Adware.Gexin.14551

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(TLS/1.0) a####.te####.cn:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) a####.hua.com:443
TCP(TLS/1.0) 1####.217.20.110:443
TCP(TLS/1.0) i####.hua.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
a####.hua.com
a####.te####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
cgi.con####.qq.com
i####.hua.com
i####.hua.com
l####.tbs.qq.com
plb####.u####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Jga153
t####.c####.q####.####.com/tdata_WOW230
t####.c####.q####.####.com/tdata_bca864
t####.c####.q####.####.com/tdata_mSr887

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0b436390fa4e055fbc154c43ea04a6d9a25a2ea0b97cb59....0.tmp
/data/data/####/0d16f3574b10b97f6723849257af405df70b1a6921567ce....0.tmp
/data/data/####/1004
/data/data/####/18d4d65759e36e4fc50102bf51ad87b10e8d37caa017774....0.tmp
/data/data/####/214f2155e6567f5bc9927e955f4927804243663eda4dc9f....0.tmp
/data/data/####/22bbfdd2b70e54f1f5cdb98ecff8eb6810f9bd389057d79....0.tmp
/data/data/####/2569ae3eea34425e2f3b2cf323c570c1a142f586e2ce5d8....0.tmp
/data/data/####/3c96d7a5ac3c294a0c29b21805b4c30f85e07a13dadf7dc....0.tmp
/data/data/####/4ba8a733245bc0744de4cbd4aa64a0eca67607459409467....0.tmp
/data/data/####/582112831588a74ce9cc40f24ef127682d0e59ec91f0ee8....0.tmp
/data/data/####/6085d25237c4fa679d89dea17c9d223c0b74ae9ec942c39....0.tmp
/data/data/####/69cc6202dce985ceb88c333f2b27530d720fca5b3ea0ca9....0.tmp
/data/data/####/6b97440ca4b4c28fec3258501c5d69c32e1458390d91b49....0.tmp
/data/data/####/6eaaaa8d7845249473ba2c2c32ca0f47e5f34c00570bc50....0.tmp
/data/data/####/6f2039bc60e559a5b5879d914fb3a9de91852ad0a536e6a....0.tmp
/data/data/####/776b8542f3898e64853b92b6a434930fac1f351175dbc04....0.tmp
/data/data/####/7a85f1986ff62cc22693fa4ff703f96a75d1d05b2bcfc82....0.tmp
/data/data/####/7bf3b88191c39ada9f67df670296542e39cce59d9b4fa72....0.tmp
/data/data/####/7c39b68516601878ece807edce6139adb122dc340848e07....0.tmp
/data/data/####/7d0f8c4ae9c11a88c2b5d600d710f30647cc9a86fa660dc....0.tmp
/data/data/####/841b085915b2bc419a5441bb8a8d7c5dae84975e9e75e0c....0.tmp
/data/data/####/8b0294721d551e5bb33f5c00f238208ac20e6e8c9afec79....0.tmp
/data/data/####/8fb3ce65e285af4371b341333a3491947177178b204b723....0.tmp
/data/data/####/91eb167d478fc092318137983ac30f5292efafa049b55b5....0.tmp
/data/data/####/9d8b278e588d76be04a623461688ea9ec94e5db74f5654b....0.tmp
/data/data/####/9dc022968251c868310c9dded2985b27e38f818de2d6f4e....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/TESTIN_AB.xml
/data/data/####/TESTIN_AB_EXP.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/_nohttp_cache_db.db
/data/data/####/_nohttp_cache_db.db-journal
/data/data/####/_nohttp_cookies_db.db
/data/data/####/_nohttp_cookies_db.db-journal
/data/data/####/a0b8131535ca983526750466135d8c7598e53751ae05235....0.tmp
/data/data/####/ab22c067932c5f2fa5066a8ef75bdf79a147ed5ed7ee287....0.tmp
/data/data/####/abTestin.db-journal
/data/data/####/b3ffe0d87ffad13c20ca5a21dbbd33ce40d23923c4bcef3....0.tmp
/data/data/####/ba6fbb424601e7de251e3fd1552bb740314a07a1eed9f67....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c573354f344b25b156659bc575609e21b0f6acb55b5398f....0.tmp
/data/data/####/c7eb5228c6765958753e0980a8d5680512119aa228567de....0.tmp
/data/data/####/c85a77b0439cc1c8f846917a09e1028792f78a31f8b0e88....0.tmp
/data/data/####/cc8495d20480a40fd96de26d1bd3c79ef35e3b9285ee301....0.tmp
/data/data/####/cd9f952d3ae4fdff8fbaa04d19d1109130c16952322fc81....0.tmp
/data/data/####/com.hua.order_preferences.xml
/data/data/####/com.tencent.open.config.json.1102579750
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d524ef71b96658bb37543027e20e228ce3dbc24d02052b6....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU5MjkwNTM1MTg0;
/data/data/####/ec5984493d0c0639ddec00a4c7b0df6ab61a85ee6849fb9....0.tmp
/data/data/####/ece49960b5f5aab171a0c2f13d373935d21f9c06b5bfcbd....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f50b0e7e4cf8c34e7322f7bc78cba3198055188082ef438....0.tmp
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/i==1.2.0&&5.4_1559290535317_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_data.xml
/data/data/####/t==8.0.0&&5.4_1559290536914_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_Jga153
/data/data/####/tdata_Jga153.jar
/data/data/####/tdata_WOW230.tmp (deleted)
/data/data/####/tdata_bca864.tmp (deleted)
/data/data/####/tdata_mSr887
/data/data/####/tdata_mSr887.jar
/data/data/####/testin.ab.allocation.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.experiment.TESTIN_ac82fc07d-9fc7-4a1f...07.xml
/data/data/####/testin.ab.visualTESTIN_ac82fc07d-9fc7-4a1f-a701...07.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/visualeditor.changes.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/4DyOQTU2bbOx00gaPOkL6g
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/HomeBeanV15.4.bean
/data/media/####/app.db
/data/media/####/com.hua.order.bin
/data/media/####/com.hua.order.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Jga153
/data/media/####/tdata_mSr887

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-3.0.0.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней