Adware.Gexin.13972

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) m####.ah####.net:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) feedba####.c####.h####.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.ah####.net:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) i####.app.h####.cn:80
TCP(HTTP/1.1) versi####.api.h####.cn:80
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) 7064f63####.bug####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7064f63####.bug####.com
7j####.c####.z0.####.com
api.w####.com
c####.g####.ig####.com
c-h####.g####.com
feedba####.c####.h####.cn
i####.app.h####.cn
l####.tbs.qq.com
loc.map.b####.com
m####.ah####.net
mm.u.h####.cn
o####.map.b####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
versi####.api.h####.cn
www.ah####.net

Запросы HTTP GET:

feedba####.c####.h####.cn/views/feedback_mobile/views/index.html
feedba####.c####.h####.cn/views/feedback_mobile/views/myfeedback.html
feedba####.c####.h####.cn/views/feedback_mobile/views/res/css/common/com...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/css/main.css
feedba####.c####.h####.cn/views/feedback_mobile/views/res/css/myfeedback...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/images/edit.png
feedba####.c####.h####.cn/views/feedback_mobile/views/res/images/talk.png
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/ajax...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/feed...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/jque...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/prin...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/sea.js
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/smar...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/common/temp...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/config/base...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/config/conf...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/myfeedback/...
feedba####.c####.h####.cn/views/feedback_mobile/views/res/js/utils/utils...
i####.app.h####.cn/?appid=####&appkey=####&device_token=####&_member_id=...
m####.ah####.net/mxu/ad.php?appid=####&appkey=####&device_token=####&_me...
m####.ah####.net/mxu/ad_news.php?appid=####&appkey=####&device_token=###...
m####.ah####.net/mxu/news.php?site_id=####&column_id=####&weight=####&bu...
m####.ah####.net/mxu/news_recomend_column.php?site_id=####&id=####&fid=#...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/mxu/2016/1213/21/2106d6fb95cc739afcdbe78dca17...
t####.c####.q####.####.com/mxu/2016/1213/2a/2a0fade32e994cb3e18501b65654...
t####.c####.q####.####.com/mxu/2016/1213/40/4006091de8f90a0aef4d24fe717d...
t####.c####.q####.####.com/mxu/2016/1213/58/58771f5ce25f5631724e09d35e1d...
t####.c####.q####.####.com/mxu/2016/1213/60/6006197e81525f3a4e6e69dffc2f...
t####.c####.q####.####.com/mxu/2016/1213/76/769b42398e83c97ece96e771323c...
t####.c####.q####.####.com/mxu/2016/1214/e8/e88915ed7df8202c3d7f9dc6b8b6...
t####.c####.q####.####.com/mxu/2016/1226/45/45a947e014fea2f5aba0ba66d7b6...
t####.c####.q####.####.com/mxu/2017/0105/67/6735125176ace6a8958f7abe224f...
t####.c####.q####.####.com/mxu/2017/0105/89/89343058babba55656de7364d38c...
t####.c####.q####.####.com/tdata_Gfv491
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_ZvO248
t####.c####.q####.####.com/tdata_zzW503
versi####.api.h####.cn/?m=####&c=####&bundle_id=####&app_version=####&cl...
www.ah####.net/mengcheng.apk

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
m####.ah####.net/mxu/mobile_client.php?appid=####&appkey=####&device_tok...
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/38f8f4198ba468cf7e6596067f74c252.0.tmp
/data/data/####/38f8f4198ba468cf7e6596067f74c252.1.tmp
/data/data/####/41883d4de3d0
/data/data/####/ApplicationCache.db-journal
/data/data/####/CookiePersistence.xml
/data/data/####/MultiDex.lock
/data/data/####/WebViewSettings.xml
/data/data/####/audio.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/f_000001
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/multidex.version.xml
/data/data/####/mxu.db-journal
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/setting.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Gfv491
/data/data/####/tdata_Gfv491.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_ZvO248
/data/data/####/tdata_ZvO248.jar
/data/data/####/tdata_zzW503
/data/data/####/tdata_zzW503.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weibo_sdk_aid1
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/0796d53a8c06de03861021989c732cc94b383d4fcc912c....0.tmp
/data/media/####/07a09c96f1ae4302c43a833e10b2f99d98e1febb762f5c....0.tmp
/data/media/####/157b0fcd6bc9a12d34d3d55207e4d09ce19ae739b97e47....0.tmp
/data/media/####/1a1df64fa069d2adf56c4594e5f2fb61781f24dbd61e62....0.tmp
/data/media/####/31a96e9813a57ebdca9cbb41ac97cdb907ae17fe37597c....0.tmp
/data/media/####/3cde9c2f8d7e47270cc161fc0ac0667ef884a1ad2571f7....0.tmp
/data/media/####/3e6574b67d99f4c91c78a3249d712da240851e9106aa30....0.tmp
/data/media/####/3f89a7210b7e35aecaecb78688aa26f669d89827f87ffc....0.tmp
/data/media/####/3fdc7a669292e11dec756363b794da56dd587c051eb39a....0.tmp
/data/media/####/551df07e572e94b175c320d534fa0d23d72426b8af0de4....0.tmp
/data/media/####/6cc56b63b2211752125e3b455023bb97a8ad80a19c49b5....0.tmp
/data/media/####/80f11faa36b2efad65c0bd84172f82ce6eaa93e6558632....0.tmp
/data/media/####/89b495d3ea9ae622aeacf1b6c0be751ad055b31c6c9d88....0.tmp
/data/media/####/a17348723aa68712e23aebf2fdef7fb5712a9b3de974c3....0.tmp
/data/media/####/app.db
/data/media/####/c291d211e0e78d1ddc4ca6097924c36c5389b57e0e7e75....0.tmp
/data/media/####/c3903d8e9e85d0cf7ee2c28aafa43bb0041476426596ac...534c.0
/data/media/####/c8069327bcec784eca000baa94c9ed71f086ca3137b2b4....0.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.hoge.android.app193.bin
/data/media/####/com.hoge.android.app193.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/d3607e699f70eb686402d1a8fd7a73aed7ade2b108e15b....0.tmp
/data/media/####/d81bc848d005512207b59a296196a3410b65ecb66fdcde....0.tmp
/data/media/####/ea922368b336dc7ee775df191d291a57cf53866f8ac033....0.tmp
/data/media/####/f16f8ac96a937e256e9157aba571e08785f1b74619411b....0.tmp
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/mengcheng.apk
/data/media/####/tdata_Gfv491
/data/media/####/tdata_MkX219
/data/media/####/tdata_ZvO248
/data/media/####/tdata_zzW503
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.hoge.android.factory.GeituiPushService 25091 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop ro.product.cpu.abi
mount
sh

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_5_2
Bugtags
getuiext2
libjiagu
locSDK7a
m2o_jni
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
desede-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней