Adware.Gexin.13325

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) www.4####.com:80
TCP(HTTP/1.1) gm.mm####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) hm.b####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) pco####.ta####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) i####.zhijia####.cn:80
TCP(HTTP/1.1) h####.505####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) norepea####.d####.cn:80
TCP(HTTP/1.1) gongju####.9####.cn:80
TCP(HTTP/1.1) g####.439####.net:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) gongju####.9####.cn:443
TCP(TLS/1.0) h####.b####.com.####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
api.map.b####.com
c####.g####.ig####.com
c####.mm####.com
c-h####.g####.com
c.c####.com
g####.439####.net
g####.zhijia####.cn
gongju####.9####.cn
h####.505####.com
h####.b####.com
h.4####.com
hm.b####.com
i####.zhijia####.cn
l####.tbs.qq.com
loc.map.b####.com
log.u####.com
norepea####.d####.cn
pco####.c####.com
plb####.u####.com
pub-####.qin####.com
s19.c####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sz####.4####.com
u####.u####.com
www.4####.com
z8.c####.com

Запросы HTTP GET:

c.c####.com/core.php?web_id=####&t=####
c.c####.com/stat.php?id=####
g####.439####.net/s?uid=####&vid=####&m=####&f=####&c=####&game=####&t=#...
gm.mm####.com/9.gif?abc=####&rnd=####
gongju####.9####.cn/games_shengzichuansuo/css/html5_play3.css
gongju####.9####.cn/games_shengzichuansuo/jss/h5_click.js
gongju####.9####.cn/games_shengzichuansuo/jss/html5_favorite.js
gongju####.9####.cn/games_shengzichuansuo/jss/html5_play12.js
gongju####.9####.cn/games_shengzichuansuo/jss/jquery-2.1.1.min.js
gongju####.9####.cn/games_shengzichuansuo/jss/logoFrame.js
gongju####.9####.cn/games_shengzichuansuo/play/1.html
h####.505####.com/click.js?id=####
hm.b####.com/h.js?1be395e####
hm.b####.com/h.js?699cec7####
hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180412/big/73ba97ed-97bb...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180510/big/32e14064-9a52...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180510/big/6c968842-1cff...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180510/big/7c63cd51-005e...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180518/big/7048c44d-4eba...
i####.zhijia####.cn//UpLoadFiles/gongjutubiao/20180524/big/f4e0bd24-827d...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/0aee3324-f954-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/1a46c0b6-23de-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/3fe6b424-3d50-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/5003eeae-f625-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/d6f149c7-40ed-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180411/big/f97dce27-163f-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180412/big/13b23e18-63cf-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180428/big/063fe828-4085-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180428/big/4ebe821b-9c1d-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180508/big/148f578b-f1b6-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180508/big/2dfc9b6f-9afb-...
i####.zhijia####.cn/UpLoadFiles/gongjutubiao/20180508/big/94c95110-3e97-...
norepea####.d####.cn/gongju/zhijiancha.html
pco####.ta####.com/app.gif?&cna=####
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Gfv491
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_ZvO248
t####.c####.q####.####.com/tdata_zzW503
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/Buildi...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/UI/Men...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/UI/ico...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/UI/ui@...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/empty....
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/hand@2...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/head@2...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/lowerL...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/orient...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/softga...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/torso@...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/assets/upperL...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/css/styleshee...
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/game.htm
www.4####.com/4399swf/upload_swf/ftp24/gamehwq/20180116/17/softgames_gam...
www.4####.com/images/play/bg.png
www.4####.com/js/serverszhong.js

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
loc.map.b####.com/sdk.php
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/13212bf218ef2c0d2f9b440dfdf51a2af9736561075fcd6....0.tmp
/data/data/####/2f6ae05244580fc84ee7c16991a12d1898bd859142abff9....0.tmp
/data/data/####/338b449ed47497e3d4099b0c6695840a08cb723117df11e....0.tmp
/data/data/####/3693166afd8bdde721f947549c576732929818686d970ef....0.tmp
/data/data/####/395d9fef2bb47e92c138aae55f3c895bb4f81b16974d374....0.tmp
/data/data/####/3df5344a5d2f224c73efd4f5ce6eae2f56a1e0a94c69523....0.tmp
/data/data/####/423b9e091715
/data/data/####/5feece8d4da549869f1843c30b570e0826ab2f8aefdf663....0.tmp
/data/data/####/675107d966ef1257271e4ea221f7ab3d9f97868b273971b....0.tmp
/data/data/####/6f013f036fe1de543f8ba37f4947ddaaed007d5e41b6365....0.tmp
/data/data/####/920159e1cacec8ba3a9569804d844ffed622705ce69b35c....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/a3d2d13f907118f5b453df4fbde5350244c57fa3c811315....0.tmp
/data/data/####/a7c91e905e74e9d7934f7d5ec0724a8018ee0bd18a168c6....0.tmp
/data/data/####/a==7.5.1&&1.4.1_1557429767170_envelope.log
/data/data/####/advert_fullscreen_data
/data/data/####/authStatus_cn.jiujiudai.zhijiancha.xml
/data/data/####/authStatus_cn.jiujiudai.zhijiancha;remote.xml
/data/data/####/b47ffb31d08307ae2b16ae9af882ee6e402caab28f1750a....0.tmp
/data/data/####/cc990e2bffb8406585d342bcc45a2ff979492b56eb243b6....0.tmp
/data/data/####/config
/data/data/####/core_info
/data/data/####/dW1weF9zaGFyZV8xNTU3NDI5Nzc4ODc1;
/data/data/####/dW1weF9zaGFyZV8xNTU3NDI5Nzc5MDg3;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/e1a1168297defec8a9cf1f1a3c34c441dcbe72d3959fb18....0.tmp
/data/data/####/e6a9dccc03bb8cde7af1a0584ef2e4902510790b501b08d....0.tmp
/data/data/####/ee10e5f0a351c16f9541a1c3eee7c0aca1ffabaa0c324b7....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f5b9f9c0eb53f8f77a5f9b9204b9a5a0bd66ea2de80bcb2....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu-889750938.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rongxie.db-journal
/data/data/####/run.pid
/data/data/####/share.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Gfv491
/data/data/####/tdata_Gfv491.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_ZvO248
/data/data/####/tdata_ZvO248.jar
/data/data/####/tdata_zzW503
/data/data/####/tdata_zzW503.jar
/data/data/####/total_utils_data
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.cuid2
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/cn.jiujiudai.zhijiancha.bin
/data/media/####/cn.jiujiudai.zhijiancha.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Gfv491
/data/media/####/tdata_MkX219
/data/media/####/tdata_ZvO248
/data/media/####/tdata_zzW503
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/cn.jiujiudai.rongxie.rx99dai.gaiban.app.service.GPushService 25308 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-889750938.so
getprop ro.product.cpu.abi
mount
sh

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-889750938
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней