Adware.Gexin.14739

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) i####.hua.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) thi####.q####.cn:443
TCP(TLS/1.0) s3-qc####.me####.com.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) www.googlet####.com:443
TCP(TLS/1.0) a####.hua.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) fx####.b####.com:443
TCP(TLS/1.0) a####.te####.cn:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.168.206:443
TCP(TLS/1.0) i####.hua.com:443
TCP(TLS/1.0) st####.me####.com.####.com:443
TCP(TLS/1.0) client-####.me####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) f####.b####.com:443
TCP(TLS/1.0) new####.me####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.hua.com
a####.te####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
and####.cli####.go####.com
c####.g####.ig####.com
c-h####.g####.com
camorop####.me####.com
cgi.con####.qq.com
f####.b####.com
fx####.b####.com
hm.b####.com
i####.hua.com
i####.hua.com
i####.hua.com
l####.tbs.qq.com
new####.me####.com
plb####.u####.com
pub-####.qin####.com
reso####.me####.com
s3-qc####.me####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
st####.me####.com
thi####.q####.cn
u####.u####.com
www.google-####.com
www.googlet####.com

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
i####.hua.com/uploadpic/newpic/9010736.jpg_220x240.jpg
i####.hua.com/uploadpic/newpic/9012163.jpg_220x240.jpg
i####.hua.com/uploadpic/newpic/9012288.jpg_220x240.jpg
i####.hua.com/uploadpic/newpic/9012290.jpg_220x240.jpg
i####.hua.com/uploadpic/newpic/9012414.jpg_220x240.jpg
i####.hua.com/uploadpic/newpic/9012417.jpg_220x240.jpg
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_WOW230
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_mSr887

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0d16f3574b10b97f6723849257af405df70b1a6921567ce....0.tmp
/data/data/####/0f1d5ffbcd25da8689782140d872e68d59353fbc0b7847d....0.tmp
/data/data/####/1004
/data/data/####/17fe821f879e
/data/data/####/18d4d65759e36e4fc50102bf51ad87b10e8d37caa017774....0.tmp
/data/data/####/214f2155e6567f5bc9927e955f4927804243663eda4dc9f....0.tmp
/data/data/####/268822eff40bf58f8702e61f2bfecaf3ffcbcae6f51c5f8....0.tmp
/data/data/####/3864286e392220d2213f757b442efb0321b5f0a5c5495c8....0.tmp
/data/data/####/3c96d7a5ac3c294a0c29b21805b4c30f85e07a13dadf7dc....0.tmp
/data/data/####/48d4b19553c021f389adb04a09f9e0ec5b350de728c8b06....0.tmp
/data/data/####/4ba8a733245bc0744de4cbd4aa64a0eca67607459409467....0.tmp
/data/data/####/582112831588a74ce9cc40f24ef127682d0e59ec91f0ee8....0.tmp
/data/data/####/69cc6202dce985ceb88c333f2b27530d720fca5b3ea0ca9....0.tmp
/data/data/####/69de24c2a7a9ea275fb469ce38354296160a2377a312284....0.tmp
/data/data/####/6b97440ca4b4c28fec3258501c5d69c32e1458390d91b49....0.tmp
/data/data/####/6eaaaa8d7845249473ba2c2c32ca0f47e5f34c00570bc50....0.tmp
/data/data/####/6f2039bc60e559a5b5879d914fb3a9de91852ad0a536e6a....0.tmp
/data/data/####/776b8542f3898e64853b92b6a434930fac1f351175dbc04....0.tmp
/data/data/####/7a85f1986ff62cc22693fa4ff703f96a75d1d05b2bcfc82....0.tmp
/data/data/####/7bf3b88191c39ada9f67df670296542e39cce59d9b4fa72....0.tmp
/data/data/####/7d0f8c4ae9c11a88c2b5d600d710f30647cc9a86fa660dc....0.tmp
/data/data/####/841b085915b2bc419a5441bb8a8d7c5dae84975e9e75e0c....0.tmp
/data/data/####/8b0294721d551e5bb33f5c00f238208ac20e6e8c9afec79....0.tmp
/data/data/####/8fb3ce65e285af4371b341333a3491947177178b204b723....0.tmp
/data/data/####/91eb167d478fc092318137983ac30f5292efafa049b55b5....0.tmp
/data/data/####/93ba2efb45899312e58a91d65f4da34b5e90e989d438c4d....0.tmp
/data/data/####/9adddb29816d03643fd51a9f870211aca98771c8f9807cc....0.tmp
/data/data/####/9af8042f5f54ca9aa0bbe1513131a0368ed4917a1ee3796....0.tmp
/data/data/####/9d8b278e588d76be04a623461688ea9ec94e5db74f5654b....0.tmp
/data/data/####/9dc022968251c868310c9dded2985b27e38f818de2d6f4e....0.tmp
/data/data/####/9e012755b26da0f6350d6839129a729cc5cbcb6357c5a8a....0.tmp
/data/data/####/9f5337aafbcfcfb9e47c7ee36adf658fd90521d35c38f2e....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/TESTIN_AB.xml
/data/data/####/TESTIN_AB_EXP.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/_nohttp_cache_db.db
/data/data/####/_nohttp_cache_db.db-journal
/data/data/####/_nohttp_cookies_db.db
/data/data/####/_nohttp_cookies_db.db-journal
/data/data/####/ab22c067932c5f2fa5066a8ef75bdf79a147ed5ed7ee287....0.tmp
/data/data/####/abTestin.db-journal
/data/data/####/aec1fa58e7da723d19f324bfbc9beb9ec928472139b6207....0.tmp
/data/data/####/b3ffe0d87ffad13c20ca5a21dbbd33ce40d23923c4bcef3....0.tmp
/data/data/####/ba6fbb424601e7de251e3fd1552bb740314a07a1eed9f67....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c573354f344b25b156659bc575609e21b0f6acb55b5398f....0.tmp
/data/data/####/c7eb5228c6765958753e0980a8d5680512119aa228567de....0.tmp
/data/data/####/c85a77b0439cc1c8f846917a09e1028792f78a31f8b0e88....0.tmp
/data/data/####/cc8495d20480a40fd96de26d1bd3c79ef35e3b9285ee301....0.tmp
/data/data/####/cd9f952d3ae4fdff8fbaa04d19d1109130c16952322fc81....0.tmp
/data/data/####/com.hua.order_preferences.xml
/data/data/####/com.tencent.open.config.json.1102579750
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d19bc93f8a25a8ea9ac710f4aac6ef0eca15e2f8d2ada96....0.tmp
/data/data/####/d524ef71b96658bb37543027e20e228ce3dbc24d02052b6....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU5NTkzOTE3MTcy;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/ec5984493d0c0639ddec00a4c7b0df6ab61a85ee6849fb9....0.tmp
/data/data/####/ece49960b5f5aab171a0c2f13d373935d21f9c06b5bfcbd....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f50b0e7e4cf8c34e7322f7bc78cba3198055188082ef438....0.tmp
/data/data/####/f56d6f7ce5ca74cde13da115fa13d64d54587a8d5159ff1....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&5.4_1559593917245_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_data.xml
/data/data/####/t==8.0.0&&5.4_1559593918501_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_WOW230
/data/data/####/tdata_WOW230.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_mSr887
/data/data/####/tdata_mSr887.jar
/data/data/####/testin.ab.allocation.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.experiment.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.visualTESTIN_ac82fc07d-9fc7-4a1f-a701...07.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_config.xml.bak
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/visualeditor.changes.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/4DyOQTU2bbOx00gaPOkL6g
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/HomeBeanV15.4.bean
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.hua.order.bin
/data/media/####/com.hua.order.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Jga153
/data/media/####/tdata_WOW230
/data/media/####/tdata_bca864
/data/media/####/tdata_mSr887
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24269 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.DemoPushService 24269 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-3.0.0.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней