Adware.Gexin.13819

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) v2.g####.qq.com:80
TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
TCP(HTTP/1.1) tinyali####.c####.l####.####.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) qos.l####.360.cn:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) a####.umengc####.com:80
TCP(HTTP/1.1) s####.s.360.cn:80
TCP(HTTP/1.1) ssy-ima####.b0.upa####.com:80
TCP(HTTP/1.1) enhance####.r####.cn:80
TCP(HTTP/1.1) 2####.119.128.92:80
TCP(HTTP/1.1) b####.g####.com:80
TCP(HTTP/1.1) 65a4####.cdn.uc####.####.cn:80
TCP(HTTP/1.1) sdk.l####.360.cn:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(HTTP/1.1) imgc####.qq.com.####.com:80
TCP(HTTP/1.1) i####.g####.com.####.net:80
TCP(HTTP/1.1) s####.l####.360.####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) oth.str.mdt.####.com:8080
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) mobads-####.b####.com:443
TCP(TLS/1.0) dt.net####.im:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) wl####.weilito####.net.####.com:443
TCP(TLS/1.0) log####.weilito####.net:443
TCP(TLS/1.0) wea####.weilito####.net.####.com:443
TCP(TLS/1.0) i####.g####.com.####.net:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) 04img####.eas####.com.####.com:443
TCP(TLS/1.0) sdkc####.e.360.cn:443

Запросы DNS:

04img####.eas####.com
a####.u####.com
a####.umengc####.com
ads.weilito####.net
b####.g####.com
c####.g####.com
c####.g####.com
clien####.weilito####.net
dt.net####.im
enhance####.r####.cn
gs.g####.com
i####.g####.com
im####.9l####.com
im####.st####.suishe####.net
imgc####.qq.com
l####.cc
lbs.net####.im
log####.weilito####.net
mi.g####.qq.com
mo####.b####.com
mobads-####.b####.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
p.s.3####.cn
pc.weilito####.net
publish####.b####.com
qos.l####.360.cn
res####.a####.com
s####.e.qq.com
s####.l####.360.cn
s####.s.360.cn
sdk.l####.360.cn
sdkc####.e.360.cn
st####.et####.cn
up####.weilito####.net
v2.g####.qq.com
wa####.127.net
wea####.weilito####.net
wl####.weilito####.net

Запросы HTTP GET:

65a4####.cdn.uc####.####.cn/apps/zhwnl/skins/card/1f0e3dad99908345f7439f...
i####.g####.com.####.net/newsapp_bt/0/8980313850/641
i####.g####.com.####.net/newsapp_bt/0/8980313851/641
i####.g####.com.####.net/newsapp_bt/0/8980313852/641
i####.g####.com.####.net/newsapp_bt/0/8980968167/641
i####.g####.com.####.net/newsapp_bt/0/8980968168/641
i####.g####.com.####.net/newsapp_bt/0/8980968169/641
imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
qos.l####.360.cn/vc.gif?&bid=####&pid=####&ver=####&c_ver=####&os=####&m...
s####.l####.360.####.com/Object.getFile/livecloudsdk/YW5kcm9pZF9wbHVnaW5...
s####.s.360.cn/ak/2e65f2f2fdaf6c699b223c61b1b5ab89.html?m2=####
sdk.l####.360.cn/codec?os=####&tm=####&model=####&r=####&package=####&pi...
sdk.l####.360.cn/qvideo_sdk_and_android_2.0.9.19012503.conf?os=####&tm=#...
sdk.l####.360.cn/rtc2?sign=####&os=####&tm=####&model=####&r=####&packag...
ssy-ima####.b0.upa####.com/19e7b63e8a2de03789822451499488a3.jpg!w210.jpg
ssy-ima####.b0.upa####.com/215e3a1cae0cc8091150f0b5ec893bf2.jpg!w210.jpg
ssy-ima####.b0.upa####.com/768b4682531b23138f5792d04853d917.jpg!w210.jpg
ssy-ima####.b0.upa####.com/a1d55dd71accdfac46436b58904300ae.jpg!w210.jpg
ssy-ima####.b0.upa####.com/aea34e67fa88e2dd05fc1868fa13b8c0.jpg!w210.jpg
ssy-ima####.b0.upa####.com/ce73defa10d43e9435c905e8755f1c37.jpg!w210.jpg
tinyali####.c####.l####.####.com/image/201905/17/5f2d51fa754663a9600afe9...
tinyali####.c####.l####.####.com/image/201905/17/81472b54cf86207dcea8bcc...
tinyali####.c####.l####.####.com/image/201905/17/fac0297c6dabdf4c507efe3...
v2.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####

Запросы HTTP POST:

a####.umengc####.com/app_logs
b####.g####.com/api.php?format=####&t=####
c####.g####.com/api.php?format=####&t=####
enhance####.r####.cn/enhancement/api/v1/ads
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/ubi
l####.cc/i/sdk/install
oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
oth.str.mdt.####.com:8080/analytics/upload
oth.str.mdt.####.com:8080/analytics/upload?sid=####
p.s.3####.cn/update/update.php?p=####
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-101119524269540211
/data/data/####/-1037128038-461564334
/data/data/####/-1322433194-2132169882
/data/data/####/-13433234661538130410
/data/data/####/-1661611268-1265953645
/data/data/####/-654590213513985749
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/01f92e9f2fe7f5c226a84c6adb09b1b3e7e3adb70d49f1c....0.tmp
/data/data/####/03603dafbf3517fbb5432f1f6c34abc312f5397d171cf1f....0.tmp
/data/data/####/0594320e8bae2855a68f1e8adf0ea3bf8b66bbe1bace593....0.tmp
/data/data/####/142456f2cc340c07a22bb59ef7bb94bd73d33e95e367d88....0.tmp
/data/data/####/17804630131880340273
/data/data/####/1ae93df6aa801548e0bb6f8e365c565596c1b07adbe9f8f....0.tmp
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/21183267281890260672
/data/data/####/302d51941a960a9f8ccc7d30f051b3a0543791505531ec2....0.tmp
/data/data/####/31140cc970a8a59cbe5ae3368a5b7e67ef6af7499b0252c....0.tmp
/data/data/####/363328326-353117644
/data/data/####/38c8bfe22fee3499beb18e53ce159af206b04a77a7097e7....0.tmp
/data/data/####/3c1fbdaa64a5bd23dbaf600fc80f94c64aee7045d482fe6....0.tmp
/data/data/####/43bf768ddfac2d11bffa1a183755b58b8fbb78d9457e507....0.tmp
/data/data/####/52c929041471ed3f4b92e0f9879ae44233dbc3728191448....0.tmp
/data/data/####/5c35ee6b2f06d7801f2fd1f39c194ab7a7942867f274f36....0.tmp
/data/data/####/5fcaed3b2c92aa171421bdd8e0442f5bce41fdea004ef03....0.tmp
/data/data/####/608f335d7ea084f4239b0ed6a15058c2a7af02b03dae231....0.tmp
/data/data/####/67ede93154288d3c6c480a85c69fbc4938e55b935c7b14c....0.tmp
/data/data/####/6983240965982a5e7dfb2aef59c158c5c444dc89a7f8c72....0.tmp
/data/data/####/75e6e2b2051558b9c75037fb1758cdbc9e966bf9d83cdb5....0.tmp
/data/data/####/7663fd4eb55d07e6c4cad986e2319b854e53e97b3e7ab01....0.tmp
/data/data/####/827809b5dda473e4979db84d22fbc97039e8f9dc9db7fa7....0.tmp
/data/data/####/83e2f9bfcfb517ed3bfdcbb16575193a3dc349a3a150af7....0.tmp
/data/data/####/85fd78227b55ad85722564e99f6ed07808cc0140d977b6d....0.tmp
/data/data/####/86c6509d2f152be5b3ee0062ec86ebe169adfca25959884....0.tmp
/data/data/####/898824861-1858176295
/data/data/####/8a4cfb5208309f2edef517b9eb6c3e870995a85ff2e5b03....0.tmp
/data/data/####/8e4412363a5f0424aee3157143e1906e67b94ed08c6ef9e....0.tmp
/data/data/####/9b8c429c4b349be5475294200bd6da6d32c6a7c31345d7e....0.tmp
/data/data/####/AKTorchDownload.db-journal
/data/data/####/Beacon_sig_1.lock
/data/data/####/DENGTA_META.xml
/data/data/####/DownloadMarket.db-journal
/data/data/####/ECalendarPreferences.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_883d8a8d8c35039814932350efa3944a.xml
/data/data/####/NIM_DC_WATCHER_SP.xml
/data/data/####/PreSettings-journal
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData2e65f2f2fdaf6c699b223c61b1b5ab89.xml
/data/data/####/ReadAward.xml
/data/data/####/SKY_SP.xml
/data/data/####/SuishenAd_prf.xml
/data/data/####/SuishenExitPageSDK_v102.apk
/data/data/####/Update.db.xml
/data/data/####/WlttNews.db-journal
/data/data/####/Y24ud2VsaS5zdG9yeQ==.tick.lock
/data/data/####/a03f940a69474558004363d2a549ebff92e187878693134....0.tmp
/data/data/####/a03f940a69474558004363d2a549ebff92e187878693134...c698.0
/data/data/####/ad5bd51872ae5c59467f3bc6807da21c3a052abcf977295....0.tmp
/data/data/####/app_globel_config_file.xml
/data/data/####/b4f074cada067de1d3cfd9297cbaeb5eba63f9d3db5f79d....0.tmp
/data/data/####/b8e5d162b47cb6909b138632a4f315f80c0bbbcae77a034....0.tmp
/data/data/####/bb25e7e40599648b83b5878faf2b677e567d471ed16c6f8....0.tmp
/data/data/####/beacon_db-journal
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ce86a8bdbb256a0ea2b6906c121c0833250c8c9c49343ea....0.tmp
/data/data/####/cloud_switch_cache
/data/data/####/cn.weli.story_preferences.xml
/data/data/####/com.qihoo.livecloud.settings.GPWebrtcSettings.pref.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/d5bee0b49ad44b2403b5a017fc23903caace1c5a5da72b2....0.tmp
/data/data/####/daemon
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/e014dd517dd1963bb80c9f81592892ad91145f293d9aa4d....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f6f3cbfafbda00a3d04df885ee348e3d6eaaeeacff3faf8....0.tmp
/data/data/####/finalcore.jar
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gtc.db-journal
/data/data/####/history_cache.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu587952875.so
/data/data/####/libjplayer.so.tmp
/data/data/####/liblocalserver.so.tmp
/data/data/####/libmyssl.so.1.1.tmp
/data/data/####/libtranscore.so.tmp
/data/data/####/libviewer.so.tmp
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/linkedme_referral_shared_pref.xml (deleted)
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/multidex.version.xml
/data/data/####/net_2.0.9.19012503.zip
/data/data/####/player_2.0.9.19012503.zip
/data/data/####/pref.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/qhvc_plugin.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/share_data.xml
/data/data/####/sp.livecloud.database.xml
/data/data/####/suishenAccountInfo.xml
/data/data/####/suishen_ad.db-journal
/data/data/####/suishen_ad_pramas.xml
/data/data/####/tools_2.0.9.19012503.zip
/data/data/####/torch_sdk_config.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_cache_1558069774397.env
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/update_lc
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/media/####/.deviceId
/data/media/####/.iddata
/data/media/####/.nomedia
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/1558069766212.db
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89
/data/media/####/2e65f2f2fdaf6c699b223c61b1b5ab89 (deleted)
/data/media/####/__VERSION__
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/blank.png
/data/media/####/btn_nav_bg.9.png
/data/media/####/btn_nav_sel.9.png
/data/media/####/cn.weli.story_.db
/data/media/####/dialog_details_bg.9.png
/data/media/####/dialog_dismiss.png
/data/media/####/dialog_dismiss_sel.png
/data/media/####/download_btn_normal.9.png
/data/media/####/fes_type_sel.9.png
/data/media/####/grid_bg.9.png
/data/media/####/grid_sel.9.png
/data/media/####/ic_btn_down.png
/data/media/####/ic_default.png
/data/media/####/info
/data/media/####/kZ4
/data/media/####/kZ4 (deleted)
/data/media/####/list_bg_sel.png
/data/media/####/meta.dat
/data/media/####/nim_sdk.log
/data/media/####/top_btn_normal.9.png
/data/media/####/top_btn_selected.9.png
/data/media/####/uninstall_apk_list
/data/media/####/update_btn_normal.9.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/app_bin/daemon
getprop ro.build.fingerprint
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
mars_d -p <Package> -s com.igexin.sdk.PushService -p1r 44 -p1w 45 -p2r 46 -p2w 47

Загружает динамические библиотеки:

EcalendarLib
daemon_api20
libjiagu587952875
libjplayer
liblocalserver
libtranscore
libviewer
pl_droidsonroids_gif

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней