Adware.Gexin.18255

Adware.Gexin.18255

Добавлен в вирусную базу Dr.Web: 2019-10-17

Описание добавлено: 2019-10-17

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) i####.hon####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) andro####.hon####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) i####.hon####.com:443

Запросы DNS:

andro####.hon####.com
av1.x####.com
c####.x####.com
c####.x####.com
i####.hon####.com
i####.hon####.com
log.hon####.com
plb####.u####.com
sdk.o####.p####.####.com
u####.u####.com

Запросы HTTP GET:

i####.hon####.com/img/bangdan/20190603huatai.540.jpg
i####.hon####.com/img/bangdan/20191011.100731.540.jpg
i####.hon####.com/sitecount/ref.do?t=1571122234629&position=https://andr...

Запросы HTTP POST:

sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1571122213836_2274
/data/data/####/1571122213930_2274
/data/data/####/1571122214017_2274
/data/data/####/1571122214685_2274
/data/data/####/1571122217009_2274
/data/data/####/1571122222835_2274
/data/data/####/1571122222887_2274
/data/data/####/1571122223165_2274
/data/data/####/1571122223244_2274
/data/data/####/1571122226880_2274
/data/data/####/1571122226932_2274
/data/data/####/1571122229820_2274
/data/data/####/1571122229994_2274
/data/data/####/1571122230472_2274
/data/data/####/1571122278491_2274
/data/data/####/4b746b93065bda681d44d1194fbbd4f10b03aaba1874dec....0.tmp
/data/data/####/6f81b0190664aa0e080b7d518632aad8b827a3f0444207c....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/FavDATA.xml
/data/data/####/MiscDATA.xml
/data/data/####/MultiDex.lock
/data/data/####/TDCloudSettingsConfig4211D3004564432A8D27C299D6A0B729.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UserDATA.xml
/data/data/####/a==7.5.3&&3.7.3_1571122213825_envelope.log
/data/data/####/c65025db53eddd9ec2a59b2a8e6046f1d7a7123e14b1cb9....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcxMTIyMjEzMjYw;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/gdt_first_install_file.xml
/data/data/####/getui_sp.xml
/data/data/####/hong.db-journal
/data/data/####/i==1.2.0&&3.7.3_1571122213309_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/libjiagu-815112179.so
/data/data/####/multidex.version.xml
/data/data/####/pop_config_file.xml
/data/data/####/salt
/data/data/####/select_class_id_file.xml
/data/data/####/sex_flag_name.xml
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/-1695376217
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/10889816.sht
/data/media/####/10889817.sht
/data/media/####/10889818.sht
/data/media/####/10890190.sht
/data/media/####/10890909.sht
/data/media/####/10891552.sht
/data/media/####/10892561.sht
/data/media/####/10893270.sht
/data/media/####/10893769.sht
/data/media/####/10894297.sht
/data/media/####/10894299.sht
/data/media/####/10894300.sht
/data/media/####/10894302.sht
/data/media/####/10894315.sht
/data/media/####/10894845.sht
/data/media/####/10894847.sht
/data/media/####/10894850.sht
/data/media/####/10894853.sht
/data/media/####/10894864.sht
/data/media/####/10894865.sht
/data/media/####/10910673.sht
/data/media/####/10910674.sht
/data/media/####/10910675.sht
/data/media/####/10910676.sht
/data/media/####/10910678.sht
/data/media/####/10911073.sht
/data/media/####/10911074.sht
/data/media/####/10911075.sht
/data/media/####/10911698.sht
/data/media/####/10911730.sht
/data/media/####/10912316.sht
/data/media/####/10912357.sht
/data/media/####/10912930.sht
/data/media/####/10912968.sht
/data/media/####/10913549.sht
/data/media/####/10913595.sht
/data/media/####/10914216.sht
/data/media/####/10914266.sht
/data/media/####/10914894.sht
/data/media/####/10914936.sht
/data/media/####/10915533.sht
/data/media/####/10915564.sht
/data/media/####/11091986.sht
/data/media/####/11096814.sht
/data/media/####/11097351.sht
/data/media/####/11098927.sht
/data/media/####/11099928.sht
/data/media/####/11100864.sht
/data/media/####/11101813.sht
/data/media/####/11102778.sht
/data/media/####/11103415.sht
/data/media/####/11104801.sht
/data/media/####/11105801.sht
/data/media/####/11106768.sht
/data/media/####/11107780.sht
/data/media/####/11108758.sht
/data/media/####/11108760.sht
/data/media/####/11109741.sht
/data/media/####/11109751.sht
/data/media/####/11110792.sht
/data/media/####/11111727.sht
/data/media/####/11111743.sht
/data/media/####/11112786.sht
/data/media/####/11113997.sht
/data/media/####/11115026.sht
/data/media/####/11116086.sht
/data/media/####/11116155.sht
/data/media/####/11117047.sht
/data/media/####/11118047.sht
/data/media/####/11119075.sht
/data/media/####/11120196.sht
/data/media/####/11121377.sht
/data/media/####/11122365.sht
/data/media/####/11123337.sht
/data/media/####/11124009.sht
/data/media/####/2023520444
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop
ls /sys/class/thermal

Загружает динамические библиотеки:

getuiext2
libjiagu-815112179

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней