Adware.Gexin.22113

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) r####.yy.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) y####.h####.com:80
TCP(HTTP/1.1) f####.yy.com:80
TCP(HTTP/1.1) x####.yy.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) 1####.11.188.24:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
UDP(TELNET) a####.yy.com:23
UDP(TELNET) 60.2####.219.164:23
UDP(TELNET) 1####.247.249.98:23
UDP(TELNET) 61.1####.52.174:23
UDP(TELNET) 61.1####.29.215:23
UDP(TELNET) wta####.yy.com:23
UDP(TELNET) 14.2####.84.167:23
TCP(TLS/1.0) 1####.250.179.206:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) a####.a####.m.####.com:443
TCP(TLS/1.0) 1####.251.36.42:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) cgi.con####.qq.com:443
TCP(TLS/1.0) r####.yy.com:443
TCP(TLS/1.0) co####.h####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) 1####.250.179.202:443
TCP(TLS/1.2) 2####.58.208.99:443
TCP(TLS/1.2) 1####.250.179.174:443
TCP(TLS/1.2) 1####.250.179.202:443
UDP wta####.yy.com:6002
UDP a####.yy.com:6002
UDP 2####.194.67.7:5002
UDP 61.1####.52.174:6002
UDP a####.yy.com:4002
UDP wta####.yy.com:4002
UDP 1####.20.84.154:6002
UDP wta####.yy.com:5002
UDP 61.1####.52.149:5002
TCP cm-1####.g####.com:5225
UDP 1####.20.84.154:4002
UDP 61.1####.52.149:6002
UDP a####.yy.com:80
UDP 61.1####.73.132:6002
UDP 1####.242.117.100:4002
UDP 2####.170.50.135:6002
TCP zb-cent####.m.ta####.com:443
UDP 61.1####.52.149:4002
UDP 2####.228.248.99:4002
TCP zb-cent####.m.ta####.com:80
UDP a####.yy.com:5002
UDP 1####.247.249.98:80
UDP 61.1####.29.214:6002
UDP 2####.170.50.135:4002
UDP 2####.228.248.99:5002
UDP 1####.231.141.196:80
UDP 1####.247.249.100:4002
UDP 60.2####.219.164:5002
UDP 1####.90.175.157:80
UDP 1####.20.84.154:5002
UDP 1####.247.249.100:6002
UDP 1####.231.141.196:5002
UDP 61.1####.73.132:80
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.m.ta####.com
a####.yy.com
android####.go####.com
c-h####.g####.com
cdn-sdk####.g####.com
cgi.con####.qq.com
cm-1####.g####.com
co####.h####.com
crash-r####.yy.com
d####.h####.com
do.yy.du####.####.8
do.yy.du####.com
f####.yy.com
ho####.yy.com
instant####.google####.com
m####.go####.com
m####.h####.com
msg.umengc####.com
norma-e####.m####.com
r####.yy.com
s####.wta####.yy.com
s.f####.yy.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
umen####.m.ta####.com
umengj####.m.ta####.com
wta####.yy.com
www.gst####.com
x####.yy.com
y####.h####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_RBO669
cdn-sdk####.g####.com.####.com/tdata_cpZ817
cdn-sdk####.g####.com.####.com/tdata_uxr091
cgi.con####.qq.com:443/qqconnectopen/openapi/policy_conf?status_os=####&...
co####.h####.com:443/api/getAppConfig?mid=####&sys=####
co####.h####.com:443/api/getSdkListConfig?sys=####
d####.c####.l####.####.com/config/hzv9.conf
f####.yy.com/activity/random_enter
f####.yy.com/app_yylove/lottery_channel_list?lotteryId=####
f####.yy.com/app_yylove/lovely_beginner_list?pagesize=####&pageindex=####
f####.yy.com/chargepage_ad_config/get_chargepage_ad_config_list?versions...
f####.yy.com/patch/queryPatch?appid=####&version=####&channel=####&os=##...
f####.yy.com/xconfig/json?id=####&p=####
norma-e####.m####.com/android/exchange/getpublickey.do
sdk-ope####.g####.com/api/addr.htm
x####.yy.com/3.4.2/android/switch/getGlobalSwitch?appId=####&sign=####&d...

Запросы HTTP POST:

a####.a####.m.####.com:443/amdc/mobileDispatch?platform=####&v=####&devi...
c-h####.g####.com/api.php?format=####&t=####
f####.yy.com/dau/reporting
msg.umengc####.com:443/launch
msg.umengc####.com:443/register
norma-e####.m####.com/push/android/external/add.do
r####.yy.com/ws/network.do?type=####
r####.yy.com:443/report.do?act=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
y####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/8fb92221b87b
/data/data/####/ACCS_BINDumeng;5c0e0576f1f556dc73000376.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/SP_AROUTER_CACHE.xml.bak
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_andfix_.xml
/data/data/####/_andfix_.xml.bak
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/com.duowan.yylove_preferences.xml
/data/data/####/com.tencent.open.config.json.1105001964
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/com.yy.pushsvc.db-journal
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hd_default_pref.xml
/data/data/####/hd_default_pref.xml (deleted)
/data/data/####/hd_default_pref.xml.bak
/data/data/####/hdcltid.xml
/data/data/####/hdcommon_config_cache_pref.xml
/data/data/####/hdid.bck
/data/data/####/hdid_v2
/data/data/####/hdstatis_cache_32946d21.db-journal
/data/data/####/hdstatis_cache_4bcbabc0.db-journal
/data/data/####/hdstatis_cache_b62623c4.db-journal
/data/data/####/hdstatis_cache_b62623c4_1797281027.db-journal
/data/data/####/hdstatis_cache_f0b03ad5.db-journal
/data/data/####/hdstatis_cache_f4df5118.db-journal
/data/data/####/hduuid_v1
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush_extra.xml
/data/data/####/mz_push_preference.xml
/data/data/####/preverify.apatch
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/table.xml
/data/data/####/tdata_RBO669
/data/data/####/tdata_RBO669.dex
/data/data/####/tdata_RBO669.dex.flock (deleted)
/data/data/####/tdata_RBO669.jar
/data/data/####/tdata_cpZ817
/data/data/####/tdata_cpZ817.dex
/data/data/####/tdata_cpZ817.dex.flock (deleted)
/data/data/####/tdata_cpZ817.jar
/data/data/####/tdata_uxr091
/data/data/####/tdata_uxr091.dex
/data/data/####/tdata_uxr091.dex.flock (deleted)
/data/data/####/tdata_uxr091.jar
/data/data/####/tencent_analysis.db-journal
/data/data/####/udbauthlooog-journal
/data/data/####/user_account-journal
/data/data/####/yyudb2.xml
/data/media/####/06bba39e-1ae4-4069-8fa4-bb39c7dbcbdd.syslog
/data/media/####/1.app.log
/data/media/####/2022-01-01.log.txt
/data/media/####/2d6c980f-2112-4d74-adcd-ba2c84265036.syslog
/data/media/####/3e9aec5546c348758830e4256b0124bf
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Device
/data/media/####/Device_v2
/data/media/####/Global
/data/media/####/LogPath.txt
/data/media/####/app.db
/data/media/####/catonmonitor.txt
/data/media/####/com.duowan.yylove.bin
/data/media/####/com.duowan.yylove.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/config
/data/media/####/d2b08ce4-1e6c-4515-b320-680ecdd98da2
/data/media/####/d69af148292c48f6abe0aa0b6e40a7eb
/data/media/####/deviceToken
/data/media/####/dfd8be2435d9ba9f01d4dd06f7f05d97.0.tmp
/data/media/####/dfd8be2435d9ba9f01d4dd06f7f05d97.1.tmp
/data/media/####/f05821ea-bcaa-4000-9a65-ef54d912aa5d.syslog
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/hdcltid.ini
/data/media/####/hdstatis_20220101.log
/data/media/####/hduuid_v1
/data/media/####/imsdk.txt
/data/media/####/inapp_20220101.log
/data/media/####/info.txt
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/log-jni-makefriends.txt
/data/media/####/logs_2022_01_01_21_56.txt
/data/media/####/mediaSdk-trans.txt
/data/media/####/push_jni_log.txt
/data/media/####/pushsvc_log.txt
/data/media/####/service_20220101.log
/data/media/####/tdata_RBO669
/data/media/####/tdata_cpZ817
/data/media/####/tdata_uxr091
/data/media/####/test.log (deleted)
/data/media/####/yysdk-yym48and.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /proc/cpuinfo
getprop
ip addr
mount

Загружает динамические библиотеки:

andfix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
DES

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней