Adware.Gexin.14427

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) se####.wos####.cn:81
TCP(HTTP/1.1) un####.wos####.cn:8061
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) unipa####.wos####.cn:8080
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) p####.wos####.cn:28084
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) poll-di####.cooteks####.com:80
TCP(HTTP/1.1) unip####.wos####.cn:8080
TCP(TLS/1.0) 2####.58.211.110:443
TCP(TLS/1.0) app-ro####.leanc####.cn:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) api.id####.cn:443
TCP(TLS/1.0) schedul####.yo####.com:443
TCP p####.wos####.cn:8064
TCP sdk.o####.t####.####.com:5224
TCP p####.wos####.cn:18098
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.man.aliy####.com
a####.u####.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.id####.cn
app-ro####.leanc####.cn
c####.g####.ig####.com
c-h####.g####.com
log.u####.com
p####.wos####.cn
poll-di####.cooteks####.com
pub-####.qin####.com
q.tinkerp####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
se####.wos####.cn
tj.youza####.com
un####.wos####.cn
unip####.wos####.cn
unipa####.wos####.cn

Запросы HTTP GET:

et2-na6####.wagbr####.ali####.####.com/bar/get/4e6efeb5527015155900002f/...
poll-di####.cooteks####.com/dualsim/appkey_dsi?appkey=####&host=####&man...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Gfv491
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_RTc910
t####.c####.q####.####.com/tdata_TPC259

Запросы HTTP POST:

a####.u####.com/app_logs
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
p####.wos####.cn:28084/cgi-bin/push/event/report
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
se####.wos####.cn:81/unipay/precheck?secrettype=####&sdktime=####&urlsig...
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
ti####.c####.l####.####.com/c/85d710f58cc4fcea?d=####&v=####
un####.wos####.cn:8061/logserver/unipay/unipayLogin
unip####.wos####.cn:8080/upload/1557990132193.zip
unipa####.wos####.cn:8080/sdk_upgrade_server/report.action
unipa####.wos####.cn:8080/sdk_upgrade_server/sdkupdate.action

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/1004
/data/data/####/4.8.0M2111B0601_resource_400.apk
/data/data/####/85d710f58cc4fcea_version.info
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/accountsdk_2_arrow_right_gray.png
/data/data/####/accountsdk_2_btn_grey.9.png
/data/data/####/accountsdk_2_btn_modify_uinfo.png
/data/data/####/accountsdk_2_checkbox_set.png
/data/data/####/accountsdk_2_checkbox_unset.png
/data/data/####/accountsdk_2_float_bg.png
/data/data/####/accountsdk_2_float_bg_expand_lr.9.png
/data/data/####/accountsdk_2_float_bg_expand_rl.9.png
/data/data/####/accountsdk_2_float_bg_expanded.png
/data/data/####/accountsdk_2_float_bg_expanded_lo.png
/data/data/####/accountsdk_2_float_bg_lo.png
/data/data/####/accountsdk_2_float_btn_account.png
/data/data/####/accountsdk_2_float_btn_account_pressed.png
/data/data/####/accountsdk_2_float_btn_activity.png
/data/data/####/accountsdk_2_float_btn_activity_pressed.png
/data/data/####/accountsdk_2_float_btn_point.png
/data/data/####/accountsdk_2_float_btn_point_pressed.png
/data/data/####/accountsdk_2_float_btn_recharge.png
/data/data/####/accountsdk_2_float_btn_recharge_pressed.png
/data/data/####/accountsdk_2_float_logo.png
/data/data/####/accountsdk_2_green_radio.png
/data/data/####/accountsdk_2_green_radio_checked.png
/data/data/####/accountsdk_2_icon_fail.png
/data/data/####/accountsdk_2_pointbar.png
/data/data/####/accountsdk_2_portrait_default.png
/data/data/####/accountsdk_2_uicom_logo.png
/data/data/####/accountsdk_2_wostore_logo.png
/data/data/####/alipay_pay.png
/data/data/####/app_setting.xml
/data/data/####/app_update_dialog_close.png
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.approuter.iKG9v5Bnh6R3m6bvfN...sz.xml
/data/data/####/com.youzan.mobile.AnalyticsPrefs.xml
/data/data/####/crashrecord.xml
/data/data/####/default_banner.png
/data/data/####/dot_black.png
/data/data/####/e236bb28953a
/data/data/####/events
/data/data/####/events-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/green_dot.png
/data/data/####/gx_sp.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_cache.xml.bak
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jfsc.png
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/loading1.png
/data/data/####/local.jar
/data/data/####/local_crash_lock
/data/data/####/login
/data/data/####/mix.dex
/data/data/####/month_record_list.png
/data/data/####/month_vip_bojin.png
/data/data/####/month_vip_huangjin.png
/data/data/####/month_vip_icon.png
/data/data/####/month_vip_putong.png
/data/data/####/msg_store.xml
/data/data/####/msg_store.xml.bak
/data/data/####/msg_store.xml.bak (deleted)
/data/data/####/multidex.version.xml
/data/data/####/myhelp.png
/data/data/####/myhongbao.png
/data/data/####/myjifen.png
/data/data/####/myltbl.png
/data/data/####/myltjf.png
/data/data/####/mywobi.png
/data/data/####/mywoquan.png
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/otherpay_back.png
/data/data/####/patch_server_config.xml
/data/data/####/privilege_dot.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq_pay.png
/data/data/####/run.pid
/data/data/####/sdk_load_info.xml
/data/data/####/security_info
/data/data/####/tdata_Gfv491
/data/data/####/tdata_Gfv491.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_RTc910
/data/data/####/tdata_RTc910.jar
/data/data/####/tdata_TPC259
/data/data/####/tdata_TPC259.jar
/data/data/####/triangle_down.png
/data/data/####/triangle_up.png
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/unicom_adv_title.png
/data/data/####/unicom_alipay.png
/data/data/####/unicom_allright.png
/data/data/####/unicom_back.png
/data/data/####/unicom_bankcard.png
/data/data/####/unicom_boxbg.png
/data/data/####/unicom_btn_back.png
/data/data/####/unicom_btn_close.png
/data/data/####/unicom_btn_eyeoff.png
/data/data/####/unicom_btn_eyeon.png
/data/data/####/unicom_btn_refresh.png
/data/data/####/unicom_btn_usercenter.png
/data/data/####/unicom_btn_x.png
/data/data/####/unicom_chongzhicard.png
/data/data/####/unicom_circlerect_bg.png
/data/data/####/unicom_cl.xml
/data/data/####/unicom_classez.jar
/data/data/####/unicom_close.png
/data/data/####/unicom_close_new_normal.png
/data/data/####/unicom_close_new_press.png
/data/data/####/unicom_complete.png
/data/data/####/unicom_gift.png
/data/data/####/unicom_gou.png
/data/data/####/unicom_hot.png
/data/data/####/unicom_hotline.png
/data/data/####/unicom_img_card.png
/data/data/####/unicom_img_card2.png
/data/data/####/unicom_inputbox.png
/data/data/####/unicom_jfpay_baner.jpg
/data/data/####/unicom_jfpay_rule.jpg
/data/data/####/unicom_keyboard_clear.png
/data/data/####/unicom_light_boxbg.png
/data/data/####/unicom_modify.png
/data/data/####/unicom_progress_1.png
/data/data/####/unicom_progress_2.png
/data/data/####/unicom_progress_3.png
/data/data/####/unicom_pulldown.png
/data/data/####/unicom_qq.png
/data/data/####/unicom_rect_green.png
/data/data/####/unicom_red_circle.png
/data/data/####/unicom_resource.dat
/data/data/####/unicom_separate_line.png
/data/data/####/unicom_smallrightbar.png
/data/data/####/unicom_tanhao.png
/data/data/####/unicom_tuijian.png
/data/data/####/unicom_weixin_.png
/data/data/####/unicom_wobi.png
/data/data/####/unicom_wobi_big.png
/data/data/####/unicom_wopay.png
/data/data/####/update.zip
/data/data/####/user_id.xml
/data/data/####/version.lock
/data/data/####/wechat_pay.png
/data/data/####/wobi_pay2.png
/data/data/####/wostore_progress.png
/data/data/####/wostore_welcome.png
/data/data/####/wwoclasses.dex
/data/data/####/wwoclasses.dve
/data/data/####/wwoclasses.jar
/data/data/####/xw_msg_store.xml
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/UserID.dat
/data/media/####/addata22.dat
/data/media/####/app.db
/data/media/####/com.appshare.android.ilisten.bin
/data/media/####/com.appshare.android.ilisten.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/data0.dat
/data/media/####/data1.dat
/data/media/####/data111.dat
/data/media/####/dualsim.dat
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Gfv491
/data/media/####/tdata_MkX219
/data/media/####/tdata_RTc910
/data/media/####/tdata_TPC259
/data/media/####/test.log
/data/media/####/update_1559123336024.dat
/data/media/####/yot5489.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getuipush.MyPushService 25806 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.code
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
netstat -apn
sh
sh -c netstat -apn
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.getuipush.MyPushService 25806 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
me_unipay
nfix
realm-jni
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DESede-CBC-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
DESede-CBC-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней