Adware.Gexin.23177

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Детект на основе машинного обучения.

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) app.ehang####.cn:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) rr3---s####.g####.com:443
TCP(TLS/1.0) rr5---s####.g####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.2) 1####.251.36.46:443
TCP(TLS/1.2) 1####.251.39.99:443
TCP cm-1####.g####.com:5226
TCP sdk.o####.t####.####.com:5224
UDP 1####.250.179.138:443

Запросы DNS:

2.and####.p####.####.org
and####.b####.qq.com
app.ehang####.cn
c-h####.g####.com
cm-1####.g####.com
pub-####.qin####.com
rr3---s####.g####.com
rr5---s####.g####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
sdk.c####.g####.####.cn/config/hzv9.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
app.ehang####.cn/appCrewRecruit/getCrewRecruitList.json
app.ehang####.cn/appHjj/biddingList.json
app.ehang####.cn/appNews/getNewsList.json
app.ehang####.cn/appOil/getOilList.json
app.ehang####.cn/appUser/refreshToken.json
app.ehang####.cn/appVersion/getNewVersion.json
app.ehang####.cn/common/getCount.json
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn:443/advert/splash
ser####.dc####.net.cn:443/collect/plusapp/startup
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.imei.txt
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/1004
/data/data/####/20110838.jpg
/data/data/####/60x60.gif
/data/data/####/C2P.js
/data/data/####/CTCellularData.js
/data/data/####/Cookies-journal
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aboutus.html
/data/data/####/aboutus.jpg
/data/data/####/address.html
/data/data/####/advance_list.html
/data/data/####/advance_province.html
/data/data/####/advance_search.html
/data/data/####/ajaxfileupload.js
/data/data/####/applyInsurance.html
/data/data/####/applyinfo.html
/data/data/####/banner1.jpg
/data/data/####/banner2.jpg
/data/data/####/banner3.jpg
/data/data/####/barcode_scan.html
/data/data/####/biding.html
/data/data/####/biding_news.html
/data/data/####/binaryajax.js
/data/data/####/bugly_db_yaq-journal
/data/data/####/canvasResize.js
/data/data/####/change_info.html
/data/data/####/clientid_igexin.xml
/data/data/####/collection.html
/data/data/####/collection_job.html
/data/data/####/collection_offer.html
/data/data/####/collection_oil.html
/data/data/####/collection_recruit.html
/data/data/####/collection_sailing.html
/data/data/####/collection_service.html
/data/data/####/com.huadong.pfwl.xml
/data/data/####/com.huadong.pfwl_preferences.xml
/data/data/####/common.js
/data/data/####/company_edit.html
/data/data/####/company_manager.html
/data/data/####/contract_message_detail.html
/data/data/####/contract_message_list.html
/data/data/####/countDown.js
/data/data/####/crashrecord.xml
/data/data/####/cropper.css
/data/data/####/cropper.js
/data/data/####/cropper.min.css
/data/data/####/cropper.min.js
/data/data/####/cut_image.html
/data/data/####/d4c4cbf6444a
/data/data/####/dc_ad_type_key.xml
/data/data/####/dfert.png
/data/data/####/dfhery.png
/data/data/####/download.png
/data/data/####/eje3cnc
/data/data/####/error.html
/data/data/####/exif.js
/data/data/####/frends.png
/data/data/####/get_password.html
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hdd_banner.js
/data/data/####/hdd_cut_image.html
/data/data/####/hdd_push.js
/data/data/####/hdd_share.html
/data/data/####/hdd_share.js
/data/data/####/hdd_update.js
/data/data/####/hdd_uploadimg.js
/data/data/####/html5Geo.xml
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/iconindex.png
/data/data/####/imgview.css
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jober_detail.html
/data/data/####/jober_list.html
/data/data/####/jquery-1.8.2.min.js
/data/data/####/jquery.newsTicker.min.js
/data/data/####/layui.all.js
/data/data/####/libshellx-super.2019.so
/data/data/####/listViewUtil.js
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/login.css
/data/data/####/login.gif
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/logo1.png
/data/data/####/ma.png
/data/data/####/manifest.json
/data/data/####/map_record.txt
/data/data/####/md5.js
/data/data/####/message_list.html
/data/data/####/message_nav.html
/data/data/####/metrics_guid
/data/data/####/mui.dtpicker.css
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.css
/data/data/####/mui.picker.all.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/my_biding.html
/data/data/####/my_biding_list.html
/data/data/####/my_biding_list_single.html
/data/data/####/my_biding_single.html
/data/data/####/my_contract_file_list.html
/data/data/####/my_contract_list.html
/data/data/####/my_offer_list.html
/data/data/####/my_oil_list.html
/data/data/####/my_order.html
/data/data/####/my_sailing.html
/data/data/####/my_sailing_list.html
/data/data/####/my_tender_list_single.html
/data/data/####/my_win_tender_list_single.html
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/new_address.html
/data/data/####/new_tender.html
/data/data/####/news_detail.html
/data/data/####/news_list.html
/data/data/####/news_nav.html
/data/data/####/news_search.html
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/offer_add.html
/data/data/####/offer_detail.html
/data/data/####/offer_filter.html
/data/data/####/offer_list.html
/data/data/####/offer_message_detail.html
/data/data/####/offer_order_detail.html
/data/data/####/offer_order_list.html
/data/data/####/oil_detail.html
/data/data/####/oil_list.html
/data/data/####/pdr.xml
/data/data/####/pfwlcss.css
/data/data/####/pfwlcss1.css
/data/data/####/pingan.jpg
/data/data/####/pinganinfo.html
/data/data/####/port_list.html
/data/data/####/portsinfo.html
/data/data/####/portsinfo_detail.html
/data/data/####/proc_auxv
/data/data/####/publish.html
/data/data/####/publish_detail.html
/data/data/####/publish_list.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reg_record.txt
/data/data/####/regist.html
/data/data/####/renshou.html
/data/data/####/renshou.jpg
/data/data/####/rqd_record.eup
/data/data/####/run.pid
/data/data/####/sailing_add.html
/data/data/####/sailing_detail.html
/data/data/####/sailing_filter.html
/data/data/####/sailing_list.html
/data/data/####/sailing_message_detail.html
/data/data/####/sailing_order_detail.html
/data/data/####/sailing_order_list.html
/data/data/####/sailing_search.html
/data/data/####/sailor_filter.html
/data/data/####/sailor_service.html
/data/data/####/sailorservice_detail.html
/data/data/####/screen.js
/data/data/####/searchShip.html
/data/data/####/searcherShip.css
/data/data/####/security_info
/data/data/####/select_status.html
/data/data/####/ship.png
/data/data/####/ship_add.html
/data/data/####/ship_list.html
/data/data/####/shipdate.png
/data/data/####/shipline_list.html
/data/data/####/shiptrackers.html
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/suggest_info.html
/data/data/####/superslide.2.1.js
/data/data/####/taiping.html
/data/data/####/taiping.jpg
/data/data/####/temp-index
/data/data/####/tender_file_list.html
/data/data/####/tender_list.html
/data/data/####/test_app
/data/data/####/the-real-index
/data/data/####/tomb_1670187204533.txt
/data/data/####/tomb_1670187209166.txt
/data/data/####/tomb_1670187223836.txt
/data/data/####/toon_range.html
/data/data/####/toshiptracker.js
/data/data/####/tosversion
/data/data/####/train_detail.html
/data/data/####/train_list.html
/data/data/####/update_pwd.html
/data/data/####/user_center.html
/data/data/####/usercenterheadbg.jpg
/data/data/####/util.js
/data/data/####/validation.js
/data/data/####/vue.min.js
/data/data/####/webviewGroup.js
/data/data/####/webview_data.lock
/data/data/####/weixin.png
/data/data/####/woodsdate.png
/data/data/####/wxbao3.png
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.huadong.pfwl.bin
/data/media/####/com.huadong.pfwl.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log (deleted)
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
cat /proc/uid_stat/10065/tcp_rcv
cat /proc/uid_stat/10065/tcp_snd
cat /sys/class/net/wlan0/address
getprop
getprop ro.product.cpu.abi
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S
mount

Загружает динамические библиотеки:

libBugly-yaq
libgetuiext2
libshellx-super.2019

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней