Adware.Gexin.22289

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) m.me####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) al####.u####.com:80
TCP(HTTP/1.1) g.kexi####.com:80
TCP(HTTP/1.1) api.baby####.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) trac####.baby####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) fp.baby####.com:80
UDP(NTP) 1.cn.p####.####.org:123
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) map####.baby####.com:443
TCP(TLS/1.0) api.face####.com:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) app.x####.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) 74.1####.205.95:443
TCP(TLS/1.0) jic.talking####.com:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) pla####.google####.com:443
TCP(TLS/1.2) instant####.google####.com:443
TCP(TLS/1.2) 1####.194.73.139:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5224

Запросы DNS:

1.cn.p####.####.org
a####.man.aliy####.com
a####.u####.com
and####.b####.qq.com
api.baby####.com
app.x####.com
beacon####.aliy####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
fp.baby####.com
g####.face####.com
g.kexi####.com
i####.cn
id1.cn.8.####.8
instant####.google####.com
jic.talking####.com
log.u####.com
m####.baby####.com
m####.go####.com
m.me####.com
map####.baby####.com
pg.x####.com
pg.x####.com.####.8
pla####.google####.com
pv.s####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
trac####.baby####.com
u####.u####.com
www.gst####.com

Запросы HTTP GET:

api.baby####.com/api/mobile_info/get_push_config?longitude=####&app_id=#...
api.baby####.com/api/mobile_timeline/get_interesting_list?longitude=####...
api.baby####.com/api/session_message/message_list?start=####&longitude=#...
api.baby####.com/bafconfigcenter_intf/config/get?os=####&sign=####&ts=##...
api.baby####.com/data_analytics_intf/circle/get_config?updated=####&os=#...
api.baby####.com/wetime/family_album/family_list?page_limit=####&longitu...
api.face####.com:443/v3.2/329328530844955/mobile_sdk_gk?fields=####&form...
api.face####.com:443/v3.2/329328530844955?fields=####&format=####&sdk=####
cdn-sdk####.g####.com.####.com/tdata_EAx630
cdn-sdk####.g####.com.####.com/tdata_fPG280
cdn-sdk####.g####.com.####.com/tdata_kPg706
d####.c####.l####.####.com/config/hzv9.conf
def####.cn.zb.####.com:443/bar/get/512c448e5270150c4100006a/?pcv=####&de...
fp.baby####.com/api/mobile_hucai/print_photo?longitude=####&photo_ids=##...
g.kexi####.com/conf.do?version=####&releaseDateTime=####
gd.a.s####.com/cityjson?ie=####
m.me####.com/newapi/router/memberData/getConstantData?cityid=####&protoc...
map####.baby####.com:443/newapi/luban/behavior/list?version=####&sdkVers...
sdk-ope####.g####.com/api/addr.htm

Запросы HTTP POST:

adash####.man.aliy####.com/man/api?ak=####&s=####
al####.u####.com/app_logs
al####.u####.com:443/unify_logs
and####.b####.qq.com/rqd/async?aid=####
api.baby####.com/api/api_monitor/getMonitorUrl
api.face####.com:443/v3.2/329328530844955/activities
app.x####.com:443/g/d?crc=####
beacon####.aliy####.com/beacon/fetch/config/byappkey
c-h####.g####.com/api.php?format=####&t=####
fp.baby####.com/udid/m1?sign=####&appKey=####&app=####&version=####
sdk-ope####.g####.com/api.php?format=####&t=####
trac####.baby####.com/warlock-collector/service/T0002
trac####.baby####.com/warlock-collector/service/T0003

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.android.db
/data/data/####/.cache_tmpXX.db
/data/data/####/.cl
/data/data/####/.files.db
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/.sf.db.xml
/data/data/####/1004
/data/data/####/24c110e1f76093b35c3c2df1927aab79.0
/data/data/####/565a66fa
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Alvin2.xml
/data/data/####/Constant.xml
/data/data/####/ContextData.xml
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/SP_AROUTER_CACHE.xml.bak (deleted)
/data/data/####/TDCloudSettingsConfig25B735B5FB6C45BA86BFEC7BD1E22640.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/ad_stat.db-journal
/data/data/####/agoo.pid
/data/data/####/alsn.db
/data/data/####/alsn.db-journal
/data/data/####/analytic.db-journal
/data/data/####/ap.Lock
/data/data/####/b_monitor.db-journal
/data/data/####/babytree_statistics.db-journal
/data/data/####/baf-ad-new.xml
/data/data/####/baf-new-ad.db-journal
/data/data/####/baf-user-encourage.xml
/data/data/####/baf_config_bafUserCenter12.xml
/data/data/####/bb_analytic_prefer.xml.xml
/data/data/####/bb_analytic_prefer.xml.xml (deleted)
/data/data/####/bb_monitor_prefer.xml.xml
/data/data/####/bbtreactnative_lib_reactnativecalendars_calenda...ay.png
/data/data/####/bbtreactnative_lib_reactnativecalendars_calenda...ed.png
/data/data/####/bbtreactnative_lib_reactnativecalendars_calenda...us.png
/data/data/####/bbtreactnative_lib_reactnativecalendars_calenda...xt.png
/data/data/####/bbtreactnative_views_checkbox_img_check.png
/data/data/####/bbtreactnative_views_fetcherror_img_fetch_error.png
/data/data/####/bbtreactnative_views_listviewbindurl_img_top2.png
/data/data/####/bugly_db_-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/classes.dex;classes8.dex
/data/data/####/classes.oat
/data/data/####/com.babytree.apps.lama_preferences.xml
/data/data/####/com.babytree.apps.lama_preferences.xml.bak
/data/data/####/com.babytree.apps.lama_preferences.xml.bak (deleted)
/data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
/data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
/data/data/####/com.facebook.sdk.appEventPreferences.xml
/data/data/####/com.facebook.sdk.attributionTracking.xml
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjQxNDc2Mjg2MTI0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNjQxNDc2MzIwNTQ4;
/data/data/####/db.db
/data/data/####/db.db-journal
/data/data/####/device_info.xml
/data/data/####/dfba17c4d52138281c2597d63d6b225a.0
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/i==1.2.0&&8.0.8_1641476287212_envelope.log
/data/data/####/index.jsbundle
/data/data/####/index.jsbundle.meta
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/lama_comm_assets_camera.png
/data/data/####/lama_comm_assets_default_avatar.png
/data/data/####/lama_comm_assets_delete.png
/data/data/####/lama_comm_assets_edit.png
/data/data/####/lama_comm_views_cellitem_img_right.png
/data/data/####/lama_comm_views_nothing_nothing.png
/data/data/####/lama_comm_views_notnet_assets_artwork.png
/data/data/####/lama_comm_views_textbackbutton_img_back.png
/data/data/####/lama_message_assets_arrowleft.png
/data/data/####/lama_message_assets_balloon.png
/data/data/####/lama_message_assets_group6.png
/data/data/####/lama_message_assets_shadow.png
/data/data/####/lama_message_assets_v_user.png
/data/data/####/lama_people_img_back.png
/data/data/####/lama_people_img_backlight.png
/data/data/####/lama_people_img_checked.png
/data/data/####/lama_people_img_nophoto.png
/data/data/####/lama_people_img_selected.png
/data/data/####/lama_people_img_unchecked.png
/data/data/####/lama_story_components_scrollheaderview_assets_avatar.jpeg
/data/data/####/lama_story_components_scrollheaderview_assets_cat.jpg
/data/data/####/lama_tellstory_assets_artboard.png
/data/data/####/lama_tellstory_assets_x.png
/data/data/####/lama_user_assets_achievement.png
/data/data/####/lama_user_assets_arrow.png
/data/data/####/lama_user_assets_arrowleft.png
/data/data/####/lama_user_assets_artwork.png
/data/data/####/lama_user_assets_avator.png
/data/data/####/lama_user_assets_balloon.png
/data/data/####/lama_user_assets_black.png
/data/data/####/lama_user_assets_close.png
/data/data/####/lama_user_assets_face.png
/data/data/####/lama_user_assets_group.png
/data/data/####/lama_user_assets_group6.png
/data/data/####/lama_user_assets_growth.png
/data/data/####/lama_user_assets_heartred.png
/data/data/####/lama_user_assets_jubao.png
/data/data/####/lama_user_assets_messageicon.png
/data/data/####/lama_user_assets_playsmall.png
/data/data/####/lama_user_assets_settingicon.png
/data/data/####/lama_user_assets_shadow.png
/data/data/####/lama_user_assets_subuser.png
/data/data/####/lama_user_assets_task.png
/data/data/####/lama_user_assets_task_wrap.png
/data/data/####/lama_user_assets_v_user.png
/data/data/####/lama_user_assets_wallet.png
/data/data/####/lama_user_assets_warns.png
/data/data/####/lama_user_assets_wetime.png
/data/data/####/lama_usercenter_assets_achievement.png
/data/data/####/lama_usercenter_assets_arrow.png
/data/data/####/lama_usercenter_assets_arrowleft.png
/data/data/####/lama_usercenter_assets_artwork.png
/data/data/####/lama_usercenter_assets_avator.png
/data/data/####/lama_usercenter_assets_balloon.png
/data/data/####/lama_usercenter_assets_black.png
/data/data/####/lama_usercenter_assets_close.png
/data/data/####/lama_usercenter_assets_face.png
/data/data/####/lama_usercenter_assets_group.png
/data/data/####/lama_usercenter_assets_group6.png
/data/data/####/lama_usercenter_assets_growth.png
/data/data/####/lama_usercenter_assets_heartred.png
/data/data/####/lama_usercenter_assets_jubao.png
/data/data/####/lama_usercenter_assets_playsmall.png
/data/data/####/lama_usercenter_assets_shadow.png
/data/data/####/lama_usercenter_assets_subuser.png
/data/data/####/lama_usercenter_assets_task.png
/data/data/####/lama_usercenter_assets_task_wrap.png
/data/data/####/lama_usercenter_assets_v_user.png
/data/data/####/lama_usercenter_assets_wallet.png
/data/data/####/lama_usercenter_assets_warns.png
/data/data/####/lama_usercenter_assets_wetime.png
/data/data/####/libjiagu.so
/data/data/####/lich_udid_prefs_2017_#@#.xml
/data/data/####/local_crash_lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/metrics_guid
/data/data/####/mobclick_agent_cached_com.babytree.apps.lama218
/data/data/####/mobclick_agent_online_setting_com.babytree.apps.lama.xml
/data/data/####/mpush_app.db-journal
/data/data/####/native_record_lock
/data/data/####/net_cache.xml
/data/data/####/node_modules_antdmobilern_lib_accordion_style_a...up.png
/data/data/####/node_modules_antdmobilern_lib_accordion_style_a...wn.png
/data/data/####/node_modules_antdmobilern_lib_checkbox_image_ch...le.png
/data/data/####/node_modules_antdmobilern_lib_checkbox_image_checked.png
/data/data/####/node_modules_antdmobilern_lib_checkbox_image_no...le.png
/data/data/####/node_modules_antdmobilern_lib_checkbox_image_normal.png
/data/data/####/node_modules_antdmobilern_lib_radio_image_check...le.png
/data/data/####/node_modules_antdmobilern_lib_radio_image_checked.png
/data/data/####/node_modules_antdmobilern_lib_style_images_arrow.png
/data/data/####/node_modules_antdmobilern_lib_style_images_arrowdown.png
/data/data/####/node_modules_antdmobilern_lib_style_images_arrowup.png
/data/data/####/node_modules_antdmobilern_lib_style_images_check.png
/data/data/####/node_modules_antdmobilern_lib_style_images_check_w.png
/data/data/####/node_modules_antdmobilern_lib_style_images_cross.png
/data/data/####/node_modules_antdmobilern_lib_style_images_cross_w.png
/data/data/####/node_modules_antdmobilern_lib_style_images_error.png
/data/data/####/node_modules_antdmobilern_lib_style_images_more.png
/data/data/####/node_modules_antdmobilern_lib_style_images_more_w.png
/data/data/####/node_modules_antdmobilern_lib_style_images_search.png
/data/data/####/node_modules_antdmobilern_lib_toast_images_fail.png
/data/data/####/node_modules_antdmobilern_lib_toast_images_offline.png
/data/data/####/node_modules_antdmobilern_lib_toast_images_success.png
/data/data/####/node_modules_reactnativecamerarollpicker_circlecheck.png
/data/data/####/node_modules_reactnativedatepicker_date_icon.png
/data/data/####/node_modules_reactnavigation_src_views_assets_b...sk.png
/data/data/####/node_modules_reactnavigation_src_views_assets_backicon.png
/data/data/####/pregnancy_comm_views_img_loading.gif
/data/data/####/pregnancy_comm_views_img_nodata.png
/data/data/####/pregnancy_comm_views_img_nodata2.png
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/react_native_data.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/setting.db-journal
/data/data/####/share.db-journal
/data/data/####/td.lock
/data/data/####/tdata_EAx630
/data/data/####/tdata_EAx630.dex
/data/data/####/tdata_EAx630.dex.flock (deleted)
/data/data/####/tdata_EAx630.jar
/data/data/####/tdata_fPG280
/data/data/####/tdata_fPG280.dex
/data/data/####/tdata_fPG280.dex.flock (deleted)
/data/data/####/tdata_fPG280.jar
/data/data/####/tdata_kPg706
/data/data/####/tdata_kPg706.dex.flock (deleted)
/data/data/####/tdata_kPg706.jar
/data/data/####/tdid.xml
/data/data/####/tdlock.txt
/data/data/####/time.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview_data.lock
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
busybox ifconfig
cat /sys/class/net/wlan0/address
getprop
getprop gsm.version.baseband
getprop net.dns1
getprop ro.debuggable
getprop wifi.interface
grep :5D8A
logcat -d -v threadtime
ls /
ls /sys/class/thermal
ps
sh
sh -c cat /proc/net/tcp |grep :5D8A

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней