Adware.Gexin.17538

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) f####.a####.tv:80
TCP(HTTP/1.1) dzc####.a####.tv:80
TCP(HTTP/1.1) f####.a####.tv:8081
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) zj####.d####.tv:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) appact####.d####.tv:8081
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) use####.d####.tv:8083
TCP(HTTP/1.1) ani####.d####.tv:80
TCP(HTTP/1.1) ani####.d####.tv:8083
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.0) 2####.58.211.106:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) t####.j####.cn:443
TCP(TLS/1.0) mtjso####.b####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.2) 2####.58.211.106:443
TCP cm-1####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224
UDP s.j####.cn:19000
TCP 1####.25.50.75:7001
TCP 1####.230.236.19:7001
UDP easytom####.com:19000

Запросы DNS:

7j####.c####.z0.####.com
ali-s####.j####.cn
and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
ani####.d####.tv
api.w####.com
appact####.d####.tv
bj####.j####.cn
c-h####.g####.com
cgi.con####.qq.com
cm-1####.ig####.com
dxp.b####.com
dzc####.a####.tv
easytom####.com
f####.a####.tv
f####.a####.tv
gd-s####.j####.cn
h####.b####.com
instant####.google####.com
mtjso####.b####.com
njdx####.d####.tv
p####.google####.com
s.j####.cn
safebro####.google####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sis.j####.io
t####.j####.cn
use####.d####.tv
zj####.d####.tv

Запросы HTTP GET:

ani####.d####.tv/aniuapi/api/v2/ad/getadvertisement.html?id=####
ani####.d####.tv/aniuapi/api/v2/aniuChannelUserDialog/doDialog?page=####...
ani####.d####.tv/aniuapi/api/v2/comment/appQuery?channelid=####&clientid...
ani####.d####.tv/aniuapi/api/v2/menumanager/gethasmenu?platform=####&dev...
ani####.d####.tv/aniuapi/api/v2/transcript/getTsPayDetail?callback=####&...
ani####.d####.tv/aniuapi/api/v2/transcript/query?channelid=####&clientid...
ani####.d####.tv/aniuapi/api/v2/user/getguestuser?channelid=####&clienti...
ani####.d####.tv/aniuapi/api/v2/video/searchbyteacher?channelid=####&cli...
ani####.d####.tv/aniuapi/api/v2/vodpkg/querybyteacher?channelid=####&cli...
ani####.d####.tv:8083/aniuapi/api/v2/adrecommend/queryXqyTj?callback=###...
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?status_os=####&stat...
dzc####.a####.tv/5.8.0/css/expert.css
dzc####.a####.tv/5.8.0/css/iconfont.css
dzc####.a####.tv/5.8.0/css/mescroll/mescroll-option.css
dzc####.a####.tv/5.8.0/css/mescroll/mescroll-totop.png
dzc####.a####.tv/5.8.0/css/mescroll/mescroll.min.css
dzc####.a####.tv/5.8.0/css/public.css
dzc####.a####.tv/5.8.0/css/zjtArticleDetail.css
dzc####.a####.tv/5.8.0/fonts/iconfont.ttf?t=####
dzc####.a####.tv/5.8.0/html/expert/expert_article_list.html?uid=####&use...
dzc####.a####.tv/5.8.0/html/zjt/zjt_content_detail.html?content_id=####&...
dzc####.a####.tv/5.8.0/images/ClipboardImage.gif
dzc####.a####.tv/5.8.0/images/course_bg.gif
dzc####.a####.tv/5.8.0/images/lloading.gif
dzc####.a####.tv/5.8.0/js/expert.article.tab.js
dzc####.a####.tv/5.8.0/js/fastclick.js
dzc####.a####.tv/5.8.0/js/iconfont.js
dzc####.a####.tv/5.8.0/js/iscroll-probe.js
dzc####.a####.tv/5.8.0/js/iscroll.js
dzc####.a####.tv/5.8.0/js/jquery.base64.js
dzc####.a####.tv/5.8.0/js/jquery.md5.js
dzc####.a####.tv/5.8.0/js/jquery.min.js
dzc####.a####.tv/5.8.0/js/mescroll/mescroll-option.js
dzc####.a####.tv/5.8.0/js/mescroll/mescroll.min.js
dzc####.a####.tv/5.8.0/js/public.js
dzc####.a####.tv/5.8.0/template/pub.ColLabel.js
dzc####.a####.tv/5.8.0/template/tpl.ExpertArticleList.js
dzc####.a####.tv/5.8.0/template/tpl.ZJT_ArticleDetail.js
dzc####.a####.tv/5.8.1/css/iconfont.css
dzc####.a####.tv/5.8.1/css/index/indexRecommend.css
dzc####.a####.tv/5.8.1/css/mescroll/mescroll-option.css
dzc####.a####.tv/5.8.1/css/mescroll/mescroll.min.css
dzc####.a####.tv/5.8.1/css/public.css
dzc####.a####.tv/5.8.1/css/swiper/swiper.min.css
dzc####.a####.tv/5.8.1/fonts/iconfont.ttf?t=####
dzc####.a####.tv/5.8.1/html/index/index_ColumnList.html?c_type=####
dzc####.a####.tv/5.8.1/images/ClipboardImage.gif
dzc####.a####.tv/5.8.1/images/banner_v3.jpg
dzc####.a####.tv/5.8.1/images/lloading.gif
dzc####.a####.tv/5.8.1/js/fastclick.js
dzc####.a####.tv/5.8.1/js/iconfont.js
dzc####.a####.tv/5.8.1/js/jquery.base64.js
dzc####.a####.tv/5.8.1/js/jquery.md5.js
dzc####.a####.tv/5.8.1/js/jquery.min.js
dzc####.a####.tv/5.8.1/js/mescroll/mescroll-option.js
dzc####.a####.tv/5.8.1/js/mescroll/mescroll.min.js
dzc####.a####.tv/5.8.1/js/public.js
dzc####.a####.tv/5.8.1/template/index/style.IndexColumnList.js
dzc####.a####.tv/5.8.1/template/index/tpl.IndexColumnList.js
dzc####.a####.tv/5.8.1/template/pub.ColLabel.js
dzc####.a####.tv/favicon.ico
f####.a####.tv/2019/06/21/b0e2da654a8601b6b5cb28a71a91434c.png?devid=800...
f####.a####.tv:8081/wxoaFF4jqyvHzEgWrVSkMmlF7ivJKE/20151204/wxoaFF4jqyvH...
use####.d####.tv:8083/aniuapi/api/v2/user/mypublish?channelid=####&clien...
zj####.d####.tv/201609231315331790/201609231315331790.jpg
zj####.d####.tv/201610171108286770/201610171108286770.jpg
zj####.d####.tv/20171027/91b16bbdbaaf9838c68689d6d323cbb9.jpg
zj####.d####.tv/2018/05/08/b2e8566449add404885764b2dd155680.jpg
zj####.d####.tv/2019/07/25/f9721303d9f2325a0721401c1e6f979c.jpg
zj####.d####.tv/2019/08/16/007cc304e52a317e8cba8f1308da68da.jpg
zj####.d####.tv/2019/08/23/7853a3e5b7019b8dde74fbb5a9e30f54.png
zj####.d####.tv/2019/08/23/a3a55acfae91ad7403746248dfbac265.png
zj####.d####.tv/2019/08/30/3c9f59fb134a6f90d347de74e375b50f.png
zj####.d####.tv/2019/08/30/669bdf3e45d503f7946bfd6f230c8dc9.png
zj####.d####.tv/2019/08/30/78357154e25f3122ad1bf7801c9322bb.png
zj####.d####.tv/2019/08/30/7e2291cacb6c708b8d94f039fe0cdda1.png
zj####.d####.tv/2019/08/30/a4c37e852bfd1b971230c533614da850.png
zj####.d####.tv/2019/08/30/b963dd5d4d6528a71cc1185c71fd9cbb.jpg
zj####.d####.tv/2019/08/30/baab5f65f6f3327f6930d9be9ce073cb.png
zj####.d####.tv/2019/08/30/bb689c8b91257ecd262f233934948bdf.png
zj####.d####.tv/2019/08/30/c178d7a9e20bf999c4f2de401dc4d68c.png
zj####.d####.tv/2019/08/30/f7b20135de167093d874d178bb6db181.jpg

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
appact####.d####.tv:8081/addAniuApp
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/00406005d5bc27e3_0
/data/data/####/00406005d5bc27e3_1
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex (deleted)
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/01d512b0cff41a75_0
/data/data/####/0682458cf016a87e0db0910d7db559fb.0
/data/data/####/0682458cf016a87e0db0910d7db559fb.1
/data/data/####/08395e5833c135dd_0
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/0fd8dfe09d3bacb3_0
/data/data/####/1002
/data/data/####/1004
/data/data/####/10c08e455266e41f_0
/data/data/####/1e2bd6e79f813b21_0
/data/data/####/1f769501cfc232f9_0
/data/data/####/21aca35b71313372d27d8b2eb5ebea3e.0.tmp
/data/data/####/21aca35b71313372d27d8b2eb5ebea3e.1
/data/data/####/232d5db5c872ad91276a60f9c54c6fe1.0.tmp
/data/data/####/232d5db5c872ad91276a60f9c54c6fe1.1.tmp
/data/data/####/271e8a4b4d31d015_0
/data/data/####/2840dc63f574c61675522a0f86216365.0.tmp
/data/data/####/2840dc63f574c61675522a0f86216365.1.tmp
/data/data/####/298a8348a03462a4_0
/data/data/####/2e943819e0664b24_0
/data/data/####/2f88d91b568f48c8_0
/data/data/####/2fe6396f17c10146_0
/data/data/####/38930127ced1a452_0
/data/data/####/415cb1ada9f9f1cf_0
/data/data/####/4528c808bf95a529_0
/data/data/####/461b33feea5aa18c_0
/data/data/####/4841d22d5acebbf9_0
/data/data/####/4841d22d5acebbf9_1
/data/data/####/4ccb2e73c98f22cf_0
/data/data/####/4ccb2e73c98f22cf_1
/data/data/####/4d2d467a1a0b9c87ee93d2c1057de6d5.0
/data/data/####/4d2d467a1a0b9c87ee93d2c1057de6d5.1
/data/data/####/543443d95d24a213_0
/data/data/####/5b736bc03cb50efe_0
/data/data/####/5b736bc03cb50efe_1
/data/data/####/61e46dc2b122a4b3_0
/data/data/####/61e46dc2b122a4b3_1
/data/data/####/668e1a221bad9c7a_0
/data/data/####/668e1a221bad9c7a_1
/data/data/####/68f9a1a30519f862_0
/data/data/####/68f9a1a30519f862_1
/data/data/####/70b9d70ad1142446_0
/data/data/####/756c971471027b51_0
/data/data/####/756c971471027b51_1
/data/data/####/773823c325e02f7d_0
/data/data/####/773823c325e02f7d_1
/data/data/####/7811e35b8a9ff40f_0
/data/data/####/82a94373f7184bd5_0
/data/data/####/8376da3d13c91779_0
/data/data/####/83aeed64f6ddf438_0
/data/data/####/84c08875c0779520_0
/data/data/####/888255093f6f13c1_0
/data/data/####/9128b11cbdc3e146_0
/data/data/####/9128b11cbdc3e146_1
/data/data/####/93092372e0c0afe3_0
/data/data/####/93092372e0c0afe3_1
/data/data/####/93436578e2ae9165_0
/data/data/####/93436578e2ae9165_1
/data/data/####/995481063da4d266_0
/data/data/####/995481063da4d266_1
/data/data/####/9975346f93648e56_0
/data/data/####/9975346f93648e56_1
/data/data/####/9a6f9f1ad2808f09_0
/data/data/####/9ea6cd69-c992-49d8-806a-6246c4802699
/data/data/####/9ea6cd69-c992-49d8-806a-6246c4802699 (deleted)
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/Cookies-journal
/data/data/####/IpInfos.xml
/data/data/####/IpInfos.xml.bak
/data/data/####/Push_Page_Config.xml
/data/data/####/VERIFY_SP.xml
/data/data/####/VERIFY_SP.xml.bak
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__local_stat_full_cache.json
/data/data/####/__send_data_1567165499599
/data/data/####/a162559885f19c29bd6e771b50601b73.0
/data/data/####/a162559885f19c29bd6e771b50601b73.1
/data/data/####/a2446b02a8fb145e_0
/data/data/####/a2c46c88066881fe_0
/data/data/####/a2f61712e1b5bc6d_0
/data/data/####/a2f61712e1b5bc6d_1
/data/data/####/a3560376-d0e4-4ae6-a8e5-f33eeb3f9892
/data/data/####/a444049f12db93b3_0
/data/data/####/a4e098d0f173a030_0
/data/data/####/a5e9b30e-e0ac-43ac-bba1-bfa4f141c0b7
/data/data/####/ab3bc4f854df675d_0
/data/data/####/ac6202d7deda8888_0
/data/data/####/aea8a1c13565d5ad_0
/data/data/####/b09223c78128deaec012b1be620b5535.0
/data/data/####/b09223c78128deaec012b1be620b5535.1
/data/data/####/b352ace5-48a1-487e-94f5-1ceffd0cca7b
/data/data/####/b4c901d2b92fb6c5_0
/data/data/####/b4c901d2b92fb6c5_1
/data/data/####/b575706e60968184_0
/data/data/####/b7dd56f5f14a5786_0
/data/data/####/b7dd56f5f14a5786_1
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bal.catch
/data/data/####/bb0ab2710f09397b_0
/data/data/####/bb0ab2710f09397b_1
/data/data/####/be4574e11d024130_0
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_yaq-journal
/data/data/####/bwc.catch
/data/data/####/c22ee511-69d0-41e7-a1d3-f1b2141c6d4b
/data/data/####/c37533c801e1758c_0
/data/data/####/c4179376fbed6e48f3b27c10aaf2247d.0
/data/data/####/c4179376fbed6e48f3b27c10aaf2247d.1
/data/data/####/cb0a6f2573388ec9_0
/data/data/####/cb0a6f2573388ec9_1
/data/data/####/cbdb93db0b5208c1_0
/data/data/####/cbdb93db0b5208c1_1
/data/data/####/cc33cca804154251_0
/data/data/####/cc33cca804154251_1
/data/data/####/cf0afe573df75174_0
/data/data/####/cf0afe573df75174_1
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.common.xml.bak
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.report.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.android.user.profile.xml (deleted)
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.tencent.open.config.json.101081844
/data/data/####/comment.db
/data/data/####/comment.db-journal
/data/data/####/content.db
/data/data/####/content.db-journal
/data/data/####/crashrecord.xml
/data/data/####/d0926b22544f34e1_0
/data/data/####/d0926b22544f34e1_1
/data/data/####/d14e8b6218af3d6fe71f8d700f87c2a9.0.tmp
/data/data/####/d14e8b6218af3d6fe71f8d700f87c2a9.1.tmp
/data/data/####/ddaa8c6a6be3c31c_0
/data/data/####/dfb7ae97a61fe718_0
/data/data/####/dzcj.xml
/data/data/####/e02bf331573b49cd_0
/data/data/####/e02bf331573b49cd_1
/data/data/####/e233599a-16f4-4d28-87bc-7ea96113628d
/data/data/####/e233599a-16f4-4d28-87bc-7ea96113628d (deleted)
/data/data/####/e29280ea133cd8af_0
/data/data/####/e29c382374c2334d_0
/data/data/####/e4d565f2ac1a8a9f_0
/data/data/####/e4d565f2ac1a8a9f_1
/data/data/####/ebf5c3650e4be193_0
/data/data/####/ee5bc52e99369dac_0
/data/data/####/eef09f46fa6d50d8_0
/data/data/####/eef09f46fa6d50d8_1
/data/data/####/expert.db
/data/data/####/expert.db-journal
/data/data/####/expertsinfo
/data/data/####/f307415e-4e6c-4b44-9d83-9778a7f9ee55
/data/data/####/f7343fc68aca3e02_0
/data/data/####/f8839bd20e0d11ed_0
/data/data/####/fa9b5887e4505356_0
/data/data/####/fc23fe6d-20c5-4186-a710-b3983803496a
/data/data/####/fe57a4a48f3249a7_0
/data/data/####/ff2914aca6136aeb_0
/data/data/####/ffd034d81cbfcae933a2aac7220baf83.0.tmp
/data/data/####/ffd034d81cbfcae933a2aac7220baf83.1.tmp
/data/data/####/getui_sp.xml
/data/data/####/http_dzcjapp.aniu.tv_0.localstorage-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libshellx-super.2019.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/map_record.txt
/data/data/####/metrics_guid
/data/data/####/mtj_autoTracker.js
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/preload_ad
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/push_stat_cache.json
/data/data/####/pushsdk.db-journal
/data/data/####/reg_record.txt
/data/data/####/rl.catch
/data/data/####/rqd_record.eup
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sys_log_1567165483243891.txt
/data/data/####/the-real-index
/data/data/####/tj.db
/data/data/####/tj.db-journal
/data/data/####/tomb.zip
/data/data/####/tomb_1567165493983.txt
/data/data/####/tomb_1567165502395.txt
/data/data/####/tosversion
/data/data/####/trace_circle.data
/data/data/####/tv.aniu.app.dzlc.BETA_VALUES.xml
/data/data/####/tv.aniu.app.dzlc_preferences.xml
/data/data/####/weibo_sdk_aid1
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_0.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_0.dex --compiler-filter=interpret-only
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_1.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_1.dex --compiler-filter=interpret-only
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S
ps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней