Adware.Gexin.22549

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) ga.rsv.eas####.####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) 1####.217.168.202:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) experi####.appa####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) a####.eas####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP(TLS/1.2) 1####.250.179.174:443
TCP(TLS/1.2) md####.google####.com:443
TCP(TLS/1.2) 1####.217.168.195:443
TCP(TLS/1.2) 1####.251.39.110:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5225

Запросы DNS:

a####.eas####.com
a####.man.aliy####.com
a####.u####.com
and####.google####.com
android####.go####.com
api.baichan####.com
api.baichan####.com.####.8
api.map.b####.com
c-h####.g####.com
cdn####.appa####.com
cdn-sdk####.g####.com
cm-1####.g####.com
experi####.appa####.com
instant####.google####.com
loc.map.b####.com
m####.go####.com
md####.google####.com
rs.eas####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.gst####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_CoH340
cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_GKM601
cdn-sdk####.g####.com.####.com/tdata_jFf739
cdn-sdk####.g####.com.####.com/tdata_pKX830
d####.c####.l####.####.com/config/hzv9.conf
experi####.appa####.com:443/apps/ADHOC_2cf8974d-bd1d-4495-835a-62a58714c...
ga.rsv.eas####.####.com/easemob/server.json?sdk_version=####&app_key=###...
sdk-ope####.g####.com/api/addr.htm

Запросы HTTP POST:

a####.eas####.com:443/baichanghui/baichanghui/devices
a####.u####.com.####.com/app_logs
api.map.b####.com:443/sdkcs/verify
c-h####.g####.com/api.php?format=####&t=####
experi####.appa####.com:443/get_flags_async
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/375a4b1f.angular.js
/data/data/####/5e1986e3.angular-components.js
/data/data/####/66224dfd.hobbit.js
/data/data/####/9ffcd7b5.adhoc.min.js
/data/data/####/ADHOC_SHARED_PREFERENCE.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/a2aa110b.controllers.js
/data/data/####/about-us.html
/data/data/####/about-weixin.html
/data/data/####/analytics.db-journal
/data/data/####/app.css.map
/data/data/####/authStatus_com.baichanghui.baichanghui.xml
/data/data/####/authStatus_com.baichanghui.baichanghui;pushservice.xml
/data/data/####/authStatus_com.baichanghui.baichanghui;remote.xml
/data/data/####/avatar.png
/data/data/####/b9d5db7c.app.js
/data/data/####/baichanghui.zip
/data/data/####/banner-download.html
/data/data/####/banner-super.html
/data/data/####/bch-db-journal
/data/data/####/bd_location.xml
/data/data/####/bg.png
/data/data/####/bind-complete.html
/data/data/####/bind-infos.html
/data/data/####/bird.png
/data/data/####/border-left.png
/data/data/####/border-right.png
/data/data/####/border.png
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ccca0b384cd8
/data/data/####/center.html
/data/data/####/city-list.html
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/collect-list.html
/data/data/####/com.baichanghui.baichanghui_preferences.xml
/data/data/####/compilations.html
/data/data/####/config.json
/data/data/####/create-flexpay-order.html
/data/data/####/create-order.html
/data/data/####/create-other-order.html
/data/data/####/date-schedule.html
/data/data/####/dd0f8a60.hobbit.css
/data/data/####/detail-about.html
/data/data/####/detail-beds.html
/data/data/####/detail-events.html
/data/data/####/detail-facilities.html
/data/data/####/detail-offer.html
/data/data/####/detail-package.html
/data/data/####/detail-services.html
/data/data/####/detail-slient.html
/data/data/####/detail-space.html
/data/data/####/detail-v3.html
/data/data/####/detail.html
/data/data/####/device_id.xml.xml
/data/data/####/dotted.png
/data/data/####/download-close.png
/data/data/####/empty.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f4236ea6.app.css
/data/data/####/filter.json
/data/data/####/firll.dat
/data/data/####/fixed-search.html
/data/data/####/foot-bg.png
/data/data/####/funcs-category.html
/data/data/####/fuzzy-inquiry-detail.html
/data/data/####/get-red.png
/data/data/####/get-redenvelope.html
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/grayBorder.png
/data/data/####/gx_sp.xml
/data/data/####/hbbg.png
/data/data/####/iconfont.eot
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/increment_cache_file
/data/data/####/index-more.png
/data/data/####/index-v2.html
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inquiries.html
/data/data/####/inquiry-form-success.html
/data/data/####/inquiry-form.html
/data/data/####/inquiry-fuzzy-success.html
/data/data/####/inquiry-fuzzy-v2.html
/data/data/####/inquiry-fuzzy.html
/data/data/####/inquiry.html
/data/data/####/jueju.png
/data/data/####/less.png
/data/data/####/libjiagu.so
/data/data/####/line.png
/data/data/####/list.html
/data/data/####/loading-2.gif
/data/data/####/loading.gif
/data/data/####/logo-white.png
/data/data/####/logo.png
/data/data/####/mac.xml
/data/data/####/map-pin.png
/data/data/####/no-favorite.png
/data/data/####/offer.html
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/operations.json
/data/data/####/order-confirm.html
/data/data/####/order-detail.html
/data/data/####/order-list.html
/data/data/####/panoramic.png
/data/data/####/pay-log.html
/data/data/####/phone.png
/data/data/####/pictures-category.html
/data/data/####/pinkBorder.png
/data/data/####/place-promotions.html
/data/data/####/place-services.html
/data/data/####/placeholder-img.png
/data/data/####/places-category.html
/data/data/####/price-sheet.html
/data/data/####/proc_auxv
/data/data/####/protocal.html
/data/data/####/publish-success.png
/data/data/####/push-spaces.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.jpg
/data/data/####/qrcode.png
/data/data/####/re.png
/data/data/####/recommend-place-detail.html
/data/data/####/recommend-place-list.html
/data/data/####/red-border-bg.jpg
/data/data/####/red-envelope.html
/data/data/####/review-post.html
/data/data/####/reviews.html
/data/data/####/right.png
/data/data/####/run.pid
/data/data/####/search-bar.html
/data/data/####/search-filter.html
/data/data/####/search-sort.html
/data/data/####/search.html
/data/data/####/select-red-envelopes.html
/data/data/####/server.json
/data/data/####/shixiao.png
/data/data/####/sign-in.html
/data/data/####/sign.html
/data/data/####/signup-huizhang.html
/data/data/####/signup-huizhang.jpg
/data/data/####/sorry.gif
/data/data/####/space-detail.html
/data/data/####/space-master.png
/data/data/####/success-right.png
/data/data/####/super-red-envelop.html
/data/data/####/sys_utils.xml
/data/data/####/tdata_CoH340
/data/data/####/tdata_CoH340.dex
/data/data/####/tdata_CoH340.dex.flock (deleted)
/data/data/####/tdata_CoH340.jar
/data/data/####/tdata_GKM601
/data/data/####/tdata_GKM601.dex
/data/data/####/tdata_GKM601.dex.flock (deleted)
/data/data/####/tdata_GKM601.jar
/data/data/####/tdata_jFf739
/data/data/####/tdata_jFf739.dex
/data/data/####/tdata_jFf739.dex.flock (deleted)
/data/data/####/tdata_jFf739.jar
/data/data/####/tdata_pKX830
/data/data/####/tdata_pKX830.dex
/data/data/####/tdata_pKX830.dex.flock (deleted)
/data/data/####/tdata_pKX830.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unbind.html
/data/data/####/usable-redenvelope.html
/data/data/####/version.json
/data/data/####/vertical-dashed.png
/data/data/####/waiting.gif
/data/data/####/wg-swiper.html
/data/data/####/wx-bind.html
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
mount
sh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней