Adware.Gexin.13435

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227
TCP 1####.92.13.100:8614

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
and####.cli####.go####.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
c.sz.gt.####.com
e####.t####.cn
mt####.go####.com
nav.cn.ron####.com
s####.cn.ron####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
t####.c####.q####.####.com/tdata_aBz764

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/COUNTLY_STORE.xml
/data/data/####/RongPush.xml
/data/data/####/Statistics.xml
/data/data/####/authStatus_com.zzu.ehome.ehomefordoctor.xml
/data/data/####/authStatus_com.zzu.ehome.ehomefordoctor;ipc.xml
/data/data/####/authStatus_com.zzu.ehome.ehomefordoctor;pushservice.xml
/data/data/####/authStatus_io.rong.push.xml
/data/data/####/bugly_db_legu
/data/data/####/bugly_db_legu-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libshella-2.10.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_aBz764
/data/data/####/tdata_aBz764.jar
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.zzu.ehome.ehomefordoctor.db
/data/media/####/crash-2019-05-11-18-54-56-1557600896551.log
/data/media/####/crash-2019-05-11-18-54-58-1557600898772.log
/data/media/####/crash-2019-05-11-18-55-00-1557600900982.log
/data/media/####/crash-2019-05-11-18-55-02-1557600902653.log
/data/media/####/crash-2019-05-11-18-55-04-1557600904243.log
/data/media/####/crash-2019-05-11-18-55-05-1557600905658.log
/data/media/####/crash-2019-05-11-18-55-07-1557600907184.log
/data/media/####/crash-2019-05-11-18-55-08-1557600908705.log
/data/media/####/crash-2019-05-11-18-55-09-1557600909874.log
/data/media/####/crash-2019-05-11-18-55-11-1557600911535.log
/data/media/####/crash-2019-05-11-18-55-12-1557600912742.log
/data/media/####/crash-2019-05-11-18-55-14-1557600914487.log
/data/media/####/crash-2019-05-11-18-55-15-1557600915713.log
/data/media/####/crash-2019-05-11-18-55-16-1557600916988.log
/data/media/####/crash-2019-05-11-18-55-18-1557600918169.log
/data/media/####/crash-2019-05-11-18-55-19-1557600919472.log
/data/media/####/crash-2019-05-11-18-55-20-1557600920714.log
/data/media/####/crash-2019-05-11-18-55-21-1557600921917.log
/data/media/####/crash-2019-05-11-18-55-23-1557600923325.log
/data/media/####/crash-2019-05-11-18-55-24-1557600924789.log
/data/media/####/crash-2019-05-11-18-55-25-1557600925881.log
/data/media/####/crash-2019-05-11-18-55-27-1557600927511.log
/data/media/####/crash-2019-05-11-18-55-28-1557600928738.log
/data/media/####/crash-2019-05-11-18-55-30-1557600930573.log
/data/media/####/crash-2019-05-11-18-55-31-1557600931828.log
/data/media/####/crash-2019-05-11-18-55-33-1557600933103.log
/data/media/####/crash-2019-05-11-18-55-34-1557600934436.log
/data/media/####/crash-2019-05-11-18-55-36-1557600936078.log
/data/media/####/crash-2019-05-11-18-55-37-1557600937535.log
/data/media/####/crash-2019-05-11-18-55-39-1557600939020.log
/data/media/####/crash-2019-05-11-18-55-40-1557600940461.log
/data/media/####/crash-2019-05-11-18-55-41-1557600941645.log
/data/media/####/crash-2019-05-11-18-55-43-1557600943287.log
/data/media/####/crash-2019-05-11-18-55-44-1557600944700.log
/data/media/####/crash-2019-05-11-18-55-45-1557600945795.log
/data/media/####/crash-2019-05-11-18-55-47-1557600947060.log
/data/media/####/crash-2019-05-11-18-55-48-1557600948372.log
/data/media/####/crash-2019-05-11-18-55-49-1557600949475.log
/data/media/####/crash-2019-05-11-18-55-50-1557600950631.log
/data/media/####/crash-2019-05-11-18-55-51-1557600951786.log
/data/media/####/crash-2019-05-11-18-55-53-1557600953083.log
/data/media/####/crash-2019-05-11-18-55-54-1557600954221.log
/data/media/####/crash-2019-05-11-18-55-55-1557600955634.log
/data/media/####/crash-2019-05-11-18-55-56-1557600956838.log
/data/media/####/crash-2019-05-11-18-55-58-1557600958130.log
/data/media/####/crash-2019-05-11-18-55-59-1557600959751.log
/data/media/####/crash-2019-05-11-18-56-01-1557600961201.log
/data/media/####/crash-2019-05-11-18-56-02-1557600962510.log
/data/media/####/crash-2019-05-11-18-56-04-1557600964011.log
/data/media/####/crash-2019-05-11-18-56-07-1557600967969.log
/data/media/####/crash-2019-05-11-18-56-11-1557600971321.log
/data/media/####/crash-2019-05-11-18-56-12-1557600972876.log
/data/media/####/crash-2019-05-11-18-56-14-1557600974173.log
/data/media/####/crash-2019-05-11-18-56-15-1557600975749.log
/data/media/####/crash-2019-05-11-18-56-17-1557600977006.log
/data/media/####/crash-2019-05-11-18-56-18-1557600978491.log
/data/media/####/crash-2019-05-11-18-56-19-1557600979686.log
/data/media/####/crash-2019-05-11-18-56-21-1557600981882.log
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/rcprotocol.log
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/tdata_aBz764

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.10.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_0_0
Bugly
RongIMLib
getuiext2
libnfix
libshella-2.10.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней