Adware.Gexin.22703

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) luna-im####.qq.com.####.com:80
TCP(HTTP/1.1) down####.w####.com:80
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP(TLS/1.0) api-ac####.pangoli####.com.####.net:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) 1####.250.102.94:443
TCP(TLS/1.0) down####.w####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) w####.xi####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.2) 1####.250.102.94:443
TCP(TLS/1.2) inte####.faceu####.com:6443
TCP(TLS/1.2) and####.cli####.go####.com:443
TCP(TLS/1.2) safebro####.google####.com:443
TCP(TLS/1.2) and####.google####.com:443
TCP api-ac####.pangoli####.com.####.net:443

Запросы DNS:

a####.u####.com
and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
api-ac####.pangoli####.com
dm.tou####.com
dn####.d####.com
down####.w####.com
imgc####.qq.com
inte####.faceu####.com
l####.tbs.qq.com
pang####.sn####.com
pla####.google####.com
pla####.googleu####.com
s####.e.qq.com
safebro####.google####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
t####.m.qq.com
to####.ctobsn####.com
w####.xi####.com
www.w####.com
xiu.xi####.com

Запросы HTTP GET:

api-ac####.pangoli####.com.####.net:443/service/2/app_alert_check/?aid=#...
down####.w####.com/activities/caidan/ip13/xxh1068x344.jpg
down####.w####.com/ad/lelefan6/xxh.png
down####.w####.com/faxian/shouchongxxh.jpg
down####.w####.com/xiu/kanshipindeyangguang/xxh1068x344.jpg
down####.w####.com:443/
down####.w####.com:443/upload/xiu/0/64/sj-ohppysareo_3_550x410_220217010...
down####.w####.com:443/upload/xiu/13/5/sjzl2996943222_3_550x410_20071203...
down####.w####.com:443/upload/xiu/15/11/zzhqsb56_3_550x410_201108174403....
down####.w####.com:443/upload/xiu/18/69/sj-ntbpimqffd_3_550x410_21052003...
down####.w####.com:443/upload/xiu/24/47/sj-uwyguqguvi_3_550x410_22012311...
down####.w####.com:443/upload/xiu/29/91/sj-gebfvcratw_3_550x410_21101222...
down####.w####.com:443/upload/xiu/30/0/qq-tefnhfhtgo_3_550x410_210224121...
down####.w####.com:443/upload/xiu/34/28/wangxinxin638_3_550x410_21122300...
down####.w####.com:443/upload/xiu/35/44/wx-tjaobqjvzg_3_550x410_21091312...
down####.w####.com:443/upload/xiu/36/29/wx-lndlhyhqla_3_550x410_21031022...
down####.w####.com:443/upload/xiu/40/22/xfx0701_3_550x410_210910220029.jpg
down####.w####.com:443/upload/xiu/46/42/bhc31203_3_550x410_191209172707....
down####.w####.com:443/upload/xiu/47/45/sj-borzfckulk_3_550x410_21091322...
down####.w####.com:443/upload/xiu/48/56/qq-xhkbtuhaxj_3_550x410_19120614...
down####.w####.com:443/upload/xiu/52/50/qq-acjpltzchp_3_550x410_19110123...
down####.w####.com:443/upload/xiu/54/5/wx-udwsloitiu_3_550x410_191015180...
down####.w####.com:443/upload/xiu/59/60/wlp1314ai_3_550x410_210610050456...
down####.w####.com:443/upload/xiu/61/78/qq-sgwkgzifjg_3_550x410_20041000...
down####.w####.com:443/upload/xiu/65/83/sj-wfiobltnay_3_550x410_22021516...
down####.w####.com:443/upload/xiu/66/15/qq-rjutvwikaq_3_550x410_21040820...
down####.w####.com:443/upload/xiu/67/52/sj-sajijcleva_3_550x410_19092817...
down####.w####.com:443/upload/xiu/70/58/tgvqaz1_3_550x410_200927210006.jpg
down####.w####.com:443/upload/xiu/71/90/wx-cvflpdirkc_3_550x410_21102000...
down####.w####.com:443/upload/xiu/75/9/qq-ijrlnnwcdu_3_550x410_220120004...
down####.w####.com:443/upload/xiu/78/13/sj-cnhzzgokng_3_550x410_20092923...
down####.w####.com:443/upload/xiu/79/34/zzhqsb60_3_550x410_201108231504....
down####.w####.com:443/upload/xiu/85/71/sj-gnszxgsixz_3_550x410_22010400...
down####.w####.com:443/upload/xiu/87/51/zzhqsb52_3_550x410_200921210902....
down####.w####.com:443/upload/xiu/88/97/tgvqaz4_3_550x410_200927210241.jpg
down####.w####.com:443/upload/xiu/9/83/qq-sdrgzkcqno_3_550x410_220203001...
down####.w####.com:443/upload/xiu/93/63/sj-rdnkupqmkz_3_550x410_21070416...
down####.w####.com:443/upload/xiu/98/85/litingxiu_3_550x410_211108154409...
down####.w####.com:443/upload/xiu/99/69/qq-erezdsurio_3_550x410_21052700...
luna-im####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/pr...
w####.xi####.com:443/vshow/streamname?get_url=####

Запросы HTTP POST:

a####.u####.com.####.com/app_logs
and####.b####.qq.com/rqd/async
api-ac####.pangoli####.com.####.net:443/service/2/app_log/?device_platfo...
api-ac####.pangoli####.com.####.net:443/service/2/device_register_only/?...
api-ac####.pangoli####.com.####.net:443/service/2/log_settings/?device_p...
down####.w####.com:443/index.php?action=####&do=####
l####.tbs.qq.com/ajax?c=####&k=####
s####.e.qq.com/activate
s####.e.qq.com/launch
s####.e.qq.com:443/event
securit####.sp####.mig.####.net:443/?mc=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/anr/traces.txt (deleted)
/data/data/####/-1025052814979690616
/data/data/####/-1135038580-754662270
/data/data/####/-1561220934775701699
/data/data/####/.bak
/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.turing.dat
/data/data/####/06e6d34fa548affa429ed3f4fc653f30099ee8ef7db6520....0.tmp
/data/data/####/06f55028c1e3ecfc4fad49d516fd997aa5943edabb2320d....0.tmp
/data/data/####/0711ef377ab24b2f0b27a8e2e14bc0faa2ffd541749efa8....0.tmp
/data/data/####/07cb6496777d588aa05175c99af454b1a48db87944e85c2....0.tmp
/data/data/####/086be3765d36c83740d284ea4f18e8681a4db8661db5e01....0.tmp
/data/data/####/0b5b541611a32ba9be1eab3cd54cb9b1bdf4546d02af9b6...1745.0
/data/data/####/0c0c5df595522d473fb2fd1d0b1cac51fa623ed8260bd5e....0.tmp
/data/data/####/0d3842460a02716a74010ffddf5eed9ee63012c5f73262e....0.tmp
/data/data/####/1520688f033d67042d562de86e9dae43231a5ddede4a451....0.tmp
/data/data/####/1af3f68e40c8a0bc9a7f0b251498dc33305132b84e76c85....0.tmp
/data/data/####/1b51f60926b8c8590c16fcc1621b86323b494f6be77a13f...80c0.0
/data/data/####/1d4c23d5bed4bc7fae28b7c6395ef95a2e4ba88b5aa49c4....0.tmp
/data/data/####/1da70adcab395adb92cec6cf31bfe128a75e043675a6688....0.tmp
/data/data/####/1f5652590ec107f70e534f96e3936fa04f8108b9c5d7952....0.tmp
/data/data/####/23801e9069d8b145dc8734e75c685280ab375f338d31d73....0.tmp
/data/data/####/28071ddd7456e97a8ead2899fc41badbcfabfd0486544c1....0.tmp
/data/data/####/2a9afe1545ab883d43ac04e0842462052c1f01619c6d2b4....0.tmp
/data/data/####/2ce773f35255ed834a6d0433f1a8e5f252923a32db76177....0.tmp
/data/data/####/2f20cf7085557ec023ca0f5230c89fd0a986fdbdc07bb96....0.tmp
/data/data/####/3379.yaqcookie
/data/data/####/3545.yaqcookie
/data/data/####/35937b1b9e5c03816a2137fd2ad6293e8730410dee6ffe0....0.tmp
/data/data/####/37c66e3ec0fb70de91269cb83e350a09627f905fd6c77d3....0.tmp
/data/data/####/3937.yaqcookie
/data/data/####/3c734150d245620787355a9bf3078e2022f7fd558e50c24....0.tmp
/data/data/####/3f717a225d25952fdebe75d2761d7704e1389cfec2a0d23....0.tmp
/data/data/####/437a6e365305fc99502f7c62a35f6105ce6ef2d64e7c9c7....0.tmp
/data/data/####/48cc006bf0a1a85f573f70f68307ad801fee1b9baef1ff6....0.tmp
/data/data/####/4f6c6261325d92d9fc668080adcd5137092b45767a4ae7e....0.tmp
/data/data/####/52f8d64fbc3bf33d52851b6f5a143181da984ad5f19cda0....0.tmp
/data/data/####/55cd40300d189692a27564b280de652a60a1832b1909d09....0.tmp
/data/data/####/58038dc6a579d286b819d61d3389afeffcc386649aac33d...71ae.0
/data/data/####/68b4ca8155cf187da63eadaf27b7a5a7d56a4006fef25dc....0.tmp
/data/data/####/6b6e571fd53a06fb2849bb8d9611fd74848bd3ca9b3f318...cf5e.0
/data/data/####/6e265fa54ed56d3856f2ee7d429d4abc7abbc75859bae92....0.tmp
/data/data/####/711e9acb4aa5a157c361d8e259c51e006711bd5997ee851....0.tmp
/data/data/####/7184356238865fd1c41c7fb63dff4bd89e4cd6d5356eb20....0.tmp
/data/data/####/720a649542d23b5735e7588a88a848c67d66a97630f1557....0.tmp
/data/data/####/73afa6daf51d73d9be8f3f3d96153a594579f52b4b06834....0.tmp
/data/data/####/78c73aa83b9821cae22bf7d341328c7b83258ae4f362c4a....0.tmp
/data/data/####/7d84dcda8ec0ccd28fe0db367e59b644d4dec2f05b24df9....0.tmp
/data/data/####/7dad027b062e184a8a623efbc9e36aa687832d55578645c....0.tmp
/data/data/####/7ec29de1b19903dcf325c541be2a53daa80f54cf05fe60a....0.tmp
/data/data/####/80ec0e6fd8c98435aefd3bde61fcb9dc0a866744d24b26d....0.tmp
/data/data/####/889f5b72984519b48a789022c8ac932d64ffa9907872122....0.tmp
/data/data/####/8c889483ebdcd13c1f417123e17d0f68908601e88d6a96f....0.tmp
/data/data/####/901994e72bb878c784d221f6dfa1905220634167cb2ef96...4801.0
/data/data/####/93ffe094bb78b8dc401c4441b9498bbb6ae0647dbca413e....0.tmp
/data/data/####/9b0c9e7bc843fdce86f65dad88fab8170d1351d7c9891be...ff13.0
/data/data/####/9cd297daae369e2d9ec8b92a2edd07860c8dc65babf146e....0.tmp
/data/data/####/9ce4158fcf555cdd46f14cc12fa30126b68ea226e14b9f0....0.tmp
/data/data/####/BuglySdkInfos.xml
/data/data/####/TrineaAndroidCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a13f2fba216697f7b1f272dcc7ff929c52f358991b09b28...5bbc.0
/data/data/####/a5e22fd3013d92429f761ff4b074719d79c2953d1c479cc....0.tmp
/data/data/####/a9df7388f7319879ec0ec91477ad858f664d09d1abb503e....0.tmp
/data/data/####/ade9060bcab7658e8fe2335c38912262947a2815731fa76....0.tmp
/data/data/####/b0fe743cc7bf2ec000015596c2b982a1acd09a7790ae373....0.tmp
/data/data/####/b193d6169fbe30a48681c83ffe83ec11b01e70cc54cca0d....0.tmp
/data/data/####/b68058b61d304ae82553899a2186c9ff8bcc1fe94cb3733....0.tmp
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/c26b6a9f1cd906c120417113a718185172811c6d3eaeb0e....0.tmp
/data/data/####/c363a63b89610c04ccc574df2500c7027f40ae85198cdf1....0.tmp
/data/data/####/c48acaa9cca18eab1871085b04d850e81ff385a9b683c83....0.tmp
/data/data/####/c990c1f9fa69f2a4a9dc8986ecbe8f8420a7e4e7a33a5f9...183f.0
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/com.wole56.ishow_preferences.xml
/data/data/####/core_info
/data/data/####/d28fb7d1ba6f9ee344a88dc5a1fda01ddaba9ab6160f677....0.tmp
/data/data/####/d6c8078f80bc1075fd5350b6acd3bd85c22cc824c1b58da....0.tmp
/data/data/####/db5b8d90b1dd0a65159fb067b34db44fca180fa5d5e5f4a....0.tmp
/data/data/####/dc8fb1168de0d31394fe1e541b6af8d57479f5ed63f0c8a....0.tmp
/data/data/####/de514fe277e43650d1c2dbbdcafd1e525531d0bad4a08ca....0.tmp
/data/data/####/dea645a02d48637ac8e8ad0714032d6af37312471553865....0.tmp
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/df6e24ddadc8ca8241b36fff4098848fc9d36721dc01912....0.tmp
/data/data/####/download_upload
/data/data/####/downloader.db-journal
/data/data/####/e11adb3fc4b16852b6a549f53246862b5526e1b1f386a8d....0.tmp
/data/data/####/e1699bbe6be6aba08f1e9a8f271b75858b61a4295550a6a...f8b3.0
/data/data/####/e306ab0c53c65d63cf854d273d981ce5b24f95b6ab0fb7a....0.tmp
/data/data/####/e6d713781c27a52db070b227ecf81a54ef1fcfe24364c99....0.tmp
/data/data/####/edde0392f34011cf5bbca791d5a7d66fda5ad27f25354a7....0.tmp
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f917e2fdb8da0321367386bcc345ce7b0c1607dfcb12eb4....0.tmp
/data/data/####/fb26f76246374236cd1f1d6d29bea45a6fb2c6b11ea830f....0.tmp
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/journal
/data/data/####/libMMANDKSignature.1023711b.so
/data/data/####/libMMANDKSignature.3f02eb78.so
/data/data/####/libjiagu.so
/data/data/####/libturingau.1023711b.so
/data/data/####/libturingau.3f02eb78.so
/data/data/####/libyaqbasic.1023711b.so
/data/data/####/libyaqbasic.3f02eb78.so
/data/data/####/libyaqpro.1023711b.so
/data/data/####/libyaqpro.3f02eb78.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/mpdc_105498_1
/data/data/####/native_record_lock
/data/data/####/npth.xml
/data/data/####/npth_log.db
/data/data/####/npth_log.db-journal
/data/data/####/proc_auxv
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_multi_ttadnet_config.xml
/data/data/####/sp_push_time.xml
/data/data/####/ss_app_config.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml (deleted)
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttnet_tnc_config.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_41_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/yaq.1023711b.sec
/data/data/####/yaq.3f02eb78.sec
/data/data/####/yaq2.1023711b.sec
/data/data/####/yaq2.3f02eb78.sec
/data/data/####/yaq3_0.1023711b.sec
/data/data/####/yaq3_0.3f02eb78.sec
/data/data/####/yaqsdkcookie

Другие:

Запускает следующие shell-скрипты:

/system/bin/df
/system/bin/getprop
/system/bin/sh -c type su
app_process /system/bin com.android.commands.pm.Pm list package -3
chmod 777 /data/user/0/<Package>/cache/Download
getprop androVM.vbox_dpi
getprop gsm.sim.state
getprop gsm.sim.state2
getprop qemu.sf.fake_camera
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.debuggable
getprop ro.genymotion.version
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.secure
getprop ro.vivo.os.build.display.id
logcat -d -v threadtime
logcat -v time -d
ls /proc/3379
ls /proc/3545
sh

Загружает динамические библиотеки:

libBugly
libMMANDKSignature.3f02eb78
libjiagu
libnama
libnms
libtobEmbedEncrypt
libyaqbasic.3f02eb78
libyaqpro.1023711b

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней