eef980ad27593001d39e39382.1.tmp
/data/data/####/4931121460dee4e95deece50aca1b536.0.tmp
/data/data/####/4931121460dee4e95deece50aca1b536.1.tmp
/data/data/####/588b25eb7394e61ebc3f55c6aa3e26b8.0.tmp
/data/data/####/588b25eb7394e61ebc3f55c6aa3e26b8.1.tmp
/data/data/####/8c26a9de9a09eb746f6a084c74c1e0c1df3ce9b6cf53b1f....0.tmp
/data/data/####/9810a634a4910d436e70f33c20289810.0.tmp
/data/data/####/9810a634a4910d436e70f33c20289810.1.tmp
/data/data/####/AKTorchDownload.db-journal
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ApplicationCache.db-journal (deleted)
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a==7.5.4&&4.0.6.3_1555783587677_envelope.log
/data/data/####/ac1a158a64f19f2f96c8d35405ad762f.0.tmp
/data/data/####/ac1a158a64f19f2f96c8d35405ad762f.1
/data/data/####/ad_strategy_file_news
/data/data/####/ad_strategy_file_self_news_ad_banner
/data/data/####/ad_strategy_file_self_news_ad_banner_below
/data/data/####/ad_strategy_file_self_news_ad_flow
/data/data/####/bfef06d512cf529d77203984a5d87917.0.tmp
/data/data/####/bfef06d512cf529d77203984a5d87917.1
/data/data/####/cloud_switch_cache
/data/data/####/com.cashtoutiao-journal
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU1NzgzNTg2ODg1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/downloader.db-journal
/data/data/####/ec4f6b8a1857d2ab21d6469cacff5bf3.0.tmp
/data/data/####/ec4f6b8a1857d2ab21d6469cacff5bf3.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/fe7d353d9a26b11d1903cb47755f28ef.0.tmp
/data/data/####/fe7d353d9a26b11d1903cb47755f28ef.1.tmp
/data/data/####/fm_shared.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gin.db-journal
/data/data/####/gis.db-journal
/data/data/####/gtc.db-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&4.0.6.3_1555783587109_envelope.log
/data/data/####/img1519276009
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu767591267.so
/data/data/####/local_channel.xml
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/ml-region-10.db.tmp
/data/data/####/multidex.version.xml
/data/data/####/mz_push_preference.xml
/data/data/####/overall_config.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/profile_torch_platform
/data/data/####/pull_live_sp.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sensorsdata.xml
/data/data/####/tdata_YaD649.jar
/data/data/####/tdata_YaD649241668434.tmp
/data/data/####/torch_sdk_config.xml
/data/data/####/toutiao.preferences.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromium.db-journal (deleted)
/data/data/####/zone.json
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.sfp
/data/media/####/.sysid
/data/media/####/.td-3
/data/media/####/.tdck
/data/media/####/.testf
/data/media/####/.umm.dat
/data/media/####/2019-04-20.log.txt
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.cashtoutiao.bin
/data/media/####/com.cashtoutiao.db
/data/media/####/com.cashtoutiao_.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_YaD649
/data/media/####/test.log
/data/media/####/uninstall_apk_list

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getuipush.GeTuiPushService 24553 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop net.dns1
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id
ls /
ls /sys/class/thermal
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getuipush.GeTuiPushService 24553 300 0

Загружает динамические библиотеки:

getuiext3
libjiagu767591267
tongdun

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
desede-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней