Adware.Gexin.22559

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) vip-dat####.p####.com:8106
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(TLS/1.0) 1####.251.36.3:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) laun####.appsf####.com:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) 1####.251.36.42:443
TCP(TLS/1.0) app####.pei####.com:443
TCP(TLS/1.0) api.appsf####.com:443
TCP(TLS/1.0) grs-dba####.ap####.dbank####.net:443
TCP(TLS/1.2) 1####.217.168.195:443
TCP(TLS/1.2) 2####.58.214.14:443
TCP(TLS/1.2) 1####.251.36.46:443
TCP(TLS/1.2) 1####.251.36.42:443
TCP(TLS/1.2) 2####.58.208.106:443
TCP(TLS/1.2) 1####.250.179.174:443
UDP 52.80.1####.229:9700
TCP cm-1####.g####.com:5227
UDP 1####.190.44.36:8000
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

and####.b####.qq.com
api.appsf####.com
app####.pei####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
convers####.appsf####.com
grs.dbankc####.com
l####.tim.qq.com
laun####.appsf####.com
lbs.net####.im
log.u####.com
md####.google####.com
norma-e####.m####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
vip-dat####.p####.com
wa####.127.net

Запросы HTTP GET:

api.appsf####.com:443/install_data/v3/<Package>?devkey=####&device_id=####
cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_QvD526
cdn-sdk####.g####.com.####.com/tdata_WMP296
cdn-sdk####.g####.com.####.com/tdata_ndH918
cdn-sdk####.g####.com.####.com/tdata_pFR726
cdn-sdk####.g####.com.####.com/tdata_sHl222
d####.c####.l####.####.com/config/hzv9.conf
def####.cn.zb.####.com:443/bar/get/585551da82b635118e000050/?pcv=####&de...
sdk.o####.p####.####.com/api/addr.htm
vip-dat####.p####.com:8106/config/Android.conf
wa####.127.net:443/lbs?version=####

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
app####.pei####.com:443/app-api/v6/course/getBdInstrumentV2
c-h####.g####.com/api.php?format=####&t=####
grs-dba####.ap####.dbank####.net:443/grs/2.0/router?issue_country=####
laun####.appsf####.com:443/api/v4.11/androidevent?app_id=####&buildnumbe...
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
vip-dat####.p####.com:8106/sa?project=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/.
/data/data/####/.
/data/data/####/. (deleted)
/data/data/####/. .flock (deleted)
/data/data/####/1004
/data/data/####/3CDE9882.dex
/data/data/####/3CDE9882.dex.flock (deleted)
/data/data/####/7b80c753f992
/data/data/####/BuglySdkInfos.xml
/data/data/####/DeviceInfo.xml
/data/data/####/NIMSDK_Config_ff0f9a72db5b719dad88ce9dd23c16b7.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_net_data_
/data/data/####/app_config.xml
/data/data/####/appsflyer-data.xml
/data/data/####/appsflyer-data.xml.bak
/data/data/####/bugly_db_-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/com.pnlyy.pnlclass.pnlclass_student_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.x.y.1.xml
/data/data/####/crashrecord.xml
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hms_global_v2_com.pnlyy.pnlclass.pnlclass_student.xml
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/mipush_country_code
/data/data/####/mipush_country_code.lock
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/native_record_lock
/data/data/####/okgo.db-journal
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/push_client_self_info.xml
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushgdc.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/share.db-journal
/data/data/####/tdata_QvD526
/data/data/####/tdata_QvD526.dex
/data/data/####/tdata_QvD526.dex.flock (deleted)
/data/data/####/tdata_QvD526.jar
/data/data/####/tdata_WMP296
/data/data/####/tdata_WMP296.dex
/data/data/####/tdata_WMP296.dex.flock (deleted)
/data/data/####/tdata_WMP296.jar
/data/data/####/tdata_ndH918
/data/data/####/tdata_ndH918.dex
/data/data/####/tdata_ndH918.dex.flock (deleted)
/data/data/####/tdata_ndH918.jar
/data/data/####/tdata_pFR726
/data/data/####/tdata_pFR726.dex
/data/data/####/tdata_pFR726.dex.flock (deleted)
/data/data/####/tdata_pFR726.jar
/data/data/####/tdata_sHl222
/data/data/####/tdata_sHl222.dex
/data/data/####/tdata_sHl222.dex.flock (deleted)
/data/data/####/tdata_sHl222.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_socialize.xml
/data/data/####/update.xml
/data/misc/####/primary.prof
/data/user_de/####/aaid.xml
/data/user_de/####/grs_move2DE_records.xml
/data/user_de/####/move_to_de_records.xml
/data/user_de/####/share_pre_grs_conf_com.pnlyy.pnlclass.pnlcla...ml.bak
/data/user_de/####/share_pre_grs_conf_com.pnlyy.pnlclass.pnlcla...nt.xml
/data/user_de/####/zoo.xml

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop
logcat -d -v threadtime
ls /
ls /sys/class/thermal
mount
sh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней