Adware.Gexin.22605

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) o####.e.189.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) api-####.2####.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) h.t####.qq.com:443
TCP(TLS/1.0) and####.b####.qq.com:443
TCP(TLS/1.0) b####.ixi####.org.cn:443
TCP(TLS/1.2) 1####.251.5.102:443
TCP(TLS/1.2) 74.1####.140.94:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5226

Запросы DNS:

and####.b####.qq.com
and####.google####.com
api-####.2####.com
b####.ixi####.org.cn
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.g####.com
h.t####.qq.com
log.u####.com
nim.qi####.com
norma-e####.m####.com
o####.e.189.cn
p####.google####.com
s####.u####.com
s####.u####.com.####.8
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.google####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_XYq933
cdn-sdk####.g####.com.####.com/tdata_pKN446
cdn-sdk####.g####.com.####.com/tdata_trp703
cdn-sdk####.g####.com.####.com/tdata_xEA084
d####.c####.l####.####.com/config/hzv9.conf
def####.cn.zb.####.com:443/bar/get/5b95e8a28f4a9d1e6e000156/?ud_get=####
nim.qi####.com:443/webapi/emoji/emojiPackage/map?appKey=####&k=####
nim.qi####.com:443/webapi/user/da/config?ak=####&appKey=####
norma-e####.m####.com/android/exchange/getpublickey.do

Запросы HTTP POST:

and####.b####.qq.com:443/rqd/async?aid=####
api-####.2####.com:443/openapi/gbcs/new/updateResource.do
b####.ixi####.org.cn:443/pbc/app-open/app/api/load-app-config
c-h####.g####.com/api.php?format=####&t=####
h.t####.qq.com:443/kv
nim.qi####.com:443/webapi/user/create.action?deviceid=####&appkey=####&a...
norma-e####.m####.com/push/android/external/add.do
o####.e.189.cn/api/clientSuit/uploadResponseLog.do
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/anr/traces.txt (deleted)
/data/data/####/-58616317
/data/data/####/.cl
/data/data/####/.fsgkea
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_pid
/data/data/####/1004
/data/data/####/1645105560431.log
/data/data/####/1645105560431.log (deleted)
/data/data/####/404.png
/data/data/####/Alvin2.xml
/data/data/####/BIZ-LOCAL-EGRET-CARD.zip
/data/data/####/BIZ-LOCAL-LIBRARY-CARD.zip
/data/data/####/BIZ-LOCAL-REDCROSS.zip
/data/data/####/BIZ-LOCAL-WEB-PRIVACY-PLOICY.zip
/data/data/####/BIZ-LOCAL-WEB-PRIVACY-PROTOCOL.zip
/data/data/####/BIZ-LOCAL-WEB-SERVICE-PROTOCOL.zip
/data/data/####/BIZ-LOCAL-WEEX-WEB-AUTH-PROCESS.zip
/data/data/####/BIZ-LOCAL-XIAMENAIR-CARD.zip
/data/data/####/BIZ-LOCAL-XM-BRT-SUPPLEMENT-STATION.zip
/data/data/####/BIZ-LOCAL-XM-CREDIT-BOAT.zip
/data/data/####/BIZ-LOCAL-XM-CREDIT_LIFE.zip
/data/data/####/BIZ-LOCAL-XM-UNION-CARD.zip
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/CONF-API.zip
/data/data/####/CONF-COMMON.zip
/data/data/####/ContextData.xml
/data/data/####/INSTALLATION_NEW
/data/data/####/Unicorn.463b8e82f3e19fe7a794c24d78a6c2fc.xml
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/analysis_host.xml
/data/data/####/auto_comm.js
/data/data/####/auto_login.css
/data/data/####/auto_login.html
/data/data/####/auto_login.js
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes10.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/classes.dex;classes8.dex
/data/data/####/classes.dex;classes9.dex
/data/data/####/classes.oat
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/com.xmgov.xmapp_account_sdk.xml
/data/data/####/com.xmgov.xmapp_account_sdk_res.xml
/data/data/####/comm.js
/data/data/####/crash_dump.log
/data/data/####/crashrecord.xml
/data/data/####/custom_activity_on_crash.xml
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/e.png
/data/data/####/error.html
/data/data/####/getui_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jni_log_1645105545678.txt
/data/data/####/jni_log_1645105612157.txt (deleted)
/data/data/####/jni_log_1645105619152.txt
/data/data/####/journal
/data/data/####/libICClientLoc.so
/data/data/####/libReaderLoc.so
/data/data/####/libZghtorLoc.so
/data/data/####/libjiagu.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/login_QQ.png
/data/data/####/login_wechat.png
/data/data/####/login_weibo.png
/data/data/####/login_yjk.png
/data/data/####/mask.png
/data/data/####/md5values.txt
/data/data/####/metrics_guid
/data/data/####/mini_auto_login.html
/data/data/####/mini_error.html
/data/data/####/mini_login.html
/data/data/####/mini_sms_login.html
/data/data/####/mz_push_preference.xml
/data/data/####/native_record_lock
/data/data/####/phone.png
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/sms_login.html
/data/data/####/sms_login.js
/data/data/####/spUtils.xml
/data/data/####/sqlite-citizen.db-journal
/data/data/####/sys_log_1645105545678.txt
/data/data/####/sys_log_1645105612157.txt (deleted)
/data/data/####/sys_log_1645105619152.txt
/data/data/####/tdata_XYq933
/data/data/####/tdata_pKN446
/data/data/####/tdata_pKN446.dex
/data/data/####/tdata_pKN446.dex.flock (deleted)
/data/data/####/tdata_pKN446.jar
/data/data/####/tdata_trp703
/data/data/####/tdata_xEA084
/data/data/####/topIcon-logo.png
/data/data/####/tray.db
/data/data/####/tray.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_socialize.xml
/data/data/####/unicorn#cheese#
/data/data/####/webview_data.lock
/data/data/####/weex_default_settings.xml
/data/data/####/wrong.css
/data/data/####/xmsmk_preference.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/arm//libweexjsb.so 42 43 1 /data/user/0/<Package>/app_crash/crash_dump.log
/data/app/<Package>-1/lib/arm//libweexjsb.so 76 78 1 /data/user/0/<Package>/app_crash/crash_dump.log
getprop
logcat -d -v threadtime

Загружает динамические библиотеки:

libBugly-ext
libc++_shared
libface_detect
libjiagu
libnllvm1624013121
libnllvm1624117532
libweexcore

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней