Adware.Gexin.18050

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) h####.shangha####.com:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) j.quwe####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) da####.c####.qini####.com:80
TCP(HTTP/1.1) jzst####.yo####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 47.2####.48.227:443
TCP(TLS/1.0) a####.yo####.com:443
TCP(TLS/1.0) sf6-ttc####.ps####.com.####.com:443
TCP(TLS/1.0) evtup####.yo####.com:443
TCP(TLS/1.0) 47.2####.48.230:443
TCP(TLS/1.0) regi####.xm####.gl####.####.com:443
TCP(TLS/1.0) sf1-ttc####.ps####.com:443
TCP cm-1####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224
TCP app.c####.gl####.####.net:5222

Запросы DNS:

7j####.c####.z0.####.com
a####.yo####.com
app.c####.gl####.####.net
c-h####.g####.com
cm-1####.ig####.com
evtup####.yo####.com
h####.shangha####.com
j.quwe####.com
jzst####.yo####.com
pub-####.qin####.com
regi####.xm####.gl####.####.com
reso####.msg.xi####.net
s.startog####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sf1-ttc####.ps####.com
sf6-ttc####.ps####.com
u####.u####.com

Запросы HTTP GET:

da####.c####.qini####.com/1548383081770_afdd3e24adfc2f2a.png
h####.shangha####.com/gjj/cpixeljz.cy
jzst####.yo####.com.####.com/jzadmin/images/15592857339987689.png
jzst####.yo####.com.####.com/jzadmin/images/15622938310723458.jpg
jzst####.yo####.com.####.com/jzadmin/images/15622938624821508.jpg
jzst####.yo####.com.####.com/jzadmin/images/15627273369015494.png
jzst####.yo####.com.####.com/jzadmin/images/15629105843802980.jpg
jzst####.yo####.com.####.com/jzadmin/images/15629108086681967.jpg
jzst####.yo####.com.####.com/jzadmin/images/15633419815629408.png
jzst####.yo####.com.####.com/jzadmin/images/15633420581517365.png
jzst####.yo####.com.####.com/jzadmin/images/15633421239275107.png
jzst####.yo####.com.####.com/jzadmin/images/15633423589837515.png
jzst####.yo####.com.####.com/jzadmin/images/15656667101712360.png
jzst####.yo####.com.####.com/jzadmin/images/15659473710868157.png
jzst####.yo####.com.####.com/jzadmin/images/15665292669297530.png
jzst####.yo####.com.####.com/jzadmin/images/15670579866116139.png
jzst####.yo####.com.####.com/jzadmin/images/15670581464744892.png
jzst####.yo####.com.####.com/jzadmin/images/15670582225961687.png
jzst####.yo####.com.####.com/jzadmin/images/15671339115003152.png
jzst####.yo####.com.####.com/jzadmin/images/15671344332592974.png
jzst####.yo####.com.####.com/jzadmin/images/15671365232633789.png
jzst####.yo####.com.####.com/jzadmin/images/15671368025963230.jpg
jzst####.yo####.com.####.com/jzadmin/images/15673933331781400.png
jzst####.yo####.com.####.com/jzadmin/images/15673939912697206.png
jzst####.yo####.com.####.com/jzadmin/images/15676642908436545.png
jzst####.yo####.com.####.com/jzadmin/images/1567664425848474.png
jzst####.yo####.com.####.com/jzadmin/images/15677415191764928.jpg
jzst####.yo####.com.####.com/jzadmin/images/15677488026088168.jpg
jzst####.yo####.com.####.com/jzadmin/images/1567999026245365.jpg
jzst####.yo####.com.####.com/jzadmin/images/15688801925992500.png
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT369
q####.c####.l####.####.com/tdata_Gni835
q####.c####.l####.####.com/tdata_WJE468
q####.c####.l####.####.com/tdata_YYn966
q####.c####.l####.####.com/tdata_tYM194
reso####.msg.xi####.net/gslb/?ver=4.0&type=wap&conpt=dvidpodv >>4>>4>>4...
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
j.quwe####.com/f/m1
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/09db17dcb6393611bc876cc73c02e2b3ff2fffa8f366c82....0.tmp
/data/data/####/09e3120ec895a08b4602ee503db9c3da7fbed1fb8d2f4a7....0.tmp
/data/data/####/09f61c367f356fe17bba6890efb81e0990f4a9cf4f9c307....0.tmp
/data/data/####/0dc71c78a6577da63c1207cf7a8aa47d.0.tmp
/data/data/####/0dc71c78a6577da63c1207cf7a8aa47d.1.tmp
/data/data/####/1021689741840853517
/data/data/####/14b981dde010acd45fd14650e7a02f16.0.tmp
/data/data/####/14b981dde010acd45fd14650e7a02f16.1.tmp
/data/data/####/16c2d4b5e6d846fed5a9af518d6a83aa.0.tmp
/data/data/####/16c2d4b5e6d846fed5a9af518d6a83aa.1.tmp
/data/data/####/16d8c81166cf647abf538445e5c9c83b.0.tmp
/data/data/####/16d8c81166cf647abf538445e5c9c83b.1.tmp
/data/data/####/1bb63aba370d5f98f63b8f5120ea7761.0.tmp
/data/data/####/1bb63aba370d5f98f63b8f5120ea7761.1.tmp
/data/data/####/23111400560d956e949b49ebcec710c8.0.tmp
/data/data/####/23111400560d956e949b49ebcec710c8.1.tmp
/data/data/####/2355208d73b5749b3c7e82ecdf98800224a062f184a0584....0.tmp
/data/data/####/283a864f1e99af1bcaae4803bdbe874ff9f22bef8a0a5e3....0.tmp
/data/data/####/2d98d442cbb6ddae284a2d598b87ef39b92207fa51d87c7....0.tmp
/data/data/####/2e6b34988578d522d882e64b2e38b2f0.0.tmp
/data/data/####/2e6b34988578d522d882e64b2e38b2f0.1.tmp
/data/data/####/3357cbaa57e73d60ea21dec2741a9c62.0.tmp
/data/data/####/3357cbaa57e73d60ea21dec2741a9c62.1.tmp
/data/data/####/3717d8be32d468bb0e802d430062e95e269c39807ce7ed7....0.tmp
/data/data/####/3859ffbf766357306a10b3e1297ad191.0.tmp
/data/data/####/3859ffbf766357306a10b3e1297ad191.1.tmp
/data/data/####/3f8dff277e2dcd7cb75f2c20a3553786626b9fd119bcbf0....0.tmp
/data/data/####/40ffbe0f023522906c0dd95d95025b86d5f647ad8e01b9a....0.tmp
/data/data/####/4455
/data/data/####/467a09d2224e6d5dbb8d404d3d9a97ca.0.tmp
/data/data/####/467a09d2224e6d5dbb8d404d3d9a97ca.1.tmp
/data/data/####/4842dbbdc2add81738e0f1cf3a21af9b.0.tmp
/data/data/####/4842dbbdc2add81738e0f1cf3a21af9b.1.tmp
/data/data/####/48f7b4a04b8ffb1a068032ecf5c234a7.0.tmp
/data/data/####/48f7b4a04b8ffb1a068032ecf5c234a7.1.tmp
/data/data/####/4f87f875d18746e096566dc0d1734b3a.0.tmp
/data/data/####/4f87f875d18746e096566dc0d1734b3a.1.tmp
/data/data/####/537454706f30f73fae6bb1a8712e68fe.0.tmp
/data/data/####/537454706f30f73fae6bb1a8712e68fe.1.tmp
/data/data/####/5398d96d78f7
/data/data/####/54f060b3a22850963a8b58c24d2ce8dae1ad01534c9768d....0.tmp
/data/data/####/58fc676666210198d6fa0bcc64796016.0.tmp
/data/data/####/58fc676666210198d6fa0bcc64796016.1.tmp
/data/data/####/641121888b2e16cad277de4da6749db7.0.tmp
/data/data/####/641121888b2e16cad277de4da6749db7.1.tmp
/data/data/####/6dae8d6b907c4c4e6cdfc4ecb5f78b6a7344d6b304c5fa7....0.tmp
/data/data/####/70e917da2aa281fdd21c9487cb3f84e2.0.tmp
/data/data/####/70e917da2aa281fdd21c9487cb3f84e2.1.tmp
/data/data/####/7b673c2440ed14f0a2420eaced9fb384ff21daab30b4c52....0.tmp
/data/data/####/7e024a636a604d66be27b2ba27a113b4.0.tmp
/data/data/####/7e024a636a604d66be27b2ba27a113b4.1.tmp
/data/data/####/7e64969dd165879f23f3bcac05aa8818c370a0aaa9758a7....0.tmp
/data/data/####/87fb483ca78412ca0ec74591623fc875d8727bfd87b6834....0.tmp
/data/data/####/8b5c6bca374a2b893247601188a52969df4804352d9f82e....0.tmp
/data/data/####/925e84374211716a10f9c6e550802ffb1995afc2062a5ee....0.tmp
/data/data/####/94324250ad91f0dede657f7997751d84.0.tmp
/data/data/####/94324250ad91f0dede657f7997751d84.1.tmp
/data/data/####/949394a2c806e712b0e84ccdae2a98c2e19d482ab0ffb5d....0.tmp
/data/data/####/97fbfe285ab217ff396f523cb8c752dc0e11f182b04c74b....0.tmp
/data/data/####/9dac178827f890ddfcc79a674bff99ece1754d06a162b3e....0.tmp
/data/data/####/CaiyiPush.xml
/data/data/####/MultiDex.lock
/data/data/####/UserInfo.xml
/data/data/####/UserInfo.xml.bak
/data/data/####/XMPushServiceConfig.xml
/data/data/####/a3072d1f60e23ba184ea900c91b69492.0.tmp
/data/data/####/a3072d1f60e23ba184ea900c91b69492.1.tmp
/data/data/####/a5ea74429efe2cc7778e3929ad69fda7352dfd8a40a2f98....0.tmp
/data/data/####/a96d98674f2c5ee3672e3acbf3a4f7ad8baaab76801b9c3....0.tmp
/data/data/####/a==7.5.1&&4.7.1_1569694499651_envelope.log
/data/data/####/ac67e12b2311c87a53d52d130d2f8663.0.tmp
/data/data/####/ac67e12b2311c87a53d52d130d2f8663.1.tmp
/data/data/####/ad_struct
/data/data/####/b2cf8b974611e7075e58eb7e5c2c5e4549bb069c157c972....0.tmp
/data/data/####/b2cf8b974611e7075e58eb7e5c2c5e4549bb069c157c972...8c6c.0
/data/data/####/b8492f4f2154dbe49303ca3ca8a60fdca3488666be87ff1....0.tmp
/data/data/####/c2ab3ed223d8d14c673167aff71fbdd4.0.tmp
/data/data/####/c2ab3ed223d8d14c673167aff71fbdd4.1.tmp
/data/data/####/cb56595757fc4811d1a8dd942b32f0b8.0.tmp
/data/data/####/cb56595757fc4811d1a8dd942b32f0b8.1.tmp
/data/data/####/cd565de15159a85073608012365e08bb.0.tmp
/data/data/####/cd565de15159a85073608012365e08bb.1.tmp
/data/data/####/com.jz.youyu6796113d00719acec0a31727f572a26e.xml
/data/data/####/com.jz.youyu;pushservice
/data/data/####/com.jz.youyu_preferences.xml
/data/data/####/d08907d8b3f0cf05c9e79f1af580c97f700d1afc31c53b7....0.tmp
/data/data/####/d3baae69df00e0568e28fb9ccfb243f42802a58058fd1f5....0.tmp
/data/data/####/da006205a1912d93e7be8ff52b494c010ceb9cda995dd2a....0.tmp
/data/data/####/doc.zip
/data/data/####/downloader.db-journal
/data/data/####/e67e76bc1cb4049c30a1a2f39fbe4ee0ffb0794e05d3222....0.tmp
/data/data/####/e966089b5d5aaca1a1ed0a657b844ddd.0.tmp
/data/data/####/e966089b5d5aaca1a1ed0a657b844ddd.1.tmp
/data/data/####/eb7380be0f16b70cbead0d174d5b75f6.0.tmp
/data/data/####/eb7380be0f16b70cbead0d174d5b75f6.1.tmp
/data/data/####/ec3c51221bd3697583a7de7eac496f46.0.tmp
/data/data/####/ec3c51221bd3697583a7de7eac496f46.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f40009b0c50cea72d0192cd072283297.0.tmp
/data/data/####/f40009b0c50cea72d0192cd072283297.1.tmp
/data/data/####/ff25e2b4c26fe22e5369579f3a4b867f2553f444f33640f....0.tmp
/data/data/####/foc.png
/data/data/####/gdaemon_20161017
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hoc.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jz.db-journal
/data/data/####/jz_banner.json
/data/data/####/libjiagu188558744.so
/data/data/####/message_list.json
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mipush_oc.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/multidex.version.xml
/data/data/####/pref_registered_pkg_names.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sample.db
/data/data/####/sample.db-journal
/data/data/####/sample.zip
/data/data/####/sp_client_report_status.xml
/data/data/####/start_cache.json
/data/data/####/tdata_Gni835
/data/data/####/tdata_Gni835.jar
/data/data/####/tdata_WJE468
/data/data/####/tdata_WJE468.jar
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_tYM194
/data/data/####/tdata_tYM194.jar
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/youyutongji
/data/data/####/youyutongji-journal
/data/media/####/.nomedia
/data/media/####/2e365c88c5590ed77520ef63ca6fe721.tmp
/data/media/####/a407261d0ab25f2fe94b640889e5ff3d.tmp
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jz.youyu.bin
/data/media/####/com.jz.youyu.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/log.lock
/data/media/####/log1.txt
/data/media/####/tdata_Gni835
/data/media/####/tdata_WJE468
/data/media/####/tdata_YYn966
/data/media/####/tdata_tYM194
/data/media/####/temp_pkg_info.json
/data/media/####/test.log
/data/media/####/yyid11

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.caiyi.push.service.GetuiPushService 24226 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
mount
sh

Загружает динамические библиотеки:

BaiduSpeechSDK
getuiext2
libjiagu188558744
nms

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней