Adware.Gexin.17564

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t####.for####.q####.####.net:80
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) qiniust####.jom####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ae.bdst####.com.####.com:443
TCP(TLS/1.0) daliu####.c####.qini####.com:443
TCP(TLS/1.0) box.jom####.com:443
TCP(TLS/1.0) at.al####.com:443
TCP(TLS/1.0) mbd.n.sh####.com:443
TCP(TLS/1.0) hd.a####.com:443
TCP(TLS/1.0) gat####.c####.com:443
TCP(TLS/1.0) qiniust####.jom####.com:443
TCP(TLS/1.0) t####.for####.q####.####.net:443
TCP(TLS/1.0) t####.c####.q####.####.net:443
TCP(TLS/1.0) opd####.c####.l####.####.com:443
TCP(TLS/1.0) sta####.c####.com:443
TCP(TLS/1.0) tru####.c####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) wap.n.sh####.com:443
TCP(TLS/1.0) ga####.c####.com:443
TCP(TLS/1.0) h####.c####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

ae.bdst####.com
apk.c####.com
at.al####.com
c-h####.g####.com
cambria####.cdn.bc####.com
cm-1####.ig####.com
ext.b####.com
f####.c####.com
ga####.c####.com
gat####.c####.com
h####.c####.com
hm.b####.com
i####.c####.com
img.c####.com
m####.b####.com
m.c####.com
mb.c####.com
mo####.c####.com
mt####.go####.com
pub-####.qin####.com
s.bdst####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
sta####.c####.com
sta####.c####.com
sta####.c####.com
tru####.c####.com
xiongz####.b####.com

Запросы HTTP GET:

hd.a####.com/app/download/?name=website&url=https://m.cnhnb.com/zhuanti/...
qiniust####.jom####.com/
qiniust####.jom####.com/app/download?name=website&url=https://m.cnhnb.co...
sdk.o####.p####.####.com/api/addr.htm
t####.for####.q####.####.net/0ca0e171-8eeb-4204-88ba-65d8d2ef41bc
t####.for####.q####.####.net/11d9a6e3-9ab1-4ac8-8747-80188119eecb
t####.for####.q####.####.net/16b54b88-020e-4409-8b12-dd4740b40a62
t####.for####.q####.####.net/34bc7fe8-2327-47ee-8690-b83d7ea7ca59
t####.for####.q####.####.net/37e257a8-9113-495e-a2ef-3a400c4bf284
t####.for####.q####.####.net/46d738ce-0a7c-4f18-9869-263522d5694a
t####.for####.q####.####.net/52b3f1d5-6b6b-462d-b9cb-948003b756af
t####.for####.q####.####.net/71f82f88-4c0d-4588-b794-71f0c6c8326f
t####.for####.q####.####.net/7ffef3cb-c857-4630-af70-f00491fd991b
t####.for####.q####.####.net/8e095987-e877-4e7b-8c4b-357e835d07f7
t####.for####.q####.####.net/99fbd8da-283d-484d-b697-b47dac954788
t####.for####.q####.####.net/9a266811-c7db-48da-9b1b-c5bef144de95
t####.for####.q####.####.net/bf98dddb-f08e-41b3-8a2c-9024ed3ce3a1
t####.for####.q####.####.net/c0c3a397-2441-483f-9755-a3b4118d1155
t####.for####.q####.####.net/cd2acffb-e19f-42fd-84b3-7dc0f07abe4f
t####.for####.q####.####.net/e870ecd7-77f4-406e-bee4-1dd9a2c9c932

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/__W2A__m.cnhnb.com.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-475686203.so
/data/data/####/multidex.version.xml
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.imei.txt
/data/media/####/20190831.log
/data/media/####/AdEnable.dat
/data/media/####/__shortcut.js
/data/media/####/__template.json
/data/media/####/__wap2app.js
/data/media/####/__wap2app.ttf
/data/media/####/__wap2appbrowser.html
/data/media/####/__wap2appconfig.js
/data/media/####/__wap2appcontext.html
/data/media/####/__wap2apperror.html
/data/media/####/__wap2appplayer.js
/data/media/####/__wap2appquit.js
/data/media/####/__wap2appswiper.html
/data/media/####/__wap2apptabbar.css
/data/media/####/__wap2apptabbar.js
/data/media/####/app.db
/data/media/####/client_index.html
/data/media/####/com.cctir.huinongwang.bin
/data/media/####/com.cctir.huinongwang.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/eje3cnc
/data/media/####/https_m.cnhnb.com_0.localstorage-journal
/data/media/####/manifest.json
/data/media/####/sitemap.json
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25133 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-475686203.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25133 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu-475686203
so

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней