Adware.Gexin.18626

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sf3-ttc####.ps####.com:80
TCP(HTTP/1.1) log.djdu####.com:80
TCP(HTTP/1.1) cdnuser####.shoujid####.com.####.com:80
TCP(HTTP/1.1) o####.sn####.com:80
TCP(HTTP/1.1) log.shoujid####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) 1####.96.178.35:80
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) r####.shoujid####.com:80
TCP(HTTP/1.1) sf1-ttc####.ps####.com:80
TCP(HTTP/1.1) thi####.q####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sf6-ttc####.ps####.com.####.com:80
TCP(TLS/1.0) s####.we####.com:443
TCP(TLS/1.0) is.sn####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
c-h####.g####.com
cdnri####.shoujid####.com
cdnuser####.shoujid####.com
cm-1####.ig####.com
i.sn####.com
is.sn####.com
log.djdu####.com
log.shoujid####.com
log.u####.com
o####.sn####.com
oc.u####.com
r####.shoujid####.com
s####.u####.com
s####.we####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sf1-ttc####.ps####.com
sf3-ttc####.ps####.com
sf6-ttc####.ps####.com
thi####.q####.cn
thi####.q####.cn

Запросы HTTP GET:

1####.96.178.35/ringres/userv1/cover/583/99908583.jpg
1####.96.178.35/ringres/verify.dat
cdnuser####.shoujid####.com.####.com/head_pic/14/user_head_34096610_2019...
cdnuser####.shoujid####.com.####.com/head_pic/19/user_head_31755423_2019...
cdnuser####.shoujid####.com.####.com/head_pic/24/user_head_21977669_2019...
cdnuser####.shoujid####.com.####.com/head_pic/24/user_head_28841811_2019...
cdnuser####.shoujid####.com.####.com/head_pic/37/user_head_40943638_2019...
cdnuser####.shoujid####.com.####.com/head_pic/51/user_head_39092154_2019...
cdnuser####.shoujid####.com.####.com/ringres/userv1/cover/317/97839317.jpg
cdnuser####.shoujid####.com.####.com/ringres/userv1/cover/527/99908527.jpg
cdnuser####.shoujid####.com.####.com/ringres/userv1/cover/847/97614847.jpg
cdnuser####.shoujid####.com.####.com/ringres/userv1/m96/345/99674345.mp3
cdnuser####.shoujid####.com.####.com/ringres/userv1/video/317/97839317.mp4
cdnuser####.shoujid####.com.####.com/ringres/userv1/video/351/99908351.mp4
cdnuser####.shoujid####.com.####.com/ringres/userv1/video/527/99908527.mp4
et2-na6####.wagbr####.ali####.####.com/bar/get/4fa4d53e5270157de9000014/...
log.shoujid####.com/log.php?user=####&prod=####&isrc=####&mac=####&dev=#...
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_imh016
q####.c####.l####.####.com/tdata_uPH680
r####.shoujid####.com/ring_enc.php?cmd=####&q=cTCi0####
r####.shoujid####.com/ring_enc.php?type=####&q=####
r####.shoujid####.com/ringv1/verify.dat
sf1-ttc####.ps####.com/img/mosaic-legacy/1d9390005474060de671a~noop.jpg
sf3-ttc####.ps####.com/img/mosaic-legacy/2da23000900b35a140d72~noop.jpg
sf3-ttc####.ps####.com/img/web.business.image/201910225d0d5fc0e4f8a22f48...
sf6-ttc####.ps####.com.####.com/img/mosaic-legacy/2db0c0004200b1a605c5f~...
sf6-ttc####.ps####.com.####.com/img/web.business.image/201911075d0d46713...
thi####.q####.cn/g?b=####&k=####&s=####
thi####.q####.cn/mmopen/vi_32/3SFicw6bTtYRicNceoibjib5HhKA8kfuCO7qJoQRjO...
thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTI6JBWtiaIdfpsknr6D7KZppwotvDibUP...

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
log.djdu####.com/logs/log.php
o####.sn####.com/access_token/register/device/v2/?
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1573562673138.log
/data/data/####/1vvsn63mukjaxwncrqtgw05w
/data/data/####/1vvsn63mukjaxwncrqtgw05w.tmp
/data/data/####/1vvsn63mukjaxwncrqtgw05w.tmp (deleted)
/data/data/####/27retykfg7z4fjfnxxh9yd4m4
/data/data/####/27retykfg7z4fjfnxxh9yd4m4.tmp
/data/data/####/2zsjkrwkxocwtn63e0kbbemc4
/data/data/####/2zsjkrwkxocwtn63e0kbbemc4.tmp
/data/data/####/5f8bo8oqjfy8tsa7egykq35oy
/data/data/####/5f8bo8oqjfy8tsa7egykq35oy.tmp
/data/data/####/AndroidVideoCache.db-journal
/data/data/####/MultiDex.lock
/data/data/####/__xadsdk__remote__final__builtin__.jar
/data/data/####/_dexmob.xml
/data/data/####/_duoduonews.xml
/data/data/####/app_crash_copy.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/downloader.db-journal
/data/data/####/duoduo.ringtone.database
/data/data/####/duoduo.ringtone.database-journal
/data/data/####/duoduom_gdt_1.jpg.jar
/data/data/####/duomobad_0_1_4.jpg.jar
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu178973751.so
/data/data/####/lock_dm
/data/data/####/lock_gt
/data/data/####/lp4r7ia1z1wvc38zwb8ip8ed
/data/data/####/lp4r7ia1z1wvc38zwb8ip8ed.tmp
/data/data/####/multidex.version.xml
/data/data/####/onlineconfig_agent_online_setting_com.shoujiduo...ne.xml
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/ring.shoujiduoduo.com.xml
/data/data/####/run.pid
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/media/####/-1631693187
/data/media/####/-1816883746
/data/media/####/-1883123376
/data/media/####/-1952987271
/data/media/####/-973722910
/data/media/####/-997058115
/data/media/####/.nomedia
/data/media/####/0db3bfb1131749cfe006ae3b36fe92f2.mp4
/data/media/####/0db3bfb1131749cfe006ae3b36fe92f2.mp4.download
/data/media/####/1351797412
/data/media/####/176997475
/data/media/####/5d5f6b0f5c700b8c8e7256f28cea8cdf.mp4
/data/media/####/5d5f6b0f5c700b8c8e7256f28cea8cdf.mp4.download
/data/media/####/8797192
/data/media/####/92536847
/data/media/####/app.db
/data/media/####/category.tmp
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.shoujiduoduo.ringtone.bin
/data/media/####/com.shoujiduoduo.ringtone.db
/data/media/####/config.tmp
/data/media/####/f7143f53afe9b1a1a83aedceb5ea7751.mp4.download
/data/media/####/hotkey.tmp
/data/media/####/list_0.tmp
/data/media/####/list_1.tmp
/data/media/####/list_33.tmp
/data/media/####/list_4.tmp
/data/media/####/list_6.tmp
/data/media/####/list_8.tmp
/data/media/####/make_ring.xml
/data/media/####/search_ad.tmp
/data/media/####/toplist.tmp
/data/media/####/verify_cdn.dat
/data/media/####/verify_duoduo1.dat
/data/media/####/video_home.tmp
/data/media/####/铃声多多_精彩瑶g.——【中文咚鼓】就这样静静的牵着你的手_A-精彩瑶.mp3

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id

Загружает динамические библиотеки:

getuiext2
libjiagu178973751
mad
opencore_aac
pl_droidsonroids_gif
url_encode

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней