Adware.Gexin.13411

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.umengc####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) oss.newairc####.com:80
TCP(HTTP/1.1) h5.newairc####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(TLS/1.0) img.newairc####.com:443
TCP(TLS/1.0) oss.newairc####.com:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) h5.newairc####.com:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
a####.umengc####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
h5.newairc####.com
img.newairc####.com
l####.tbs.qq.com
oss.newairc####.com
pub-####.qin####.com
s####.ml####.cc
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
wzw####.newairc####.com

Запросы HTTP GET:

h5.newairc####.com/api/getArticleAdv?sid=####&cid=####&v=####
h5.newairc####.com/api/getComments?sid=####&rootID=####&sourceType=####&...
oss.newairc####.com/wzwb/pic/201704/21/2114ca64-60bc-429a-a92d-5a2a108a1...
oss.newairc####.com/wzwb/pic/201704/21/b086ca81-9aa6-4939-bad4-cc28ef372...
oss.newairc####.com/wzwb/pic/201705/02/cc08e309-cd0a-4dee-85e9-c09478037...
oss.newairc####.com/wzwb/pic/201801/30/c40329e6-eef3-42e9-9099-9716f10b0...
oss.newairc####.com/wzwb/pic/201809/05/dd88d2c5-9897-4472-a30d-7016ed8c6...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ilz707
t####.c####.q####.####.com/tdata_zbA366

Запросы HTTP POST:

a####.u####.com/app_logs
a####.umengc####.com/app_logs
a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
h5.newairc####.com/api/event
l####.tbs.qq.com/ajax?c=####&k=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1312716470
/data/data/####/-1383044514
/data/data/####/-1383044516
/data/data/####/-1383907529
/data/data/####/-1383909358
/data/data/####/-1383909386
/data/data/####/-229922144
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/029cdf56699ef565f0b9533c4380425be6c39f6ddeb4b6a....0.tmp
/data/data/####/029cdf56699ef565f0b9533c4380425be6c39f6ddeb4b6a...a0a2.0
/data/data/####/08c0f028951db147110fb72c0553bb33d3fac2ac360aff9....0.tmp
/data/data/####/1389023919
/data/data/####/1504827130
/data/data/####/1539284607
/data/data/####/1566866744
/data/data/####/1695857311
/data/data/####/17b8bd6b7b08b186e588d3d5f663815c4606615002554f8....0.tmp
/data/data/####/1864066650
/data/data/####/1930e2ab5224
/data/data/####/1c44ac5929894d1222c7691c37527c1f3dae68cbe502867....0.tmp
/data/data/####/1deb38bbd8fd8ac842446357190aecbd8564c615a9f2d8a....0.tmp
/data/data/####/1e0b523b7fcf2e065db510e9ad77d34df52aa5fba73c59d....0.tmp
/data/data/####/1f099775543f0ebf6e299e43fbe966df316011f0a677ac5....0.tmp
/data/data/####/2014269644
/data/data/####/2039331149
/data/data/####/27705611791daf3d766348d2d73286a3ca2a198270a1eec....0.tmp
/data/data/####/2841e44143cddec2b88d08807b1832d0a90d64dd636b75e....0.tmp
/data/data/####/2841e44143cddec2b88d08807b1832d0a90d64dd636b75e...3524.0
/data/data/####/337525857
/data/data/####/386967948
/data/data/####/3bcfb8592d355a9546d297e5cdee1232ed698d17182343c....0.tmp
/data/data/####/3dcccb6ce7bf72bfb62ca11dcae34f7b65fb5479fabfffe....0.tmp
/data/data/####/442afd2ce4258419c4c1d7289ae444e45fdc1a98b5e59b4....0.tmp
/data/data/####/49
/data/data/####/492207906
/data/data/####/4b94561aa0678f335dc33ba9c4d5a5e786dbbfb70b50048....0.tmp
/data/data/####/548235244
/data/data/####/59a86ab082c0440d1624a1308ca79d39e2cadc312049d06....0.tmp
/data/data/####/60425161a2be51401374d152259b35c3a0c6141e428ae9f....0.tmp
/data/data/####/638632452
/data/data/####/69463d914b38bef163039c8ffc2d569b58d3982c4575103....0.tmp
/data/data/####/6fa71cffe75dbb8b0c0330dd5df63dd38c370d4f310343f....0.tmp
/data/data/####/722615433
/data/data/####/7376492_article.js
/data/data/####/73ac180ce852bd17a3c7c345e9654d49b1ead5c4f152f2c....0.tmp
/data/data/####/76dce94f0da41c6441d969dd26783a483bfdc4df75aad94....0.tmp
/data/data/####/7e29f908efa4fbcc27cd736e261efe82e59920a2989f0af....0.tmp
/data/data/####/86b3ebfc6c45e5988af80cd9da058058a87f13b53a33d94....0.tmp
/data/data/####/8ccbd911f637f038466df1bb6f924538a739c1b811c3ec7....0.tmp
/data/data/####/9769b967130be30da48f4da762ebd32963ec5c59d97fa92....0.tmp
/data/data/####/993f6993bb959fc47fbd49293b737a8a87a99bd3824dab3....0.tmp
/data/data/####/FZLTXHK-GBK_YS.ttf
/data/data/####/a4eddc937256e29a2303e7f9507a3ada62c3003a480a296....0.tmp
/data/data/####/a5513db9e8cfc02fddfd8a91ad06ebc1fa66dfca85a9386....0.tmp
/data/data/####/a5ccd60aed49b3a21d0e99979f3c2f0308693f5b134ea9c....0.tmp
/data/data/####/a93ebe0d8c738cfea654434ea7ab9e8a3238b17e9e7d75e....0.tmp
/data/data/####/a9c92d7b8e85a282cb05c3f24ae5497f7f566491ee9d5ba....0.tmp
/data/data/####/ab9881c69de57395d8154e419da764a1d78ebdf0eed21e7....0.tmp
/data/data/####/amazeui.min.css
/data/data/####/amazeui.min.js
/data/data/####/angular1.4.6.min.js
/data/data/####/article.js
/data/data/####/b039ec36c94f339a77e4dac57db8e765df46f905665a502....0.tmp
/data/data/####/b7eadce70f197040006d6226dbe0834f820dd812360bbe2....0.tmp
/data/data/####/b83b98625dbc8adfa618acc4c9f27bbab4925be66013ba6....0.tmp
/data/data/####/base.css
/data/data/####/be91867c2b97b5ac6503f2e5ba3607e237565bd01d2aace....0.tmp
/data/data/####/c0fbf373f45276f51eb9561bae6cc1cb240f3b20b998017....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cef01e9c4ae5b46f4188028997d136de94fdb72017f64b4....0.tmp
/data/data/####/columnId.xml
/data/data/####/core_info
/data/data/####/d3cd52cbca7f509efbf48ec7a473005378f624ffbfce2f9....0.tmp
/data/data/####/d5f03fb901b6ee73fb8cc33e7ed0108c2c1750dd5e2980e....0.tmp
/data/data/####/d6c78cc75b29f57f190538c125fca19706c8f081e2af78b....0.tmp
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db08ec98a8f342c3e27208eda3ddc9d979782a13c4dd174....0.tmp
/data/data/####/db_founder0-journal
/data/data/####/debug.conf
/data/data/####/device_id.xml.xml
/data/data/####/e52063b2dedbd0a46da1987ed1f0874261a161dca777301....0.tmp
/data/data/####/e6f26b7cd6817f9e7f249bfe2df700bf288efeff36b9870....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f4f91627e44a3b1684cd8ed1cdbcf056f471482a05faf83....0.tmp
/data/data/####/f587da14c32558e30dc4aa6c951ec997db33f5d871064d0....0.tmp
/data/data/####/f8cfbaaa6e3a1c94939e5600252305674278fb3ecbe775b....0.tmp
/data/data/####/f8cfbaaa6e3a1c94939e5600252305674278fb3ecbe775b...6837.0
/data/data/####/f9368bc5669c48fb0dccb3e7b7a506a02d9d0c0a7c2dbf0....0.tmp
/data/data/####/f_000001
/data/data/####/ff41a720d59df452329f4a256e9e78661950000f4af6770....0.tmp
/data/data/####/file__0.localstorage-journal
/data/data/####/fontawesome-webfont.ttf
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/great_button.png
/data/data/####/great_cancel_button.png
/data/data/####/gx_sp.xml
/data/data/####/helpMsg.xml
/data/data/####/icon-images.png
/data/data/####/icon_audio_play.png
/data/data/####/icon_file.png
/data/data/####/icon_file_down.png
/data/data/####/icon_meta_voice.png
/data/data/####/icon_selector_normal.png
/data/data/####/icon_selector_press.png
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/journal.tmp
/data/data/####/jquery.min2.2.0.js
/data/data/####/js.combine.js
/data/data/####/js.combine.min.js
/data/data/####/libjiagu.so
/data/data/####/loading.png
/data/data/####/multidex.version.xml
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/news_detail.html
/data/data/####/persistent_data.xml
/data/data/####/persistent_data.xml.bak
/data/data/####/play.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reader.db-journal
/data/data/####/run.pid
/data/data/####/sanjiaoxing.png
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ilz707
/data/data/####/tdata_ilz707.jar
/data/data/####/tdata_zbA366
/data/data/####/tdata_zbA366.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1557573353746.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/video.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wenzhou.png
/data/media/####/.nomedia
/data/media/####/app.db
/data/media/####/com.founder.wenzhou.bin
/data/media/####/com.founder.wenzhou.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal.tmp
/data/media/####/localTemplate.zip
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ilz707
/data/media/####/tdata_zbA366
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 24950 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GeTuiPushService 24950 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней