Adware.Gexin.20829

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) d####.cors####.cn:80
TCP(HTTP/1.1) d####.dushem####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) k####.eas####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) cd####.dushem####.com:80
TCP(HTTP/1.1) 1####.57.106.104:8080
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) sf3-ttc####.ps####.com:80
TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) 60.2####.13.54:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) a####.eas####.com:443
TCP(TLS/1.0) dm.ps####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) l####.cc:443
TCP(TLS/1.0) bds.sn####.com:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) api16-a####.pa####.io.####.net:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) dm.tou####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5225
TCP 59.1####.89.59:2020

Запросы DNS:

a####.exc.mob.com
a1.eas####.com
api.map.b####.com
api.s####.mob.com
api16-a####.pa####.io
api16-l####.pa####.io
bds.sn####.com
c-h####.g####.com
c.d####.mob.com
cd####.dushem####.com
cdn-sdk####.g####.com
cm-1####.g####.com
d####.cors####.cn
d####.d####.mob.com
d####.dushem####.com
dig.b####.net
dm.byted####.com
dm.ps####.com
dm.tou####.com
ex####.sn####.com
k####.eas####.com
l####.cc
loc.map.b####.com
m.d####.mob.com
pang####.sn####.com
rs.eas####.com
s####.sn####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sf3-be-####.pglstat####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
to####.ctobsn####.com
tobap####.ctobsn####.com

Запросы HTTP GET:

cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/ad/list_place_ads/1?sy...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/common/check_version/1...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/common/get_validate_ho...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/common/list_app_dictio...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/common/list_filter_wor...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/common/list_validate_t...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/movie/get_douban_analy...
cd####.dushem####.com/dsmovieapi/e78d375e67fa436f/movie_sheet/get_newest...
cdn-sdk####.g####.com.####.com/tdata_MCG269
cdn-sdk####.g####.com.####.com/tdata_cpZ817
cdn-sdk####.g####.com.####.com/tdata_lbt428
d####.cors####.cn/getAd?os=####&brand=####&osv=####&car=####&net=####&sd...
d####.cors####.cn/init?os=####&brand=####&osv=####&car=####&net=####&sdk...
k####.eas####.com/v1/visitors/tenants/41744
m.d####.mob.com/cconf?appkey=####&plat=####&apppkg=####&appver=####&netw...
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
sdk.o####.p####.####.com/api/addr.htm
sf3-ttc####.ps####.com/img/ad.union.api/5a5f8fb0db3c522b80f63a708a19d02b...
sf3-ttc####.ps####.com/img/ad.union.api/fbc39c01c5d1d02c3a77b94dd3aa4fd2...
tinychi####.q####.com.####.com/config/hzv9.conf

Запросы HTTP POST:

a####.exc.mob.com/errconf
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/data2
api.s####.mob.com/log4
c-h####.g####.com/api.php?format=####&t=####
c.d####.mob.com/cdata
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
d####.dushem####.com/dsmovieapi/e78d375e67fa436f/account/report_push_tok...
d####.dushem####.com/dsmovieapi/e78d375e67fa436f/activity/new_user_gift/1
d####.dushem####.com/dsmovieapi/e78d375e67fa436f/user_relation/get_unrea...
loc.map.b####.com/sdk.php
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1135038580-754662270
/data/data/####/.bak
/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/143970178-1509997924
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/ad_sp.xml
/data/data/####/authStatus_com.meiuhvjcli.quzpnvm;remote.xml
/data/data/####/bc.xml
/data/data/####/bd_embed_tea_agent.db
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cid
/data/data/####/common_sp_0.xml
/data/data/####/config.json
/data/data/####/device_id.xml.xml
/data/data/####/downloader.db
/data/data/####/downloader.db-journal
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu595753872.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/movie0.db
/data/data/####/movie0.db-journal
/data/data/####/multidex.version.xml
/data/data/####/npth.xml
/data/data/####/npth_log.db
/data/data/####/npth_log.db-journal
/data/data/####/params.txt
/data/data/####/public_sp.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/server.json
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db
/data/data/####/sharesdk.db-journal
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_push_time.xml
/data/data/####/tdata_MCG269
/data/data/####/tdata_MCG269.jar
/data/data/####/tdata_cpZ817
/data/data/####/tdata_cpZ817.jar
/data/data/####/tdata_lbt428
/data/data/####/tdata_lbt428.jar
/data/data/####/tt_ad_sdk_sp.xml
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_materialMeta.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/tt_splash.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db
/data/data/####/ttopensdk.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/media/####/.al
/data/media/####/.ccLock
/data/media/####/.ccc
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.dh
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.dic_lock
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rc_lock
/data/media/####/.usLock
/data/media/####/1df397dbccab76f9d63fe96db3458666
/data/media/####/1df397dbccab76f9d63fe96db3458666.tmp
/data/media/####/395143c75af2e784c52d1b93232d7737.tmp
/data/media/####/468c3a8ac5325a4921915ac6fdd30e0a.tmp
/data/media/####/9fb014f2e8a688f6ac59a0f760495f20
/data/media/####/9fb014f2e8a688f6ac59a0f760495f20.tmp
/data/media/####/app.db
/data/media/####/clientudid.dat
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.meiuhvjcli.quzpnvm.bin
/data/media/####/com.meiuhvjcli.quzpnvm.db
/data/media/####/easemob.log
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/share_img.png
/data/media/####/tdata_MCG269
/data/media/####/tdata_cpZ817
/data/media/####/tdata_lbt428
/data/media/####/temp_pkg_info.json
/data/media/####/test.0
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/cid
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.dushe.push.getui.GTPushService 25284 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id
grep -E -v root|shell|system
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.dushe.push.getui.GTPushService 25284 300 0
top -d 0 -n 1

Загружает динамические библиотеки:

getuiext2
hyphenate
libjiagu595753872
locSDK7
neh
nms
tobEmbedEncrypt

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DESede
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
DESede

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней