Adware.Gexin.18435

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) njdx####.d####.tv:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) appact####.d####.tv:8081
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ani####.d####.tv:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.0) 2####.58.211.106:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) 2####.58.211.110:443
TCP(TLS/1.0) t####.j####.cn:443
TCP(TLS/1.0) mtjso####.b####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.2) 2####.58.211.106:443
TCP 1####.230.236.19:7005
TCP cm-1####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224
UDP s.j####.cn:19000
TCP cm-1####.ig####.com:5226
UDP easytom####.com:19000
UDP sis.j####.io:19000

Запросы DNS:

7j####.c####.z0.####.com
ali-s####.j####.cn
and####.b####.qq.com
and####.google####.com
ani####.d####.tv
api.w####.com
appact####.d####.tv
bj####.j####.cn
c-h####.g####.com
cdn-sdk####.g####.com
cgi.con####.qq.com
cm-1####.ig####.com
cm-1####.ig####.com
cm-1####.ig####.com
dxp.b####.com
dzc####.a####.tv
easytom####.com
f####.a####.tv
gd-s####.j####.cn
h####.b####.com
instant####.google####.com
mtjso####.b####.com
njdx####.d####.tv
p####.google####.com
pub-####.qin####.com
s.j####.cn
safebro####.google####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sis.j####.io
t####.j####.cn
zj####.d####.tv

Запросы HTTP GET:

ani####.d####.tv/201609231315331790/201609231315331790.jpg
ani####.d####.tv/2018/10/08/1d4aa647d7e279dab371e9fbf11529b1.jpg
ani####.d####.tv/2019/05/22/b48926020edfe13fb52fcc92d24a2fa2.png
ani####.d####.tv/2019/06/21/b0e2da654a8601b6b5cb28a71a91434c.png?devid=8...
ani####.d####.tv/2019/06/24/d6d106f61beaf874a06cb52c71b7e84f.jpg
ani####.d####.tv/5.8.3/css/iconfont.css
ani####.d####.tv/5.8.3/css/index/indexRecommend.css
ani####.d####.tv/5.8.3/css/mescroll/mescroll-option.css
ani####.d####.tv/5.8.3/css/mescroll/mescroll.min.css
ani####.d####.tv/5.8.3/css/public.css
ani####.d####.tv/5.8.3/css/swiper/swiper.min.css
ani####.d####.tv/5.8.3/fonts/iconfont.ttf?t=####
ani####.d####.tv/5.8.3/html/index/index_ColumnList.html?c_type=####
ani####.d####.tv/5.8.3/images/ClipboardImage.gif
ani####.d####.tv/5.8.3/images/banner_v3.jpg
ani####.d####.tv/5.8.3/images/lloading.gif
ani####.d####.tv/5.8.3/js/fastclick.js
ani####.d####.tv/5.8.3/js/iconfont.js
ani####.d####.tv/5.8.3/js/jquery.base64.js
ani####.d####.tv/5.8.3/js/jquery.md5.js
ani####.d####.tv/5.8.3/js/jquery.min.js
ani####.d####.tv/5.8.3/js/mescroll/mescroll-option.js
ani####.d####.tv/5.8.3/js/mescroll/mescroll.min.js
ani####.d####.tv/5.8.3/js/public.js
ani####.d####.tv/5.8.3/template/index/style.IndexColumnList.js
ani####.d####.tv/5.8.3/template/index/tpl.IndexColumnList.js
ani####.d####.tv/5.8.3/template/pub.ColLabel.js
ani####.d####.tv/aniuapi/api/v2/ad/getadvertisement.html?id=####
ani####.d####.tv/aniuapi/api/v2/aniuChannelUserDialog/doDialog?page=####...
ani####.d####.tv/aniuapi/api/v2/transcript/query?channelid=####&clientid...
ani####.d####.tv/favicon.ico
cdn-sdk####.g####.com.####.com/tdata_dYz578
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?status_os=####&stat...
njdx####.d####.tv/aniuapi/api/v2/ad/appconfig?devid=####&clienttype=####...
njdx####.d####.tv/aniuapi/api/v2/menumanager/gethasmenu?platform=####&de...
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT369
q####.c####.l####.####.com/tdata_LRe817
q####.c####.l####.####.com/tdata_OxN092
q####.c####.l####.####.com/tdata_bca864
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
appact####.d####.tv:8081/addAniuApp
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/04cb1c2d224919e5_0
/data/data/####/04cb1c2d224919e5_1
/data/data/####/0ae8b6d9-71a9-46eb-a532-c4b0019ed716
/data/data/####/1002
/data/data/####/1004
/data/data/####/1e24d66fa3ddbf45_0
/data/data/####/1e24d66fa3ddbf45_1
/data/data/####/1e2bd6e79f813b21_0
/data/data/####/232d5db5c872ad91276a60f9c54c6fe1.0.tmp
/data/data/####/232d5db5c872ad91276a60f9c54c6fe1.1.tmp
/data/data/####/41e210c5-cbea-4703-b7fe-1dd7f3a185f6
/data/data/####/4325f1b30cbf5e45_0
/data/data/####/5c8306f540bc7c4d_0
/data/data/####/5e8741b2b9a65c3b_0
/data/data/####/5ea0dc349b7dc791_0
/data/data/####/5ea0dc349b7dc791_1
/data/data/####/612598d4
/data/data/####/662dfb34bfc79152_0
/data/data/####/6680ee4a-99b4-4d70-a30c-8929369db110
/data/data/####/67d9e4533a0cce60_0
/data/data/####/67d9e4533a0cce60_1
/data/data/####/6d672b7067d10ccc_0
/data/data/####/6d672b7067d10ccc_1
/data/data/####/7077b72157ef3fc6_0
/data/data/####/7811e35b8a9ff40f_0
/data/data/####/785f071db93e9323_0
/data/data/####/7acafa59-e525-4d83-8930-f7a93abcd323
/data/data/####/7acafa59-e525-4d83-8930-f7a93abcd323 (deleted)
/data/data/####/80e2148263b620441a20f245a3393e7b.0.tmp
/data/data/####/80e2148263b620441a20f245a3393e7b.1
/data/data/####/82a56ab5432584a1_0
/data/data/####/841ee2bde8194447_0
/data/data/####/84e1b2c7a3b11218_0
/data/data/####/8a4f7cd4-1038-4eb7-a2a5-8791f5e47a2e
/data/data/####/8aaa8021a9572ce9_0
/data/data/####/8aaa8021a9572ce9_1
/data/data/####/8d5f0d40776f88b1_0
/data/data/####/8d5f0d40776f88b1_1
/data/data/####/947915c7346fefaf_0
/data/data/####/947915c7346fefaf_1
/data/data/####/95f1bb40d128e8c4_0
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/Cookies-journal
/data/data/####/IpInfos.xml
/data/data/####/IpInfos.xml.bak
/data/data/####/Push_Page_Config.xml
/data/data/####/VERIFY_SP.xml
/data/data/####/VERIFY_SP.xml.bak
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__local_stat_full_cache.json
/data/data/####/__send_data_1572393060437
/data/data/####/a1c81816401c58bb_0
/data/data/####/a8068ea094f1
/data/data/####/ab42ffbb-a592-48cf-8b88-9f9fec16ccdc
/data/data/####/ab42ffbb-a592-48cf-8b88-9f9fec16ccdc (deleted)
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bal.catch
/data/data/####/be8a844fec48dbe2_0
/data/data/####/be8a844fec48dbe2_1
/data/data/####/be9ecf3e03720f17_0
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/bwc.catch
/data/data/####/c2c81d6f-dd04-4748-9844-64c355df3d2c
/data/data/####/c304e4f4de9a6c09d176f8ffcebaf946117920142964226....0.tmp
/data/data/####/c8322a01-4331-4769-b7c6-14fbbf0363c2
/data/data/####/c83ba87d104ad013_0
/data/data/####/c83ba87d104ad013_1
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.report.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml.bak
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.tencent.open.config.json.101081844
/data/data/####/content.db
/data/data/####/content.db-journal
/data/data/####/crashrecord.xml
/data/data/####/dzcj.xml
/data/data/####/e15547b2f7908aed_0
/data/data/####/e15547b2f7908aed_1
/data/data/####/f540ef7f70018f6c_0
/data/data/####/fc75b1c9-45aa-464e-83fd-044ab537f8fb
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/http_dzcjapp.aniu.tv_0.localstorage-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/mtj_autoTracker.js
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/push_stat_cache.json
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rl.catch
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sys_log_1572393046201188.txt
/data/data/####/tdata_LRe817
/data/data/####/tdata_LRe817.dex
/data/data/####/tdata_LRe817.dex.flock (deleted)
/data/data/####/tdata_LRe817.jar
/data/data/####/tdata_OxN092
/data/data/####/tdata_OxN092.dex
/data/data/####/tdata_OxN092.dex.flock (deleted)
/data/data/####/tdata_OxN092.jar
/data/data/####/tdata_bca864
/data/data/####/tdata_bca864.dex.flock (deleted)
/data/data/####/tdata_bca864.jar
/data/data/####/tdata_dYz578
/data/data/####/tdata_dYz578.dex
/data/data/####/tdata_dYz578.dex.flock (deleted)
/data/data/####/tdata_dYz578.jar
/data/data/####/the-real-index
/data/data/####/tj.db
/data/data/####/tj.db-journal
/data/data/####/trace_circle.data
/data/data/####/tv.aniu.app.dzlc.BETA_VALUES.xml
/data/data/####/tv.aniu.app.dzlc_preferences.xml
/data/data/####/weibo_sdk_aid1
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/files/tdata_LRe817.jar --oat-fd=73 --oat-location=/data/user/0/<Package>/files/tdata_LRe817.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/files/tdata_OxN092.jar --oat-fd=73 --oat-location=/data/user/0/<Package>/files/tdata_OxN092.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/files/tdata_bca864.jar --oat-fd=73 --oat-location=/data/user/0/<Package>/files/tdata_bca864.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/files/tdata_dYz578.jar --oat-fd=80 --oat-location=/data/user/0/<Package>/files/tdata_dYz578.dex --compiler-filter=speed
cat /proc/uid_stat/10065/tcp_rcv
cat /proc/uid_stat/10065/tcp_snd
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
mount
ps
sh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней