Adware.Gexin.13061

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) i####.hua.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(TLS/1.0) fx####.b####.com:443
TCP(TLS/1.0) www.google-####.com:443
TCP(TLS/1.0) a####.te####.cn:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) f####.b####.com:443
TCP(TLS/1.0) www.googlet####.com:443
TCP(TLS/1.0) a####.hua.com:443
TCP(TLS/1.0) i####.hua.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.hua.com
a####.te####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
cgi.con####.qq.com
f####.b####.com
fx####.b####.com
hm.b####.com
i####.hua.com
i####.hua.com
l####.tbs.qq.com
plb####.u####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com
www.google-####.com
www.googlet####.com

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
i####.hua.com/uploadpic/baikeimg/by_20181207163233667.jpg
i####.hua.com/uploadpic/baikeimg/by_20190301100332462.jpg
i####.hua.com/uploadpic/baikeimg/by_20190411101400680.jpg
i####.hua.com/uploadpic/baikeimg/by_20190411104626743.jpg
i####.hua.com/uploadpic/baikeimg/by_20190411135101900.jpg
i####.hua.com/uploadpic/baikeimg/by_20190411153105508.jpg
i####.hua.com/uploadpic/baikeimg/by_20190417170648170.jpg
i####.hua.com/uploadpic/baikeimg/by_20190417190804810.jpg
i####.hua.com/uploadpic/baikeimg/by_20190423180240423.jpg
i####.hua.com/uploadpic/baikeimg/by_20190429140036738.jpg
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_duV457
t####.c####.q####.####.com/tdata_mSr887

Запросы HTTP POST:

aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0b436390fa4e055fbc154c43ea04a6d9a25a2ea0b97cb59....0.tmp
/data/data/####/0d16f3574b10b97f6723849257af405df70b1a6921567ce....0.tmp
/data/data/####/0f1d5ffbcd25da8689782140d872e68d59353fbc0b7847d....0.tmp
/data/data/####/1004
/data/data/####/17fe821f879e
/data/data/####/18d4d65759e36e4fc50102bf51ad87b10e8d37caa017774....0.tmp
/data/data/####/1aab227498401df151c514cadc7b8d42081802a3e953d3f....0.tmp
/data/data/####/1d9483c1fa841b1f5af1742eee679b2c754c12dea5d9489....0.tmp
/data/data/####/1dcc9b9601fc3632a1340c08660b5ccaec0cbc30368ef89....0.tmp
/data/data/####/214f2155e6567f5bc9927e955f4927804243663eda4dc9f....0.tmp
/data/data/####/22bbfdd2b70e54f1f5cdb98ecff8eb6810f9bd389057d79....0.tmp
/data/data/####/2569ae3eea34425e2f3b2cf323c570c1a142f586e2ce5d8....0.tmp
/data/data/####/268822eff40bf58f8702e61f2bfecaf3ffcbcae6f51c5f8....0.tmp
/data/data/####/2f7fb04bfe219b90db723b2a003c88f411a0188c0c607aa....0.tmp
/data/data/####/331dafcc19591d6d0c79aaa317e96cf3ec9dd502da6e1d4....0.tmp
/data/data/####/3864286e392220d2213f757b442efb0321b5f0a5c5495c8....0.tmp
/data/data/####/3c96d7a5ac3c294a0c29b21805b4c30f85e07a13dadf7dc....0.tmp
/data/data/####/3ffa9f959f377e29345fed36ce513f5466d4f17658e48eb....0.tmp
/data/data/####/41b4460c846ee415980796c8ff770956dfc3ed23a9038ab....0.tmp
/data/data/####/488095aba30926f23ad654bef4792d5f28531c9b3634465....0.tmp
/data/data/####/4e5b5bd889dde48c3f4189aee4e3ae8871575aca7dae365....0.tmp
/data/data/####/65614974950103829851721ca6f5314e417cf01e9b5d69d....0.tmp
/data/data/####/69de24c2a7a9ea275fb469ce38354296160a2377a312284....0.tmp
/data/data/####/6b97440ca4b4c28fec3258501c5d69c32e1458390d91b49....0.tmp
/data/data/####/7a85f1986ff62cc22693fa4ff703f96a75d1d05b2bcfc82....0.tmp
/data/data/####/7bf3b88191c39ada9f67df670296542e39cce59d9b4fa72....0.tmp
/data/data/####/7d281b7769ca2af606b40020f7747a6ff05cbd78c6ad3f7....0.tmp
/data/data/####/8b0294721d551e5bb33f5c00f238208ac20e6e8c9afec79....0.tmp
/data/data/####/90dd824ecb0ec6ef7ee02bd805ba5d50933a8c47a9e3022....0.tmp
/data/data/####/93ba2efb45899312e58a91d65f4da34b5e90e989d438c4d....0.tmp
/data/data/####/9adddb29816d03643fd51a9f870211aca98771c8f9807cc....0.tmp
/data/data/####/9d8b278e588d76be04a623461688ea9ec94e5db74f5654b....0.tmp
/data/data/####/9e012755b26da0f6350d6839129a729cc5cbcb6357c5a8a....0.tmp
/data/data/####/MultiDex.lock
/data/data/####/TESTIN_AB.xml
/data/data/####/TESTIN_AB_EXP.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/_nohttp_cache_db.db
/data/data/####/_nohttp_cache_db.db-journal
/data/data/####/_nohttp_cookies_db.db
/data/data/####/_nohttp_cookies_db.db-journal
/data/data/####/a0b8131535ca983526750466135d8c7598e53751ae05235....0.tmp
/data/data/####/a==7.5.4&&5.3_1556686124335_envelope.log
/data/data/####/abTestin.db-journal
/data/data/####/aec1fa58e7da723d19f324bfbc9beb9ec928472139b6207....0.tmp
/data/data/####/b19166fe4e8d3e072b211aaa873fc034c2f9711c2833978....0.tmp
/data/data/####/b9e5de35ca9de6dc00336dd9e80d94bed4e5669d56018ce....0.tmp
/data/data/####/bb2585e796be62dec8915a2c1918948592039dfecb97861....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c241789205786e4d4a3a830f42b9374c756fefdada18c8a....0.tmp
/data/data/####/c57587d0a75666a59a5a2277eb233802fea524c37e26860....0.tmp
/data/data/####/c7eb5228c6765958753e0980a8d5680512119aa228567de....0.tmp
/data/data/####/c85a77b0439cc1c8f846917a09e1028792f78a31f8b0e88....0.tmp
/data/data/####/c982f60ae419129c85af3158f09cf7468cd7ff231a255a5....0.tmp
/data/data/####/ca3776b6de7e1c980c2214b3b0291198095e38d4cee5e67....0.tmp
/data/data/####/cbd7bdf2557d98b015c293bffe0cb8667d93a3ede52ec8e....0.tmp
/data/data/####/cc8495d20480a40fd96de26d1bd3c79ef35e3b9285ee301....0.tmp
/data/data/####/cd9f952d3ae4fdff8fbaa04d19d1109130c16952322fc81....0.tmp
/data/data/####/ce1aeb948e754b3e85d9993ecd4dfd49b216f1bbd09e141....0.tmp
/data/data/####/com.hua.order_preferences.xml
/data/data/####/com.tencent.open.config.json.1102579750
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d19bc93f8a25a8ea9ac710f4aac6ef0eca15e2f8d2ada96....0.tmp
/data/data/####/d9147916e1909d96f361ad2caa6d4a304bcb74c5ca94a21....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU2Njg2MTIzNjQ1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/ec5984493d0c0639ddec00a4c7b0df6ab61a85ee6849fb9....0.tmp
/data/data/####/ece49960b5f5aab171a0c2f13d373935d21f9c06b5bfcbd....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f50b0e7e4cf8c34e7322f7bc78cba3198055188082ef438....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/fe7f70045d5fdc820bffedf5ffb030d6c74227571037022....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&5.3_1556686123750_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_duV457
/data/data/####/tdata_duV457.jar
/data/data/####/tdata_mSr887
/data/data/####/tdata_mSr887.jar
/data/data/####/testin.ab.allocation.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.experiment.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.visualTESTIN_ac82fc07d-9fc7-4a1f-a701...07.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/visualeditor.changes.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/4DyOQTU2bbOx00gaPOkL6g
/data/media/####/HomeBeanV15.3.bean
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.hua.order.bin
/data/media/####/com.hua.order.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Jga153
/data/media/####/tdata_bca864
/data/media/####/tdata_duV457
/data/media/####/tdata_mSr887
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24269 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24269 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-3.0.0.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней