Adware.Gexin.23579

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) api.fenfen####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) a####.fenfen####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) pv.s####.com.####.com:80
TCP(TLS/1.0) rr13---####.g####.com:443
TCP(TLS/1.0) 2####.239.32.223:443
TCP(TLS/1.0) api.anythin####.com:443
TCP(TLS/1.0) grs-dba####.ap####.dbank####.cn:443
TCP(TLS/1.0) a####.do####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) rr3---s####.g####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) da.anythin####.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.2) and####.google####.com:443
TCP(TLS/1.2) 1####.177.14.101:443
TCP(TLS/1.2) 64.2####.164.139:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP(TLS/1.2) 1####.177.14.147:443
TCP(TLS/1.2) 1####.217.130.154:443

Запросы DNS:

a####.do####.com
a####.fenfen####.com
a####.man.aliy####.com
ad####.m.ta####.com
ada####.m.ta####.com
and####.b####.qq.com
and####.google####.com
api.anythin####.com
api.fenfen####.com
bag.sdk.a####.####.com
da.anythin####.com
grs.dbankc####.com
j.souso####.com
l####.tbs.qq.com
log.u####.com
mm.ylx####.com
plb####.u####.com
pv.s####.com
rr13---####.g####.com
rr3---s####.g####.com
sdk.a####.uu####.com
u####.u####.com
www.fenfen####.com

Запросы HTTP GET:

api.fenfen####.com/ad?platform=####&product=####&product_version=####&os...
def####.duals####.cn.####.com:443/bar/get/4db7a195112cf76abd00000c/?pcv=...
pv.s####.com.####.com/cityjson?ie=####

Запросы HTTP POST:

a####.fenfen####.com/snsApi.php?do=####
a####.fenfen####.com/v1/andorid/events?stm=####
ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
adash####.man.aliy####.com/man/api?ak=####&s=####
and####.b####.qq.com/rqd/async?aid=####
grs-dba####.ap####.dbank####.cn:443/grs/2.0/router?issue_country=####
l####.tbs.qq.com/ajax?c=####&k=####
plb####.u####.com:443/umpx_internal
plb####.u####.com:443/umpx_share
u####.u####.com:443/unify_logs

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1004
/data/data/####/Alvin2.xml
/data/data/####/BMWEEXOPEN_NATIVE_SP.xml
/data/data/####/BQMMSDKVersion.xml
/data/data/####/Bqmm.db-journal
/data/data/####/ContextData.xml
/data/data/####/HardwareUtil_Get_IMEI.xml
/data/data/####/PINK_DIARY.xml
/data/data/####/PINK_DIARY.xml.bak
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a==8.1.6&&7.89_1720820342286_envelope.log
/data/data/####/ad_reload_form.xml
/data/data/####/androidx.work.workdb-journal (deleted)
/data/data/####/anythink.db-journal
/data/data/####/anythink_agent_log
/data/data/####/anythink_placement_strategy_update_check.xml
/data/data/####/anythink_sdk.xml
/data/data/####/anythink_sdk.xml.bak
/data/data/####/ap.Lock
/data/data/####/bqmm_keyword_emojis.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.xml
/data/data/####/cbxlib.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/content_form.xml
/data/data/####/content_form.xml.bak
/data/data/####/core_info
/data/data/####/crash_dump.log
/data/data/####/crashrecord.xml
/data/data/####/d494.jar
/data/data/####/dW1weF9pbnRlcm5hbF8xNzIwODIwMzQxMTUz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNzIwODIwMzUzMzcx;
/data/data/####/dW1weF9zaGFyZV8xNzIwODIwMzQxMjUz;
/data/data/####/dW1weF9zaGFyZV8xNzIwODIwMzQxOTE1;
/data/data/####/debug.conf
/data/data/####/dongtu.api.plus.SCHEDULE.xml
/data/data/####/dongtu.api.plus.SCHEDULE.xml.bak
/data/data/####/download_upload
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/file_uuid
/data/data/####/globalParamFile.xml
/data/data/####/hms_global_v2_pinkdiary.xiaoxiaotu.com.xml
/data/data/####/home_feed.xml
/data/data/####/i==1.2.0&&7.89_1720820341175_envelope.log
/data/data/####/i==1.2.0&&7.89_1720820353383_envelope.log
/data/data/####/info.xml
/data/data/####/jsb.version
/data/data/####/libjiagu.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/maxUploadCountSpForm.xml
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/package_downstate.xml
/data/data/####/pink_config.xml
/data/data/####/pink_diary_1.0.0.db-journal
/data/data/####/pinkdiary.xiaoxiaotu.com_preferences.xml
/data/data/####/pinkdiary_2.0.db-journal
/data/data/####/privacy_policy.xml
/data/data/####/proc_auxv
/data/data/####/push_client_self_info.xml
/data/data/####/security_info
/data/data/####/setting.xml
/data/data/####/share.db-journal
/data/data/####/share_data.xml
/data/data/####/share_data.xml.bak
/data/data/####/showguide.xml
/data/data/####/showguide.xml.bak
/data/data/####/sp_sessionid.xml
/data/data/####/sp_uuid.xml
/data/data/####/t==8.1.6&&7.89_1720820342086_envelope.log
/data/data/####/table_form.xml
/data/data/####/table_form.xml.bak
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tempa.xml
/data/data/####/tramini.db-journal
/data/data/####/tramini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_config.xml.bak
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/versionManagement
/data/media/####/.nomedia
/data/media/####/150050.zip
/data/media/####/150269.zip
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/anniversary_add.png
/data/media/####/anniversary_hy.png
/data/media/####/anniversary_near_hy.png
/data/media/####/anniversary_near_yj.png
/data/media/####/anniversary_none.png
/data/media/####/anniversary_sr.png
/data/media/####/anniversary_yj.png
/data/media/####/bule_0.png
/data/media/####/bule_1.png
/data/media/####/bule_2.png
/data/media/####/bule_3.png
/data/media/####/bule_4.png
/data/media/####/bule_5.png
/data/media/####/bule_6.png
/data/media/####/bule_7.png
/data/media/####/bule_8.png
/data/media/####/bule_9.png
/data/media/####/bule_days.png
/data/media/####/bule_today.png
/data/media/####/bundle.zip
/data/media/####/checkdetail_bg.png
/data/media/####/checkdetail_blayer.png
/data/media/####/checkdetail_slayer.png
/data/media/####/checklist_add.png
/data/media/####/checklist_addpic.png
/data/media/####/checklist_bg.png
/data/media/####/checklist_big_normal.png
/data/media/####/checklist_big_select.png
/data/media/####/checklist_editor.png
/data/media/####/checklist_finish.png
/data/media/####/checklist_layer.png
/data/media/####/checklist_location.png
/data/media/####/checklist_lock.png
/data/media/####/checklist_right.png
/data/media/####/checklist_share.png
/data/media/####/checklist_small_normal.png
/data/media/####/checklist_small_select.png
/data/media/####/checklist_time.png
/data/media/####/common
/data/media/####/common_add.png
/data/media/####/common_back_black.png
/data/media/####/common_close.png
/data/media/####/cover.png
/data/media/####/curtain.png
/data/media/####/data.json
/data/media/####/default.png
/data/media/####/defult_student0.json
/data/media/####/diary_add.png
/data/media/####/diary_change.png
/data/media/####/diary_change2.png
/data/media/####/diary_img_del.png
/data/media/####/diary_more.png
/data/media/####/diary_msg.png
/data/media/####/diary_open_pick.png
/data/media/####/home_bg.png
/data/media/####/home_bgx.png
/data/media/####/home_drop_down.png
/data/media/####/home_life.png
/data/media/####/home_list.png
/data/media/####/home_memorial.png
/data/media/####/home_menstruation.png
/data/media/####/home_switch.png
/data/media/####/index.js
/data/media/####/invite_tab_me.png
/data/media/####/invite_tab_other.png
/data/media/####/lamp.png
/data/media/####/light.png
/data/media/####/lovedream_bg.png
/data/media/####/lovers_egg.png
/data/media/####/md5.json
/data/media/####/menses_calendar_blood.png
/data/media/####/menses_calendar_blood_little.png
/data/media/####/menses_calendar_blood_little_press.png
/data/media/####/menses_calendar_blood_lot.png
/data/media/####/menses_calendar_blood_lot_press.png
/data/media/####/menses_calendar_blood_more.png
/data/media/####/menses_calendar_blood_more_press.png
/data/media/####/menses_calendar_body_info.png
/data/media/####/menses_calendar_color_dark.png
/data/media/####/menses_calendar_color_dark_press.png
/data/media/####/menses_calendar_color_little.png
/data/media/####/menses_calendar_color_little_press.png
/data/media/####/menses_calendar_color_red.png
/data/media/####/menses_calendar_color_red_press.png
/data/media/####/menses_calendar_habit.png
/data/media/####/menses_calendar_habit_bowel.png
/data/media/####/menses_calendar_habit_bowel_press.png
/data/media/####/menses_calendar_habit_breakfast.png
/data/media/####/menses_calendar_habit_breakfast_press.png
/data/media/####/menses_calendar_habit_fruit.png
/data/media/####/menses_calendar_habit_fruit_press.png
/data/media/####/menses_calendar_habit_sport.png
/data/media/####/menses_calendar_habit_sport_press.png
/data/media/####/menses_calendar_habit_water.png
/data/media/####/menses_calendar_habit_water_press.png
/data/media/####/menses_calendar_log.png
/data/media/####/menses_calendar_love.png
/data/media/####/menses_calendar_love_more.png
/data/media/####/menses_calendar_menses_color.png
/data/media/####/menses_calendar_mood.png
/data/media/####/menses_calendar_pain_little.png
/data/media/####/menses_calendar_pain_little_press.png
/data/media/####/menses_calendar_pain_lot.png
/data/media/####/menses_calendar_pain_lot_press.png
/data/media/####/menses_calendar_pain_more.png
/data/media/####/menses_calendar_pain_more_press.png
/data/media/####/menses_calendar_temp.png
/data/media/####/menses_calendar_weight.png
/data/media/####/menses_mood_1.png
/data/media/####/menses_mood_2.png
/data/media/####/menses_mood_3.png
/data/media/####/menses_mood_4.png
/data/media/####/menses_mood_5.png
/data/media/####/menses_mood_6.png
/data/media/####/menses_mood_7.png
/data/media/####/menses_mood_8.png
/data/media/####/menses_mood_9.png
/data/media/####/menses_tongjing.png
/data/media/####/navbar_back.png
/data/media/####/open.png
/data/media/####/open_right.png
/data/media/####/page_result_img.png
/data/media/####/pop_cancel.png
/data/media/####/pop_done.png
/data/media/####/pop_next.png
/data/media/####/pop_next_arrow.png
/data/media/####/popup_birthday.png
/data/media/####/red_0.png
/data/media/####/red_1.png
/data/media/####/red_2.png
/data/media/####/red_3.png
/data/media/####/red_4.png
/data/media/####/red_5.png
/data/media/####/red_6.png
/data/media/####/red_7.png
/data/media/####/red_8.png
/data/media/####/red_9.png
/data/media/####/red_days.png
/data/media/####/red_today.png
/data/media/####/right.png
/data/media/####/secert-menses-end-gray.png
/data/media/####/secert-menses-end.png
/data/media/####/secert-menses-start-gray.png
/data/media/####/secert-menses-start.png
/data/media/####/secret-bubbles-current.png
/data/media/####/secret-bubbles-future.png
/data/media/####/secret-peroid-left-arrow.png
/data/media/####/secret-peroid-right-arrow.png
/data/media/####/secret-today-arrow.png
/data/media/####/secret_back.png
/data/media/####/secret_update.png
/data/media/####/sill.png
/data/media/####/sysid.dat
/data/media/####/table0.json
/data/media/####/tbslog.txt
/data/media/####/user_log_temp_620.log
/data/media/####/user_log_upload_620.log
/data/media/####/versionManagement
/data/media/####/wallpaper.png
/data/media/####/wallpaper_light.png
/data/media/####/white_0.png
/data/media/####/white_1.png
/data/media/####/white_2.png
/data/media/####/white_3.png
/data/media/####/white_4.png
/data/media/####/white_5.png
/data/media/####/white_6.png
/data/media/####/white_7.png
/data/media/####/white_8.png
/data/media/####/white_9.png
/data/media/####/white_days.png
/data/media/####/white_today.png
/data/user_de/####/LocalAvengers.xml
/data/user_de/####/aaid.xml
/data/user_de/####/grs_move2DE_records.xml
/data/user_de/####/move_to_de_records.xml
/data/user_de/####/share_pre_grs_conf_pinkdiary.xiaoxiaotu.com.xml

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/arm//libweexjsb.so 47 48 1 /data/user/0/<Package>/app_crash/crash_dump.log
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

libBugly
libDongtuSDKCodec
libPatcher
libjiagu
libweexcore

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-GCM-NoPadding
RC4
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней