Adware.Gexin.23317

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) gs.g####.com:80
TCP(HTTP/1.1) amap####.cn-hang####.oss####.####.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) mps.a####.com:80
TCP(HTTP/1.1) ap####.g####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.cn:80
TCP(HTTP/1.1) c####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) o####.jd.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) d####.k.jd.com:443
TCP(TLS/1.0) m####.m.jd.com:443
TCP(TLS/1.0) a####.u####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) co####.api.ofo.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) wap.cmpass####.com:8443
TCP(TLS/1.0) ke####.jd.com:443
TCP(TLS/1.0) 1####.194.179.152:443
TCP(TLS/1.0) www.j####.com:443
TCP(TLS/1.2) 1####.194.222.113:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) md####.google####.com:443
TCP schedul####.yo####.com:443
UDP md####.google####.com:443
TCP cm-10####.g####.com:5225
TCP sdk.o####.t####.####.net:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.man.aliy####.com
a####.u####.com
ada####.ut.ta####.com
amap####.cn-hang####.oss####.####.com
and####.a####.go####.com
and####.b####.qq.com
ap####.g####.com
b####.api.ofo.com
b####.g####.com
b####.g####.com
beacon####.aliy####.com
c####.g####.com
c####.g####.com
c####.g####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-10####.g####.com
co####.api.ofo.com
d####.k.jd.com
dgst####.jd.com
gs.g####.com
h5.yo####.com
ke####.jd.com
log.u####.com
logse####.ofo.com
m####.go####.com
m####.m.jd.com
ma.o####.com
md####.google####.com
mps.a####.com
norma-e####.m####.com
o####.jd.com
of####.ofo.com
plb####.u####.com
res####.a####.com
s####.ofo.so
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sett####.crashly####.com
sett####.crashly####.com.####.8
tj.youza####.com
u####.api.ofo.com
u####.u####.com
wap.cmpass####.com

Запросы HTTP GET:

amap####.cn-hang####.oss####.####.com/sdkcoor/android/armeabi/libJni_wgs...
cdn-sdk####.g####.com.####.cn/config/hzv9.conf
cdn-sdk####.g####.com.####.cn/tdata_DNL558
cdn-sdk####.g####.com.####.cn/tdata_EDB102
cdn-sdk####.g####.com.####.cn/tdata_RdS556
cdn-sdk####.g####.com.####.cn/tdata_hqs030
cdn-sdk####.g####.com.####.cn/tdata_uiY322
d####.k.jd.com:443/js/ksdk/getUnpl.js
d####.k.jd.com:443/js/ksdk/m.keepalive.js
d####.k.jd.com:443/ksdk/mid-page.html
def####.duals####.cn.####.com:443/bar/get/566e8adee0f55ad86d00119a/?pcv=...
ke####.jd.com:443/console/admin/getConfigNew?kepler_version=####&kepler_...
norma-e####.m####.com/android/exchange/getpublickey.do
sdk.c####.g####.####.cn/config/hzv9.conf
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_FhD658
www.j####.com:443/dg/js/ksdk/getUnpl.js
www.j####.com:443/dg/js/ksdk/m.keepalive.js
www.j####.com:443/dg/ksdk/mid-page.html

Запросы HTTP POST:

a####.u####.com/app_logs
a####.u####.com:443/unify_logs
adash####.man.aliy####.com/man/api?ak=####&s=####
and####.b####.qq.com/rqd/async?aid=####
ap####.g####.com/bd
beacon####.aliy####.com/beacon/fetch/config/byappkey
c####.g####.com/api.php?format=####&t=####
gs.g####.com/encryption/key/fetch
gs.g####.com/geshu/sdkStatistics/bd
gs.g####.com/geshu/sdkStatistics/ubi
m####.m.jd.com:443/ksdk/updlist.json
mps.a####.com/ws/mps/vmap?csid=####
norma-e####.m####.com/push/android/external/add.do
o####.jd.com/upload
plb####.u####.com:443/umpx_internal
plb####.u####.com:443/umpx_share
res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.imprint
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/0000000lllll_2.dex
/data/data/####/0000000lllll_3.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/000O00ll111l_2.dex
/data/data/####/000O00ll111l_3.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex (deleted)
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/00O000ll111l_2.dex
/data/data/####/00O000ll111l_2.dex (deleted)
/data/data/####/00O000ll111l_2.dex.flock
/data/data/####/00O000ll111l_2.dex.flock (deleted)
/data/data/####/00O000ll111l_3.dex
/data/data/####/00O000ll111l_3.dex (deleted)
/data/data/####/00O000ll111l_3.dex.flock
/data/data/####/00O000ll111l_3.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/1004
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/64792D990302-0001-0E44-080F491298B0BeginSession.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0BeginSession.json
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionApp.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionApp.json
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionDevice.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionDevice.json
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionEvent...00.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionEvent...01.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionEvent...02.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionEvent...s_temp
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionOS.cls
/data/data/####/64792D990302-0001-0E44-080F491298B0SessionOS.json
/data/data/####/64792D990302-0001-0E44-080F491298B0keys.meta
/data/data/####/944dca6a3ccb
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/adashbc.ut.taobao.com.443
/data/data/####/ap.Lock
/data/data/####/auth_shared.xml
/data/data/####/auth_shared.xml.bak
/data/data/####/base_path.xml
/data/data/####/bugly_db_yaq-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.networkbench.agent.impl.v2_so.ofo.labofo.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.1.xml.bak
/data/data/####/com.x.y.2.xml
/data/data/####/com.youzan.mobile.AnalyticsPrefs.xml
/data/data/####/config.xml
/data/data/####/config_track_sdk.xml
/data/data/####/crashlytics-userlog-64792D990302-0001-0E44-080F...0.temp
/data/data/####/crashlytics-userlog-64792D990302-0001-0E44-080F...leted)
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjg1NjYzMTM5Njky;
/data/data/####/dW1weF9zaGFyZV8xNjg1NjYzMTQ0NTMy;
/data/data/####/dW1weF9zaGFyZV8xNjg1NjYzMTQwMDQ2;
/data/data/####/deviceid_prefs.xml
/data/data/####/events
/data/data/####/events-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/getui_sp.xml
/data/data/####/gin.db-journal
/data/data/####/gkt-journal
/data/data/####/gtc.db-journal
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&3.20.0_1685663139941_envelope.log
/data/data/####/ias.db-journal
/data/data/####/ias_sp.xml
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/initialization_marker
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/kepler_public.xml
/data/data/####/libshellx-super.2019.so
/data/data/####/local_crash_lock
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/map_record.txt
/data/data/####/maploc.xml
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/ofo_local_cache.xml
/data/data/####/ofo_push.db
/data/data/####/ofo_push.db-journal
/data/data/####/ofo_sharePreferences.xml
/data/data/####/ofo_sharePreferences.xml.bak
/data/data/####/openudid_prefs.xml
/data/data/####/pref.xml
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reg_record.txt
/data/data/####/rqd_record.eup
/data/data/####/run.pid
/data/data/####/sa_a1e3e220-7f86-403d-a4bc-661240031b1b_1685663130729.tap
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/session_analytics.tap
/data/data/####/share.db-journal
/data/data/####/so.ofo.labofo
/data/data/####/so.ofo.labofo-journal
/data/data/####/so.ofo.labofo_preferences.xml
/data/data/####/ssoconfigs.xml
/data/data/####/ssoconfigs.xml.bak
/data/data/####/tdata_DNL558
/data/data/####/tdata_DNL558.dex
/data/data/####/tdata_DNL558.dex.flock (deleted)
/data/data/####/tdata_DNL558.jar
/data/data/####/tdata_RdS556
/data/data/####/tdata_RdS556.dex
/data/data/####/tdata_RdS556.dex.flock (deleted)
/data/data/####/tdata_RdS556.jar
/data/data/####/tdata_hqs030
/data/data/####/tdata_hqs030.dex
/data/data/####/tdata_hqs030.dex.flock (deleted)
/data/data/####/tdata_hqs030.jar
/data/data/####/tdata_uiY322.dex
/data/data/####/tdata_uiY322.dex.flock (deleted)
/data/data/####/tdata_uiY322.jar
/data/data/####/tdata_uiY322838445829.tmp
/data/data/####/tomb.zip
/data/data/####/tomb.zip (deleted)
/data/data/####/tomb_1685663133352.txt
/data/data/####/tomb_1685663152330.txt
/data/data/####/tosversion
/data/data/####/track_so.ofo.labofo
/data/data/####/track_so.ofo.labofo-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/media/####/.4781249416745892043
/data/media/####/.nomedia
/data/media/####/1685663128854.db (deleted)
/data/media/####/18d2ed21a6e7170c48de5438de9b9d8e
/data/media/####/18d2ed21a6e7170c48de5438de9b9d8e (deleted)
/data/media/####/2023-06-02.log.txt
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/OLGeo.dat
/data/media/####/OLGeo.ind
/data/media/####/OLPoi.dat
/data/media/####/OLPoi.ind
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/am_font_model.dat
/data/media/####/am_font_model.ind
/data/media/####/am_font_model_ex.dat
/data/media/####/amaponline.dat
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d41d8cd98f00b204e9800998ecf8427e
/data/media/####/dfe55732e3ae9e6e6f3a4348457e1ba7
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper (deleted)
/data/media/####/guide.dat
/data/media/####/guide.ind
/data/media/####/journal
/data/media/####/mapheat.dat
/data/media/####/mapheat.ind
/data/media/####/so.ofo.labofo.bin
/data/media/####/so.ofo.labofo.db
/data/media/####/so.ofo.labofo_.db
/data/media/####/sti.dat
/data/media/####/sti.ind
/data/media/####/tdata_DNL558
/data/media/####/tdata_RdS556
/data/media/####/tdata_hqs030
/data/media/####/tdata_uiY322
/data/media/####/test.log
/data/media/####/v8_indoor_db.dat
/data/media/####/v8_indoor_db.ind
/data/media/####/vmap_engine_version.data
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
cat /proc/self/cgroup
getprop
getprop ro.product.cpu.abi
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S
ls -l /system/xbin/su
ls /
ls /sys/class/thermal
mount
sh

Загружает динамические библиотеки:

libBugly-yaq
libGNaviData
libGNaviMap
libGNaviMapex
libGNaviSearch
libGNaviUtils
libRoadLineRebuildAPI
libgetuiext2
libnative-lib
libshellx-super.2019

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней