Adware.Gexin.17395

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.dmp.y####.net:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) www.dianm####.com:80
TCP(HTTP/1.1) y####.b0.a####.com:80
TCP(HTTP/1.1) i####.and####.di####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) api.and####.di####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) and.ytou####.net:80
TCP(HTTP/1.1) ad.midong####.com:80
TCP(HTTP/1.1) s.y####.net:80
UDP(NTP) 1.cn.p####.####.org:123
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) secgw-n####.wagbr####.ali####.####.com:443
TCP cm-1####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224
UDP 1####.168.117.1:137
UDP 2####.0.0.1:9998

Запросы DNS:

1.cn.p####.####.org
7####.nd####.y####.com
7j####.c####.z0.####.com
a.dia####.com
ad.midong####.com
and.ytou####.net
aos.w####.y####.net
api.and####.di####.com
au.y####.net
av1.x####.com
c####.x####.com
c-h####.g####.com
cm-1####.ig####.com
i####.and####.di####.com
i####.cn
log.u####.com
mt####.go####.com
plb####.u####.com
pub-####.qin####.com
s####.gw.y####.net
s####.u####.com
s.y####.net
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sdk.st####.y####.com
sec.u####.com
t####.dmp.y####.net
u####.u####.com
u####.umengc####.com
www.dianm####.com

Запросы HTTP GET:

and.ytou####.net/yfax-htt-api/api/htt/queryPublicIp
api.and####.di####.com/deep_encry_sdk_v3/space_version.do?version=####&a...
et2-na6####.wagbr####.ali####.####.com/bar/get/568dfb2367e58e63fe0016fd/...
i####.and####.di####.com/jniLibs/libs124/x86/jniLibs.zip?156643####
q####.c####.l####.####.com/config/hz-hzv6.conf
qin####.com.www.####.com/tdata_EDT369
s.y####.net/aos/v3/initf?s=####
s.y####.net/stat/aos/v3/pkc?s=####
s.y####.net/stat/aos/v3/pku?s=####
s.y####.net/stat/v3/udt2?appid=####&s=####
s.y####.net/v3/get?s=####
s.y####.net/v3/zip_upd?s=####
ti####.c####.l####.####.com/tdata_BAI450
ti####.c####.l####.####.com/tdata_Cye094
ti####.c####.l####.####.com/tdata_vGW305
www.dianm####.com/sdk/DianCaiWall.zip
y####.b0.a####.com/offer/dist/aos/pkg/3.3.1/offers_3.3.1.zip

Запросы HTTP POST:

ad.midong####.com/api/ads/appinit
ad.midong####.com/api/ads/mdic
api.and####.di####.com/deep_encry_sdk_v3/post_exception.do?1566445####
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####
www.dianm####.com/diancai/getConfig.json
www.dianm####.com/diancai/init.json
www.dianm####.com/diancai/wall.do

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-282267628.xml
/data/data/####/.jg.ic
/data/data/####/08085da97e4d127a2705e03667db2861
/data/data/####/08085da97e4d127a2705e03667db2861-journal
/data/data/####/1371531099
/data/data/####/1371531099.jar
/data/data/####/1566445289803.log
/data/data/####/3ac2d1afeae574411bba1114a974158c.zip
/data/data/####/456603ee7a27d3d4fc694c3dbc942dd5
/data/data/####/456603ee7a27d3d4fc694c3dbc942dd5-journal
/data/data/####/922864157.xml
/data/data/####/Alvin2.xml
/data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
/data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
/data/data/####/ContextData.xml
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUyOTkxNTk=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMDA5MzI=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMDM5MjM=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMDU1Nzk=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMDczMjU=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMDk0OTU=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMTEwOTA=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMTI2NzY=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMTc2Mzk=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMTkyMzc=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMjA4NzY=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMjUxNDA=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMjY2Mzk=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMjgwNDg=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMzA0Mzc=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMzIwNDA=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMzM2OTY=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMzcxMTg=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzMzg2NTE=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzNDAwNjY=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzNDE3ODk=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzNDMzMjE=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzNDQ5MDI=;
/data/data/####/L3VtcHhfZXJyb3JzXzE1NjY0NDUzNDg1NTM=;
/data/data/####/MultiDex.lock
/data/data/####/OFFERSCONFIG1.xml
/data/data/####/OxgHkj2lz09F
/data/data/####/OxgHkj2lz09F-journal
/data/data/####/P15pKIjsm64m
/data/data/####/P15pKIjsm64m-journal
/data/data/####/PaopaoShared.xml
/data/data/####/T1oX0rhhuXWt
/data/data/####/T1oX0rhhuXWt-journal
/data/data/####/TDCloudSettingsConfigCF61DDE4CF414D01BC91715C06C88DAB.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_database_app_push
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/TalingDataConfigCF61DDE4CF414D01BC91715C06C88DAB.xml
/data/data/####/XKwVoK0huy3R
/data/data/####/XKwVoK0huy3R-journal
/data/data/####/a==7.4.1&&3.0.6_1566445292870_envelope.log
/data/data/####/arrow-left-pink.png
/data/data/####/arrow-left.png
/data/data/####/arrow-right-pink.png
/data/data/####/arrow-right.png
/data/data/####/be7b7b05-7ca6-433e-b4b8-e26585aa3a9b
/data/data/####/blank.gif
/data/data/####/c3d076efa27dbdbd32328a50c0748291-journal
/data/data/####/close-icon.png
/data/data/####/com.paopao_preferences.xml
/data/data/####/d04951b27249
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1Mjk3NDkx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1Mjk5NDYw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MjkyODIz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzA0MjUx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzA1ODQ5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzA3Njc5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzA5Nzcw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzAxMjI0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzE3OTg5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzE5NjM0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzExNTEx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzEzMDE1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzI1NDc5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzI2OTU1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzI4MzU5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzIxMjMw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzM0MDg3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzM3Mzg1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzM4OTA3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzMwODMw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzMyNDEw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzQ1MzAx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzQ5MTIx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzQwMzc2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzQyMjcx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NDQ1MzQzNjc5;
/data/data/####/default.png
/data/data/####/detail-wx-miniprogram.html
/data/data/####/detail-wx-miniprogram.js
/data/data/####/detail-wx.html
/data/data/####/detail-wx.js
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/form.css
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/global.js
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&3.0.6_1566445297520_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jniLibs.zip
/data/data/####/jqIqJYOT3JpT
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/libdlnetworke.so
/data/data/####/libjiagu1767273301.so
/data/data/####/libjni_mantou.so
/data/data/####/lists.css
/data/data/####/lists.html
/data/data/####/lists.js
/data/data/####/md5.js
/data/data/####/md_ad_config.xml
/data/data/####/multidex.version.xml
/data/data/####/nointernet.png
/data/data/####/pic_friend_step1.jpg
/data/data/####/pic_friend_step2.jpg
/data/data/####/pic_friend_step3.jpg
/data/data/####/pic_friend_step4.jpg
/data/data/####/pic_friend_step5.jpg
/data/data/####/pic_m.png
/data/data/####/pic_tips_01.png
/data/data/####/pic_tips_02.png
/data/data/####/pic_xiaochengxu_kefu_step1.png
/data/data/####/pic_xiaochengxu_kefu_step2.png
/data/data/####/pic_xiaochengxu_kefu_step3.png
/data/data/####/pic_xiaochengxu_kefu_step4.png
/data/data/####/pic_xiaochengxu_kefu_step5.png
/data/data/####/pic_xiaochengxu_kefu_step6.png
/data/data/####/pic_xiaochengxu_step1.png
/data/data/####/pic_xiaochengxu_step2.png
/data/data/####/pic_xiaochengxu_step3.png
/data/data/####/pic_xiaochengxu_step4.png
/data/data/####/pic_xiaochengxu_step5.png
/data/data/####/preferences.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/result.png
/data/data/####/rule.html
/data/data/####/run.pid
/data/data/####/sdetail.html
/data/data/####/share.css
/data/data/####/share.html
/data/data/####/share.js
/data/data/####/sprite-face.png
/data/data/####/sprite-icons.png
/data/data/####/sprite-icons2.png
/data/data/####/td.lock
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_Cye094
/data/data/####/tdata_Cye094.jar
/data/data/####/tdata_vGW305
/data/data/####/tdata_vGW305.jar
/data/data/####/tdid.xml
/data/data/####/tdlock.txt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/umexecption.json
/data/data/####/wIU6pTyUBYWX
/data/data/####/wIU6pTyUBYWX-journal
/data/data/####/wsUL1uCdKvjD
/data/data/####/wsUL1uCdKvjD-journal
/data/data/####/wx-qr-step1.jpg
/data/data/####/wx-qr-step2.jpg
/data/data/####/wx-qr-step3.jpg
/data/data/####/wx-qr-step4.jpg
/data/data/####/wx-qr-step5.jpg
/data/data/####/wx-step1.jpg
/data/data/####/wx-step2.jpg
/data/data/####/wx-step3.jpg
/data/data/####/wx-step4.jpg
/data/data/####/wx-step5.jpg
/data/data/####/wx-wifi-step1.jpg
/data/data/####/wx-wifi-step2.jpg
/data/data/####/wx-wifi-step3.jpg
/data/data/####/wx-wifi-step4.jpg
/data/data/####/wx-wifi-step5.jpg
/data/data/####/ymdex.dex
/data/data/####/ymdex.jar
/data/media/####/.nomedia
/data/media/####/.org
/data/media/####/.tcookieid
/data/media/####/255633e1-f975-458f-b4f0-e0c2f879ad1f
/data/media/####/4f381e4a18db964acd607fbc01c91ab6
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/CrashLog.log
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.paopao.bin
/data/media/####/com.paopao.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/i42d45df023jnkdd93la483f9xGFKXI
/data/media/####/mdtecfzb.txt
/data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
/data/media/####/tdata_BAI450
/data/media/####/tdata_Cye094
/data/media/####/tdata_vGW305
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/cat /sys/devices/system/cpu/kernel_max
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GeTuiPushService 24005 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
ls /sys/class/thermal
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GeTuiPushService 24005 300 0
su

Загружает динамические библиотеки:

abcdefgh
dlnetworkc
getuiext2
libjiagu1767273301
securityenv
umeng_error_catch

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES
PBEWITHMD5andDES
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES
PBEWITHMD5andDES

Использует повышенные привилегии.

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней