Adware.Gexin.23617

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin
Tool.SilentInstaller.7.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) ky.5####.com:80
TCP(TLS/1.0) wis.ru####.com.cn:443
TCP(TLS/1.0) sh####.lc-cn-n####.com:443
TCP(TLS/1.0) www.speed####.net:443
TCP(TLS/1.0) 2####.239.32.223:443
TCP(TLS/1.0) y####.al####.org.####.com:443
TCP(TLS/1.0) api-####.2####.com:443
TCP(TLS/1.0) h-adash####.ut.ta####.com:443
TCP(TLS/1.0) 1####.217.21.170:443
TCP(TLS/1.0) ux.2####.com:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) zb-cent####.m.ta####.com:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) 74.1####.163.88:443
TCP(TLS/1.0) 2####.239.36.223:443
TCP(TLS/1.2) 1####.250.74.46:443
TCP(TLS/1.2) 1####.250.74.68:443
TCP(TLS/1.2) 1####.217.21.170:443
TCP(TLS/1.2) gmscomp####.google####.com:443
TCP(TLS/1.2) 74.1####.163.88:443
TCP(TLS/1.2) 1####.250.74.174:443
TCP(TLS/1.2) 1####.250.74.106:443
UDP 1####.0.8.1:137
TCP sh####.lc-cn-n####.com:443
UDP 2####.239.32.223:443

Запросы DNS:

acs4bai####.m.ta####.com
adas####.ut.ta####.com
api-####.2####.com
app-ro####.leanc####.cn
das-tc-####.r####.com
gmscomp####.google####.com
ky.5####.com
l####.tbs.qq.com
libra####.com####.ru
log.u####.com
m####.alibaba####.com
mo####.speed####.rt.ru
nbsdk-b####.al####.com
o5wp####.s####.l####.net
rr9---s####.g####.com
sh####.lc-cn-n####.com
smart####.ex####.ott4c####.com
smart####.ex####.ott4c####.com:9102
speed####.a####.ru
speed####.msk.ertel####.ru
speedte####.meg####.ru
ux.2####.com
wis.ru####.com.cn
www.speed####.net
y####.al####.org

Запросы HTTP GET:

def####.duals####.cn.####.com:443/bar/get/58c7c415a325113ac90005b0/?pcv=...
h-adash####.ut.ta####.com:443/rest/gc2?ak=####&av=####&c=####&d=####&sv=...
ky.5####.com/system/switch?pkg=####&ver=####&grp=####
nbsdk-b####.al####.com:443/1.1.0.0/linkout.htm?appKey=####
nbsdk-b####.al####.com:443/3.1.1.219/26004007/1.0.0/meta.htm?plat=####
www.speed####.net:443/speedtest-config.php
zb-cent####.m.ta####.com:443//gw-open/mtop.taobao.tbk.sdk.config/1.0/?da...

Запросы HTTP POST:

api-####.2####.com:443/openapi/gbcs/new/updateResource.do
ky.5####.com/active/security/
ux.2####.com:443/pb/appReportRest/getSession?v=####&SDKVersion=####&t=##...
ux.2####.com:443/pb/appReportRest/package?v=####&sid=####&SDKVersion=###...
ux.2####.com:443/visualizationEvent/getIssuedEvents?osType=####&pid=####
y####.al####.org.####.com:443/saveWb.json?evt=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/0.xml
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/2c4b5a2b9f9de042fa673356eba17b51
/data/data/####/404.png
/data/data/####/AVOSCloud-SDK.xml
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/AlibcLinkPartner.xml
/data/data/####/Alvin2.xml
/data/data/####/CXPlugin.db
/data/data/####/CXPlugin.db-journal
/data/data/####/ContextData.xml
/data/data/####/Cookies
/data/data/####/Cookies-journal
/data/data/####/DEFAULTSAVEDATE.xml
/data/data/####/DEFAULTSAVEDATE.xml.bak
/data/data/####/FIRSTOPEN.xml
/data/data/####/INSTALLATION_NEW
/data/data/####/Q0VSVC5SU0EK.txt
/data/data/####/ROKID_IMEI
/data/data/####/SGMANAGER_DATA2
/data/data/####/SG_INNER_DATA
/data/data/####/SPEEDTESTDATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/ap.Lock
/data/data/####/apkfavorite.db
/data/data/####/apkfavorite.db-journal
/data/data/####/auth_sdk_device.xml
/data/data/####/auto_comm.js
/data/data/####/auto_login.css
/data/data/####/auto_login.html
/data/data/####/auto_login.js
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/classes.dex;classes8.dex
/data/data/####/classes.dex;classes9.dex
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.analysis.xml
/data/data/####/com.avos.avoscloud.approuter.o5WpFiev81L3vUqyA9...ml.bak
/data/data/####/com.avos.avoscloud.approuter.o5WpFiev81L3vUqyA9...sz.xml
/data/data/####/com.yueme.itv_account_sdk.xml
/data/data/####/com.yueme.itv_account_sdk_res.xml
/data/data/####/com.yueme.itv_preferences.xml
/data/data/####/comm.js
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/dc1ac1132616524340
/data/data/####/dc663b7d9ef10c8288
/data/data/####/download_upload
/data/data/####/e.png
/data/data/####/error.html
/data/data/####/libjiagu.so
/data/data/####/libsgmain_312757200000.dex
/data/data/####/libsgmain_312757200000.dex.flock (deleted)
/data/data/####/libsgmainso-5.4.94.so
/data/data/####/lock.lock
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/login_QQ.png
/data/data/####/login_wechat.png
/data/data/####/login_weibo.png
/data/data/####/login_yjk.png
/data/data/####/mask.png
/data/data/####/md5values.txt
/data/data/####/memFile_monitorlog
/data/data/####/mini_auto_login.html
/data/data/####/mini_error.html
/data/data/####/mini_login.html
/data/data/####/mini_sms_login.html
/data/data/####/phone.png
/data/data/####/plugin.xml
/data/data/####/plugin_uninstalled.xml
/data/data/####/proc_auxv
/data/data/####/rokid.db
/data/data/####/rokid.db-journal
/data/data/####/sgFile.lock
/data/data/####/share.db-journal
/data/data/####/sms_login.html
/data/data/####/sms_login.js
/data/data/####/sp.lock
/data/data/####/stats_sdk_settings.xml
/data/data/####/stats_sdk_settings.xml.temp
/data/data/####/statssdk_log.db
/data/data/####/statssdk_log.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/timestamp
/data/data/####/topIcon-logo.png
/data/data/####/uedapm.db-journal
/data/data/####/uedapmexception.db-journal
/data/data/####/uid-list.ini
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/userlist.xml
/data/data/####/usernetwork.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/utilcode.xml
/data/data/####/uxcn21com_boottime.xml
/data/data/####/wrong.css
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/data/####/xUtils_http_cookie.db-journal (deleted)
/data/data/####/xUtils_http_cookie.db-shm
/data/data/####/xUtils_http_cookie.db-wal
/data/media/####/0
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/INSTALLATION_NEW
/data/media/####/ad84ef63bcb84ab2d2af2f913b473d64
/data/media/####/hid.dat
/data/media/####/tbslog.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/files/dc1ac1132616524340
/data/user/0/<Package>/files/dc663b7d9ef10c8288
getprop ro.build.version.release
getprop ro.product.cpu.abi
sh -c cat /sys/class/mmc_host/mmc*/mmc*:*/cid

Загружает динамические библиотеки:

libCtaLib
libjiagu
libsgmainso-5.4.94

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
RC4
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней