Adware.Gexin.18066

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 2####.119.214.125:80
TCP(HTTP/1.1) i####.hon####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) andro####.hon####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) i####.hon####.com:443

Запросы DNS:

andro####.hon####.com
av1.x####.com
c####.x####.com
c####.x####.com
i####.hon####.com
i####.hon####.com
log.hon####.com
plb####.u####.com
sdk.o####.p####.####.com
u####.u####.com

Запросы HTTP GET:

2####.119.214.125/bar/get/52d637a756240b840c019238/?ud_get=####
i####.hon####.com/img/bangdan/20190603huatai.540.jpg
i####.hon####.com/img/bangdan/20190901.activity.540.jpg
i####.hon####.com/img/bangdan/20190927.82503.540.jpg
i####.hon####.com/sitecount/ref.do?t=1569767171048&position=https://andr...

Запросы HTTP POST:

sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1569767154368_2741
/data/data/####/1569767154440_2741
/data/data/####/1569767154545_2741
/data/data/####/1569767154968_2741
/data/data/####/1569767157918_2854
/data/data/####/1569767158684_2854
/data/data/####/1569767161634_2854
/data/data/####/1569767162908_2854
/data/data/####/1569767162935_2854
/data/data/####/1569767163173_2854
/data/data/####/1569767163232_2854
/data/data/####/1569767165627_2854
/data/data/####/1569767165717_2854
/data/data/####/1569767166170_2854
/data/data/####/1569767168320_2854
/data/data/####/4b746b93065bda681d44d1194fbbd4f10b03aaba1874dec....0.tmp
/data/data/####/83650a33d008c9ca69dfd19c608f4dc84ce2dddc8924a9c....0.tmp
/data/data/####/9483bb024cca377a10934fd8a7c561033f5d6e0084fa552....0.tmp
/data/data/####/9483bb024cca377a10934fd8a7c561033f5d6e0084fa552...468f.0
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/FavDATA.xml
/data/data/####/MiscDATA.xml
/data/data/####/MultiDex.lock
/data/data/####/TDCloudSettingsConfig4211D3004564432A8D27C299D6A0B729.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UserDATA.xml
/data/data/####/a==7.5.3&&3.7.3_1569767154569_envelope.log
/data/data/####/c5a8c3ee128a191f21aaa1a0b7e2413b9481462da922b62....0.tmp
/data/data/####/c65025db53eddd9ec2a59b2a8e6046f1d7a7123e14b1cb9....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY5NzY3MTU4NTA4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY5NzY3MTUzOTE1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/gdt_first_install_file.xml
/data/data/####/getui_sp.xml
/data/data/####/hong.db-journal
/data/data/####/i==1.2.0&&3.7.3_1569767153974_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/libjiagu-815112179.so
/data/data/####/multidex.version.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/salt
/data/data/####/select_class_id_file.xml
/data/data/####/sex_flag_name.xml
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/-1695376217
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/10829545.sht
/data/media/####/10829548.sht
/data/media/####/10829549.sht
/data/media/####/10829550.sht
/data/media/####/10829551.sht
/data/media/####/10829552.sht
/data/media/####/10829553.sht
/data/media/####/10829555.sht
/data/media/####/10829556.sht
/data/media/####/10829558.sht
/data/media/####/10829560.sht
/data/media/####/10829561.sht
/data/media/####/10829562.sht
/data/media/####/10829563.sht
/data/media/####/10829564.sht
/data/media/####/10829725.sht
/data/media/####/10829814.sht
/data/media/####/10830354.sht
/data/media/####/10830444.sht
/data/media/####/10830902.sht
/data/media/####/10830970.sht
/data/media/####/10836181.sht
/data/media/####/10836227.sht
/data/media/####/10836619.sht
/data/media/####/10836677.sht
/data/media/####/10836687.sht
/data/media/####/10836702.sht
/data/media/####/10837221.sht
/data/media/####/10837252.sht
/data/media/####/10837278.sht
/data/media/####/10837296.sht
/data/media/####/10837678.sht
/data/media/####/10837708.sht
/data/media/####/10837773.sht
/data/media/####/10838164.sht
/data/media/####/10838188.sht
/data/media/####/10838209.sht
/data/media/####/10838770.sht
/data/media/####/10839306.sht
/data/media/####/10839328.sht
/data/media/####/10839674.sht
/data/media/####/10839710.sht
/data/media/####/10839737.sht
/data/media/####/10840410.sht
/data/media/####/10840517.sht
/data/media/####/10840518.sht
/data/media/####/10840519.sht
/data/media/####/10840810.sht
/data/media/####/10840839.sht
/data/media/####/10841332.sht
/data/media/####/10841359.sht
/data/media/####/10841919.sht
/data/media/####/10841928.sht
/data/media/####/10841950.sht
/data/media/####/10842345.sht
/data/media/####/10842397.sht
/data/media/####/10842425.sht
/data/media/####/10842923.sht
/data/media/####/10842941.sht
/data/media/####/10843035.sht
/data/media/####/10843494.sht
/data/media/####/10843560.sht
/data/media/####/10843572.sht
/data/media/####/10844066.sht
/data/media/####/10844097.sht
/data/media/####/10844118.sht
/data/media/####/10844449.sht
/data/media/####/10844451.sht
/data/media/####/10844452.sht
/data/media/####/10844856.sht
/data/media/####/10844860.sht
/data/media/####/10844861.sht
/data/media/####/10849555.sht
/data/media/####/10849556.sht
/data/media/####/10849557.sht
/data/media/####/10850433.sht
/data/media/####/10850532.sht
/data/media/####/10850867.sht
/data/media/####/10850963.sht
/data/media/####/10851075.sht
/data/media/####/10851399.sht
/data/media/####/10851647.sht
/data/media/####/10851755.sht
/data/media/####/10852095.sht
/data/media/####/10852194.sht
/data/media/####/10852277.sht
/data/media/####/10852588.sht
/data/media/####/10852733.sht
/data/media/####/10852829.sht
/data/media/####/10853151.sht
/data/media/####/10853308.sht
/data/media/####/10853372.sht
/data/media/####/10853677.sht
/data/media/####/10853810.sht
/data/media/####/10853895.sht
/data/media/####/10854193.sht
/data/media/####/10854586.sht
/data/media/####/10854657.sht
/data/media/####/10854908.sht
/data/media/####/10855072.sht
/data/media/####/10855153.sht
/data/media/####/10855394.sht
/data/media/####/10855554.sht
/data/media/####/10855639.sht
/data/media/####/10855912.sht
/data/media/####/10856090.sht
/data/media/####/10856171.sht
/data/media/####/10856415.sht
/data/media/####/10856640.sht
/data/media/####/10856955.sht
/data/media/####/10857128.sht
/data/media/####/10857369.sht
/data/media/####/10857573.sht
/data/media/####/10857830.sht
/data/media/####/10858050.sht
/data/media/####/10858304.sht
/data/media/####/10858496.sht
/data/media/####/10858776.sht
/data/media/####/10858965.sht
/data/media/####/10859237.sht
/data/media/####/10859467.sht
/data/media/####/10859817.sht
/data/media/####/10860178.sht
/data/media/####/10860347.sht
/data/media/####/11126498.sht
/data/media/####/11126499.sht
/data/media/####/11127546.sht
/data/media/####/11127547.sht
/data/media/####/11128646.sht
/data/media/####/11128647.sht
/data/media/####/11129720.sht
/data/media/####/11129721.sht
/data/media/####/11130814.sht
/data/media/####/11130816.sht
/data/media/####/11132635.sht
/data/media/####/11132636.sht
/data/media/####/11133632.sht
/data/media/####/11133633.sht
/data/media/####/11134594.sht
/data/media/####/11134595.sht
/data/media/####/11135786.sht
/data/media/####/11135788.sht
/data/media/####/11136731.sht
/data/media/####/11136732.sht
/data/media/####/11136733.sht
/data/media/####/11136738.sht
/data/media/####/11138031.sht
/data/media/####/11138032.sht
/data/media/####/11138033.sht
/data/media/####/11138034.sht
/data/media/####/11138932.sht
/data/media/####/11138934.sht
/data/media/####/11138936.sht
/data/media/####/11138937.sht
/data/media/####/11139242.sht
/data/media/####/11139243.sht
/data/media/####/11139245.sht
/data/media/####/11139246.sht
/data/media/####/11140225.sht
/data/media/####/11140227.sht
/data/media/####/11140229.sht
/data/media/####/11140230.sht
/data/media/####/11141615.sht
/data/media/####/11141625.sht
/data/media/####/11142546.sht
/data/media/####/11142555.sht
/data/media/####/11143671.sht
/data/media/####/11144664.sht
/data/media/####/11145531.sht
/data/media/####/11146849.sht
/data/media/####/11147961.sht
/data/media/####/11148519.sht
/data/media/####/19-09-29 17;25;38.txt
/data/media/####/19-09-29 17;25;40.txt
/data/media/####/19-09-29 17;25;43.txt
/data/media/####/19-09-29 17;25;47.txt
/data/media/####/19-09-29 17;25;48.txt
/data/media/####/19-09-29 17;25;49.txt
/data/media/####/19-09-29 17;25;51.txt
/data/media/####/19-09-29 17;25;55.txt
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop
ls /sys/class/thermal

Загружает динамические библиотеки:

getuiext2
libjiagu-815112179

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней