Adware.Gexin.20604

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) evtup####.yo####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) jzst####.you####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) lar####.c####.l####.####.com:80
TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
TCP(HTTP/1.1) jz.you####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) j.quwe####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) jzst####.yo####.com.####.com:80
TCP(HTTP/1.1) thi####.q####.cn:80
TCP(TLS/1.0) a####.yo####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) d####.me####.com:443
TCP(TLS/1.0) evtup####.yo####.com:443
TCP(TLS/1.0) is.sn####.com:443
TCP(TLS/1.0) regi####.xm####.gl####.####.com:443
TCP cm-1####.g####.com:5227
TCP sdk.o####.t####.####.com:5224
TCP app.c####.gl####.####.net:5222

Запросы DNS:

7j####.c####.z0.####.com
a####.yo####.com
app.c####.gl####.####.net
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
eco####.me####.com
evtup####.yo####.com
h####.shangha####.com
is.sn####.com
j.quwe####.com
jz.you####.com
jzst####.yo####.com
jzst####.you####.com
regi####.xm####.gl####.####.com
reso####.msg.xi####.net
s.startog####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
thi####.q####.cn
u####.u####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EAx630
cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_ZWm384
cdn-sdk####.g####.com.####.com/tdata_fPG280
evtup####.yo####.com/gjj/cpixeljz.cy
jz.you####.com/image//user_icon/201909/41a4447ce41340eb8639c669e1b43efa8...
jzst####.yo####.com.####.com/jzadmin/images/15622938310723458.jpg
jzst####.yo####.com.####.com/jzadmin/images/15622938624821508.jpg
jzst####.yo####.com.####.com/jzadmin/images/15629105843802980.jpg
jzst####.yo####.com.####.com/jzadmin/images/15629108086681967.jpg
jzst####.yo####.com.####.com/jzadmin/images/15633420581517365.png
jzst####.yo####.com.####.com/jzadmin/images/15633421239275107.png
jzst####.yo####.com.####.com/jzadmin/images/15633423589837515.png
jzst####.yo####.com.####.com/jzadmin/images/15656667101712360.png
jzst####.yo####.com.####.com/jzadmin/images/15671339115003152.png
jzst####.yo####.com.####.com/jzadmin/images/15671365232633789.png
jzst####.yo####.com.####.com/jzadmin/images/15671368025963230.jpg
jzst####.yo####.com.####.com/jzadmin/images/15677415191764928.jpg
jzst####.yo####.com.####.com/jzadmin/images/1573540548968870.png
jzst####.yo####.com.####.com/jzadmin/images/15756040234117126.jpg
jzst####.yo####.com.####.com/jzadmin/images/15834750875915377.png
jzst####.yo####.com.####.com/jzadmin/images/15856453651055977.png
jzst####.yo####.com.####.com/jzadmin/images/15895362721354917.png
jzst####.yo####.com.####.com/jzadmin/images/1589536307457242.png
jzst####.yo####.com.####.com/jzadmin/images/15907434011616922.png
jzst####.yo####.com.####.com/jzadmin/images/15925541039411908.png
jzst####.yo####.com.####.com/jzadmin/images/15929877412943033.png
jzst####.yo####.com.####.com/jzadmin/images/15936538862716444.png
jzst####.yo####.com.####.com/jzadmin/images/15941110611226892.png
jzst####.you####.com.####.com//jzadmin/images/15535695208671856.jpg
lar####.c####.l####.####.com/1569578416087_474d95b464ce9927.png
reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
sdk.o####.p####.####.com/api/addr.htm
thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTJ7RnM7DvOsZjm4OOujwAwjwyQK31k5XL...
thi####.q####.cn/mmopen/vi_32/Q0j4TwGTfTLuh6GMiadEfVhz0xicrTFGMadXdHH6mG...
ti####.c####.l####.####.com/tdata_tYM194
tinychi####.q####.com.####.com/config/hzv9.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
j.quwe####.com/f/m1
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/16d8c81166cf647abf538445e5c9c83b.0.tmp
/data/data/####/1b7d98509950de2a48433a739de50cdc.0.tmp
/data/data/####/23111400560d956e949b49ebcec710c8.0.tmp
/data/data/####/3859ffbf766357306a10b3e1297ad191.0.tmp
/data/data/####/442c978e9848a537669c05c27c074267.0.tmp
/data/data/####/467a09d2224e6d5dbb8d404d3d9a97ca.0.tmp
/data/data/####/467a09d2224e6d5dbb8d404d3d9a97ca.1.tmp
/data/data/####/4842dbbdc2add81738e0f1cf3a21af9b.0.tmp
/data/data/####/4bdf71da728d7ef14938bf21bfa0f1d7.0.tmp
/data/data/####/4f87f875d18746e096566dc0d1734b3a.0.tmp
/data/data/####/4f87f875d18746e096566dc0d1734b3a.1.tmp
/data/data/####/537454706f30f73fae6bb1a8712e68fe.0.tmp
/data/data/####/53ae62330b8637c106a5e3d37eea9d7d.0.tmp
/data/data/####/58fc676666210198d6fa0bcc64796016.0.tmp
/data/data/####/5a2added0dc0225e20a5325aed75fc84.0.tmp
/data/data/####/6182
/data/data/####/68282ed01934242d00c4081d1d210b32.0.tmp
/data/data/####/91bfae502ed9ecbefac91a11fc1b0f39.0.tmp
/data/data/####/97fbfe285ab217ff396f523cb8c752dc0e11f182b04c74b....0.tmp
/data/data/####/BuglySdkInfos.xml
/data/data/####/CaiyiPush.xml
/data/data/####/Meiqia.xml
/data/data/####/MultiDex.lock
/data/data/####/UserInfo.xml
/data/data/####/XMPushServiceConfig.xml
/data/data/####/a3072d1f60e23ba184ea900c91b69492.0.tmp
/data/data/####/a==7.5.1&&4.5.0_1594135441207_envelope.log
/data/data/####/ac67e12b2311c87a53d52d130d2f8663.0.tmp
/data/data/####/ad_struct
/data/data/####/b5a432c88a2e89c96397b18010cf2b79.0.tmp
/data/data/####/b8492f4f2154dbe49303ca3ca8a60fdca3488666be87ff1....0.tmp
/data/data/####/b8c62e0078685a76ebaa129e3137b282.0.tmp
/data/data/####/ca69efd595dff1b48febef4e35bad2c3.0.tmp
/data/data/####/com.jz.youyu6796113d00719acec0a31727f572a26e.xml
/data/data/####/com.jz.youyu;pushservice
/data/data/####/com.jz.youyu_preferences.xml
/data/data/####/df1c949d596108777ad4565147841ad7.0.tmp
/data/data/####/doc.zip
/data/data/####/downloader.db-journal
/data/data/####/e6083adae5b1f243e0ace44f51fecae2.0.tmp
/data/data/####/e966089b5d5aaca1a1ed0a657b844ddd.0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f40009b0c50cea72d0192cd072283297.0.tmp
/data/data/####/foc.png
/data/data/####/gdaemon_20161017
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/hoc.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/jz.db-journal
/data/data/####/jz_banner.json
/data/data/####/libjiagu188558744.so
/data/data/####/meiqia.db
/data/data/####/meiqia.db-journal
/data/data/####/message_list.json
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mipush_oc.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/multidex.version.xml
/data/data/####/pref_registered_pkg_names.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sample.db
/data/data/####/sample.zip
/data/data/####/skin_plugin_pref.xml
/data/data/####/sp_client_report_status.xml
/data/data/####/start_cache.json
/data/data/####/tdata_EAx630
/data/data/####/tdata_EAx630.jar
/data/data/####/tdata_ZWm384
/data/data/####/tdata_ZWm384.jar
/data/data/####/tdata_fPG280
/data/data/####/tdata_fPG280.jar
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/youyutongji
/data/data/####/youyutongji-journal
/data/media/####/.nomedia
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jz.youyu.bin
/data/media/####/com.jz.youyu.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/log.lock
/data/media/####/log1.txt
/data/media/####/tdata_EAx630
/data/media/####/tdata_ZWm384
/data/media/####/tdata_fPG280
/data/media/####/test.log
/data/media/####/yyid11

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.caiyi.push.service.GetuiPushService 24226 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version

Загружает динамические библиотеки:

BaiduSpeechSDK
getuiext2
libjiagu188558744

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней