Adware.Gexin.22337

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) t####.talking####.net:80
TCP(HTTP/1.1) p2.q####.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) zb-cent####.m.ta####.com:80
TCP(HTTP/1.1) sdk.l####.360.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) i.t####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) testing####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) sdk.s.360.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) api.xima####.com.####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) log.mm####.com:443
TCP(TLS/1.0) mo####.mm####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) m####.chinane####.com:443
TCP(TLS/1.0) s####.mm####.com:8106
TCP(TLS/1.0) maa####.chinane####.com:6443
TCP(TLS/1.0) 1####.251.39.106:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) mo####.imama####.com:443
TCP(TLS/1.2) 2####.58.214.10:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP(TLS/1.2) and####.cli####.go####.com:443
TCP(TLS/1.2) 2####.58.208.99:443
TCP(TLS/1.2) 1####.251.39.106:443
TCP(TLS/1.2) 2####.58.208.106:443
TCP sdk.o####.t####.####.com:5224
TCP maa####.chinane####.com:6480
TCP cm-1####.g####.com:5227
TCP c####.hua####.com:80

Запросы DNS:

a####.exc.mob.com
acs4bai####.m.ta####.com
ad####.m.ta####.com
and####.cli####.go####.com
api.o####.hua####.####.8
api.o####.hua####.com
api.s####.mob.com
api.xima####.com
c####.hua####.com
c####.x####.com
c-h####.g####.com
c.d####.mob.com
cdn-sdk####.g####.com
cm-1####.g####.com
i.t####.com
instant####.google####.com
l####.cc
log.mm####.com
m####.chinane####.com
m.d####.mob.com
maa####.chinane####.com
mo####.imama####.com
mo####.mm####.com
nbsdk-b####.al####.com
norma-e####.m####.com
p0.q####.com
p1.q####.com
p2.q####.com
p3.q####.com
p4.q####.com
p5.q####.com
p6.q####.com
p7.q####.com
p8.q####.com
p9.q####.com
s####.mm####.com
s####.s.360.cn
safebro####.google####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.l####.360.cn
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.talking####.net
testing####.oss-cn-####.aliy####.com
u####.u####.com
wb.110.ta####.com
y####.al####.com

Запросы HTTP GET:

api.s####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####...
cdn-sdk####.g####.com.####.com/tdata_XYq933
cdn-sdk####.g####.com.####.com/tdata_pKN446
cdn-sdk####.g####.com.####.com/tdata_trp703
cdn-sdk####.g####.com.####.com/tdata_xEA084
d####.c####.l####.####.com/config/hzv9.conf
i.t####.com/a/317e60f33bdcd4b977cbb70c70d70ece1
mo####.imama####.com:443/static/alternate-domain?device=####&lon=####&si...
mo####.mm####.com:443/api/?device=####&lon=####&sign=####&time=####&wma=...
mo####.mm####.com:443/api/bases/app-config?device=####&lon=####&sign=###...
mo####.mm####.com:443/api/bases/mobile/v1/app/copywriting/guide/?device=...
mo####.mm####.com:443/api/bases/mobile/v1/app/init?device=####&lon=####&...
mo####.mm####.com:443/api/record/mobile/v1/config?device=####&lon=####&s...
nbsdk-b####.al####.com:443/1.1.0.0/linkout.htm?appKey=####
nbsdk-b####.al####.com:443/3.1.1.210/23604796/1.0.0/meta.htm?plat=####
norma-e####.m####.com/android/exchange/getpublickey.do
p2.q####.com/d/inn/07bb78b9/live_interact_qiubite_arrow.png?userid=####&...
p2.q####.com/d/inn/17613149/live_interact_bujiadi_car.png?userid=####&de...
p2.q####.com/d/inn/1a6306ec/live_interact_lunzi_0.png?userid=####&device...
p2.q####.com/d/inn/33547277/live_interact_car_8.png?userid=####&deviceid...
p2.q####.com/d/inn/356dc2b2/hj_ui_car_in.png?userid=####&deviceid=####&p...
p2.q####.com/d/inn/382d8ae6/live_interact_car_3.png?userid=####&deviceid...
p2.q####.com/d/inn/3eb2baf7/live_interact_xiongche_weixin.png?userid=###...
p2.q####.com/d/inn/43e73140/live_interact_car_1.png?userid=####&deviceid...
p2.q####.com/d/inn/476cf21e/live_interact_tuhao_building.png?userid=####...
p2.q####.com/d/inn/4d29ed5b/live_interact_airplain_2.png?userid=####&dev...
p2.q####.com/d/inn/5175ce49/hj_ui_avatar_10.png?userid=####&deviceid=###...
p2.q####.com/d/inn/5fc26162/hj_ui_avatar_1.png?userid=####&deviceid=####...
p2.q####.com/d/inn/7067d4e0/hj_ui_avatar_4.png?userid=####&deviceid=####...
p2.q####.com/d/inn/79e06862/live_interact_airplain_1.png?userid=####&dev...
p2.q####.com/d/inn/7b9eb7e3/live_interact_tuhao_tiaofu_juanzhou.png?user...
p2.q####.com/d/inn/7ea1f4c5/live_interact_xiongche_in.png?userid=####&de...
p2.q####.com/d/inn/8f080acb/live_interact_lunzi_3.png?userid=####&device...
p2.q####.com/d/inn/9233c488/live_interact_lunzi_6.png?userid=####&device...
p2.q####.com/d/inn/9272e49e/live_interact_tuhao_tiaofu.png?userid=####&d...
p2.q####.com/d/inn/c2f6eca4/hj_ui_avatar_2.png?userid=####&deviceid=####...
p2.q####.com/d/inn/cb237c6f/live_interact_xiongche_out.png?userid=####&d...
p2.q####.com/d/inn/d468af35/hj_ui_avatar_9.png?userid=####&deviceid=####...
p2.q####.com/d/inn/ef9eb0b7/live_interact_tuhao_plane.png?userid=####&de...
s####.mm####.com:8106/config/Android.conf
sdk.l####.360.cn/codec?sdkver=####&bid=####&pid=####&mid=####&ver=####&m...
sdk.l####.360.cn/huajiao_4.1.3.1001.cfg
sdk.l####.360.cn/huajiao_4.1.3.1001.db
sdk.o####.p####.####.com/api/addr.htm
sdk.s.360.####.com/ak/55a7cf9c71f1c9c495413f934dd1a158.html?m2=####
testing####.oss-cn-####.aliy####.com/router.json?device=####&lon=####&si...
zb-cent####.m.ta####.com/gw-open/mtop.taobao.tbk.sdk.config/1.0/?data=####

Запросы HTTP POST:

al####.u####.com:443/unify_logs
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/errconf
api.s####.mob.com/log4
api.s####.mob.com/snsconf
api.s####.mob.com/v3/cdata
api.xima####.com.####.com/oauth2/secure_access_token
api.xima####.com.####.com/openapi-gateway-app/encrypt/exchange
c####.x####.com:443/configcloud/rest/sdk/match
c-h####.g####.com/api.php?format=####&t=####
hk.wagbr####.non####.####.com/saveWb.json
l####.cc/i/sdk/install
log.mm####.com:443/catch
mo####.mm####.com:443/api/?do=####
na61-####.wagbr####.ali####.####.com/api/update.do
norma-e####.m####.com/push/android/external/add.do
s####.mm####.com:8106/sa?project=####
sdk.o####.p####.####.com/api.php?format=####&t=####
t####.talking####.net/g/d

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1323613056
/data/data/####/-1339545799
/data/data/####/-1405806190
/data/data/####/-1470785901
/data/data/####/-1729213187
/data/data/####/-265915128
/data/data/####/-29606121
/data/data/####/-301722047
/data/data/####/-48359220
/data/data/####/-542277938.tmp
/data/data/####/-840810768
/data/data/####/.DS_Store
/data/data/####/.artc_lock
/data/data/####/.dic_lock
/data/data/####/.duid
/data/data/####/.globalLock
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lesd_lock
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/.pkg_lock
/data/data/####/.slw
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1124127929
/data/data/####/13521730
/data/data/####/1364304343
/data/data/####/1441864797
/data/data/####/1576303190.tmp
/data/data/####/1610035587.tmp
/data/data/####/1622073705
/data/data/####/1642274017263_3694
/data/data/####/1642274027816_3694
/data/data/####/1642274032907_3694
/data/data/####/1642274036912_3694
/data/data/####/1642274047247_3694
/data/data/####/1642274051675_3694
/data/data/####/1818344955
/data/data/####/1d77ea041509fe06.lock
/data/data/####/21c22f492aba3de8.lock
/data/data/####/370264079.tmp
/data/data/####/740558118
/data/data/####/819940764
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/966313209
/data/data/####/AlibcLinkPartner.xml
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData.xml
/data/data/####/QH_SDK_UserData55a7cf9c71f1c9c495413f934dd1a158.xml
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/TD_CHANNEL_ID.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol2.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/WSPXCrashPreference.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a==7.5.1&&5.1.5_1642274027024_envelope.log
/data/data/####/access.log
/data/data/####/alarm_start.xml
/data/data/####/app.209a98c86e9d1b8be8a3.js
/data/data/####/app.367c33e846fb13cabf97ad1bc4bafb97.css
/data/data/####/auth_sdk_device.xml
/data/data/####/avatar.png
/data/data/####/cacert.pem
/data/data/####/cache_db-journal
/data/data/####/cbpContentSlider.js
/data/data/####/channels_key.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/client.txt
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/com.yaya.mmbang_preferences.xml
/data/data/####/component.css
/data/data/####/dW1weF9pbnRlcm5hbF8xNjQyMjc0MDEyNjcz;
/data/data/####/debug.log
/data/data/####/event_com.yaya.mmbang.log
/data/data/####/event_com.yaya.mmbang;maa_remote.log
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/ffmpeg
/data/data/####/ffmpeg (deleted)
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/history.js
/data/data/####/history.svg
/data/data/####/i==1.2.0&&5.1.5_1642274012561_envelope.log
/data/data/####/ic_wo_account_fs.png
/data/data/####/ic_wo_account_topic.png
/data/data/####/icon-essence.svg
/data/data/####/icon-floor.svg
/data/data/####/icon-question.svg
/data/data/####/icon-setTop.svg
/data/data/####/icon_official.png
/data/data/####/index.html
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/input-em.svg
/data/data/####/iscroll.js
/data/data/####/iv
/data/data/####/libjiagu.so
/data/data/####/libsgmain_312757200000.dex
/data/data/####/libsgmain_312757200000.dex.flock (deleted)
/data/data/####/libsgmainso-5.1.81.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/living.db-journal
/data/data/####/lock.lock
/data/data/####/manifest.87520f4fe670d85ca3d2.js
/data/data/####/mask.png
/data/data/####/matosdk_preference_maa_remote.xml
/data/data/####/mmbh5.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/modernizr.custom.js
/data/data/####/name_other.xml
/data/data/####/native.js
/data/data/####/nick_name.xml
/data/data/####/no-result.png
/data/data/####/no.png
/data/data/####/no_result.png
/data/data/####/notice.png
/data/data/####/ph_llc.xml
/data/data/####/pref_longtime.xml
/data/data/####/pref_shorttime.xml
/data/data/####/prefix_h51616929150.pzip
/data/data/####/prefix_h5531921927.pzip
/data/data/####/proc_auxv
/data/data/####/pullRefresh.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushgdc.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/report.js
/data/data/####/reset.css
/data/data/####/router.json
/data/data/####/router.json.bak
/data/data/####/run.pid
/data/data/####/salt
/data/data/####/search-icon.png
/data/data/####/search.css
/data/data/####/search.js
/data/data/####/search.svg
/data/data/####/search_icon_close.png
/data/data/####/search_icon_delete.png
/data/data/####/search_icon_search.png
/data/data/####/search_pic_m.png
/data/data/####/search_tab_icon.png
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/setComInfo.js
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/sp.lock
/data/data/####/spin.js
/data/data/####/td.lock
/data/data/####/tdata_XYq933
/data/data/####/tdata_XYq933.dex
/data/data/####/tdata_XYq933.dex.flock (deleted)
/data/data/####/tdata_XYq933.jar
/data/data/####/tdata_pKN446
/data/data/####/tdata_pKN446.dex
/data/data/####/tdata_pKN446.dex.flock (deleted)
/data/data/####/tdata_pKN446.jar
/data/data/####/tdata_trp703
/data/data/####/tdata_trp703.dex
/data/data/####/tdata_trp703.dex.flock (deleted)
/data/data/####/tdata_trp703.jar
/data/data/####/tdata_xEA084
/data/data/####/tdata_xEA084.dex
/data/data/####/tdata_xEA084.dex.flock (deleted)
/data/data/####/tdata_xEA084.jar
/data/data/####/tdid.xml
/data/data/####/timestamp
/data/data/####/ting_data.xml
/data/data/####/token_key.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/user_input_memo.xml
/data/data/####/usual_param_key.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/vendor.aa2a91b1b3c1487de295.js
/data/data/####/wspx
/data/data/####/wspx.cer
/data/data/####/wspx_rsa.key
/data/data/####/yes.png
/data/data/####/zepto.js
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lm_device_id
/data/media/####/.umm.dat
/data/media/####/2022-01-15.log.txt
/data/media/####/6c709c11d2d46a7b
/data/media/####/BG_2022_01_15.log
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yaya.mmbang.bin
/data/media/####/com.yaya.mmbang.db
/data/media/####/dd7893586a493dc3
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/infor.log
/data/media/####/tdata_XYq933
/data/media/####/tdata_pKN446
/data/media/####/tdata_trp703
/data/media/####/tdata_xEA084
/data/media/####/test.log
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней