Adware.Gexin.431

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.go####.nl:443
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) acco####.go####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) adser####.go####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
acco####.go####.com
adser####.go####.com
c####.g####.ig####.com
c-h####.g####.com
f####.gst####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
www.go####.com
www.go####.nl
www.gst####.com

Запросы HTTP GET:

sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_Soq141
sni.c####.q####.####.net/tdata_vxj811

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/H52980C42.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/mobclick_agent_cached_com.yunshuweilai.luzhou83
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.nomedia
/data/media/####/20180721.log
/data/media/####/Edition.png
/data/media/####/Editor.min.css
/data/media/####/Editor.min.js
/data/media/####/activitiesAll.html
/data/media/####/activitiesDetail.html
/data/media/####/activitiesDetail.js
/data/media/####/activitiesList.html
/data/media/####/activitiesList.js
/data/media/####/activitiesLiveDetail.html
/data/media/####/activitiesReplyDelete.js
/data/media/####/add-letter.png
/data/media/####/addApply.html
/data/media/####/addApply.js
/data/media/####/addEmail.html
/data/media/####/addEmail.js
/data/media/####/addMessage.html
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/apply.html
/data/media/####/apply.js
/data/media/####/applyDetail.html
/data/media/####/applyDetail.js
/data/media/####/article.js
/data/media/####/articleDetail.html
/data/media/####/articleFavour.js
/data/media/####/articleList.html
/data/media/####/askDetail.html
/data/media/####/askHelp.html
/data/media/####/askList.html
/data/media/####/avatar_default.png
/data/media/####/avatar_default_background.png
/data/media/####/avater-default2.png
/data/media/####/avater.png
/data/media/####/bbstopic.js
/data/media/####/bj.png
/data/media/####/cbd.jpg
/data/media/####/chain.html
/data/media/####/changeExam.html
/data/media/####/collect.js
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yunshuweilai.luzhou.bin
/data/media/####/com.yunshuweilai.luzhou.db
/data/media/####/comment.js
/data/media/####/comments.html
/data/media/####/common.css
/data/media/####/common.js
/data/media/####/create.html
/data/media/####/czw.js
/data/media/####/dangfeng.html
/data/media/####/dangjian.png
/data/media/####/dangjianyaowen@3x.png
/data/media/####/dangneiguanai@3x.png
/data/media/####/dangwubaike@3x.png
/data/media/####/dangwugongkai@3x.png
/data/media/####/dangyuanfuwu@3x.png
/data/media/####/dangyuanjiaofei@3x.png
/data/media/####/demo.css
/data/media/####/demo.html
/data/media/####/demo_fontclass.html
/data/media/####/demo_symbol.html
/data/media/####/demo_unicode.html
/data/media/####/deptEmail.html
/data/media/####/deptEmail.js
/data/media/####/disscuss.html
/data/media/####/echarts-all.js
/data/media/####/echarts.min.js
/data/media/####/emailDetail.html
/data/media/####/emailDetail.js
/data/media/####/emailDetailForMe.html
/data/media/####/emailDetailForMe.js
/data/media/####/examPage.js
/data/media/####/examPaper.html
/data/media/####/exameDetal.png
/data/media/####/examing.html
/data/media/####/faults.png
/data/media/####/favour.js
/data/media/####/feedBack.html
/data/media/####/feedback.css
/data/media/####/feedback.js
/data/media/####/file__0.localstorage-journal
/data/media/####/findPublicity.js
/data/media/####/flexible.js
/data/media/####/forum.png
/data/media/####/fujindangzhuzhi@3x.png
/data/media/####/fundPublicity.html
/data/media/####/grxx.html
/data/media/####/hdpt1.html
/data/media/####/home.html
/data/media/####/html5media.min.js
/data/media/####/ico_add.png
/data/media/####/ico_add@2x.png
/data/media/####/ico_add@3x.png
/data/media/####/ico_call.png
/data/media/####/ico_call@3x.png
/data/media/####/ico_dangposition@2x.png
/data/media/####/icomoon.ttf
/data/media/####/icon_mailbox.png
/data/media/####/iconfont.css
/data/media/####/iconfont.eot
/data/media/####/iconfont.js
/data/media/####/iconfont.svg
/data/media/####/iconfont.ttf
/data/media/####/iconfont.woff
/data/media/####/iconfont1.css
/data/media/####/iconfont1.ttf
/data/media/####/index-slider.js
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/inputStyle.js
/data/media/####/integral.png
/data/media/####/jcdj1.html
/data/media/####/jingzhunfup@3x.png
/data/media/####/jquery-1.11.1.min.js
/data/media/####/jquery.form.js
/data/media/####/laytpl.js
/data/media/####/lib.png
/data/media/####/list.html
/data/media/####/listGroup.html
/data/media/####/listGroup.js
/data/media/####/logger.js
/data/media/####/login.html
/data/media/####/login.js
/data/media/####/login_background.png
/data/media/####/logo.png
/data/media/####/logo_big.png
/data/media/####/logo_text.png
/data/media/####/lookGroup.html
/data/media/####/lookGroup.js
/data/media/####/lxyz.png
/data/media/####/manifest.json
/data/media/####/map.js
/data/media/####/message.html
/data/media/####/message.js
/data/media/####/messageDetail.html
/data/media/####/messageDetail.js
/data/media/####/mui.css
/data/media/####/mui.enterfocus.js
/data/media/####/mui.js
/data/media/####/mui.listpicker.css
/data/media/####/mui.listpicker.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/muwu.jpg
/data/media/####/mzpy.png
/data/media/####/nav.html
/data/media/####/nearbyOrg.html
/data/media/####/news-iconfont.css
/data/media/####/news.css
/data/media/####/newsDetail.css
/data/media/####/newsList.css
/data/media/####/news_search.css
/data/media/####/news_search.html
/data/media/####/newx11.jpg
/data/media/####/newx12.jpg
/data/media/####/newx13.jpg
/data/media/####/newx14.jpg
/data/media/####/newx15.jpg
/data/media/####/newx16.jpg
/data/media/####/newx17.jpg
/data/media/####/newx18.jpg
/data/media/####/onLine.html
/data/media/####/orgChange.html
/data/media/####/orgLife.html
/data/media/####/organizationalWork.html
/data/media/####/palmLife.html
/data/media/####/partyEncyclopedia.html
/data/media/####/partyPay.html
/data/media/####/partyPublic.html
/data/media/####/partyPublicDetail.html
/data/media/####/partyService.html
/data/media/####/partyzh.css
/data/media/####/password.html
/data/media/####/persentLove.html
/data/media/####/persentLove.js
/data/media/####/personCollect.html
/data/media/####/personal_edition.png
/data/media/####/personal_exit.png
/data/media/####/personal_feedback.png
/data/media/####/personal_information.png
/data/media/####/personal_modifypassword.png
/data/media/####/personal_news.png
/data/media/####/personal_ollection.png
/data/media/####/publicInfo.png
/data/media/####/publicInfo1.png
/data/media/####/push.js
/data/media/####/qrcode.js
/data/media/####/ranking.png
/data/media/####/replyPage.html
/data/media/####/replyPage.js
/data/media/####/resource.png
/data/media/####/rolls.js
/data/media/####/salve.html
/data/media/####/salve.js
/data/media/####/salveAdd.html
/data/media/####/salveAdd.js
/data/media/####/salveDetail.html
/data/media/####/salveDetail.js
/data/media/####/services.html
/data/media/####/setting.css
/data/media/####/setting.html
/data/media/####/shenqingjiuzhu@3x.png
/data/media/####/shuijiao.jpg
/data/media/####/shyk.png
/data/media/####/strophe-1.2.8.min.js
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/test.log
/data/media/####/test.png
/data/media/####/thematicActivity.html
/data/media/####/topicAdd.html
/data/media/####/topicAdd.js
/data/media/####/topicDetail.html
/data/media/####/topicDetail.js
/data/media/####/topicFavour.js
/data/media/####/topicReply.js
/data/media/####/topicReplyDelete.js
/data/media/####/topiclist.html
/data/media/####/tpym.html
/data/media/####/transparent_background.png
/data/media/####/treasure.html
/data/media/####/treasure.js
/data/media/####/tzgg.js
/data/media/####/tzgg1.html
/data/media/####/update.js
/data/media/####/userInfo.html
/data/media/####/user_title_bg.png
/data/media/####/useraccount.png
/data/media/####/userpassword.png
/data/media/####/vedio.js
/data/media/####/vedio.png
/data/media/####/vedioPlay.html
/data/media/####/vedoiList.html
/data/media/####/vesion.html
/data/media/####/video-js.css
/data/media/####/video.min.js
/data/media/####/vote.png
/data/media/####/wangluodangxiao@3x.png
/data/media/####/webim.config.js
/data/media/####/websdk-1.4.5.js
/data/media/####/weibo.html
/data/media/####/weibo.js
/data/media/####/xianjindianxing@3x.png
/data/media/####/xjxq.html
/data/media/####/yuantiao.jpg
/data/media/####/yxdy.png
/data/media/####/yxtp.html
/data/media/####/zaixianceshi@3x.png
/data/media/####/zh-iconfont.css
/data/media/####/zh-iconfont.ttf
/data/media/####/zhiyuanfuwu@3x.png
/data/media/####/zhuzhishenghuo@3x.png
/data/media/####/zhuzhishujuguanxizhuanyi@3x.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25409 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней