Adware.Gexin.1177

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.moto####.net:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.moto####.net

Запросы HTTP GET:

sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_YYn966
sni.c####.q####.####.net/tdata_eOt091
www.moto####.net/downloads/motorgps/app_version.xml

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1.png
/data/data/####/2.png
/data/data/####/3.png
/data/data/####/4.png
/data/data/####/5.png
/data/data/####/6.png
/data/data/####/7.png
/data/data/####/8.png
/data/data/####/Acceleration.js
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/Camera.js
/data/data/####/CameraConstants.js
/data/data/####/CameraPopoverHandle.js
/data/data/####/CameraPopoverOptions.js
/data/data/####/CompassError.js
/data/data/####/CompassHeading.js
/data/data/####/Connection.js
/data/data/####/Contact.js
/data/data/####/ContactAddress.js
/data/data/####/ContactError.js
/data/data/####/ContactField.js
/data/data/####/ContactFieldType.js
/data/data/####/ContactFindOptions.js
/data/data/####/ContactName.js
/data/data/####/ContactOrganization.js
/data/data/####/GlobalizationError.js
/data/data/####/Message-board.png
/data/data/####/PositionError.js
/data/data/####/StatusBarNotification.js
/data/data/####/accelerometer.js
/data/data/####/add-card.png
/data/data/####/adr-bg.png
/data/data/####/alarm-setting.html
/data/data/####/alarm-setting.js
/data/data/####/alarmSettingCtr.js
/data/data/####/alipay.html
/data/data/####/alipay.js
/data/data/####/alipayCtr.js
/data/data/####/altitude.png
/data/data/####/antidetect.png
/data/data/####/app.js
/data/data/####/apply-icon.png
/data/data/####/area-city.json
/data/data/####/async.js
/data/data/####/baidu.png
/data/data/####/battery.js
/data/data/####/blue_down.png
/data/data/####/blue_right.png
/data/data/####/bmap.js
/data/data/####/boilerplate.css
/data/data/####/brands.jsonp
/data/data/####/brandsType.json
/data/data/####/browser.js
/data/data/####/bvol_1.png
/data/data/####/bvol_2.png
/data/data/####/bvol_3.png
/data/data/####/bvol_4.png
/data/data/####/car-setting.html
/data/data/####/car-setting.js
/data/data/####/car.png
/data/data/####/carSettingCtr.js
/data/data/####/car_other.png
/data/data/####/card-details.png
/data/data/####/change-call-number.html
/data/data/####/change-call-number.js
/data/data/####/change-call-numberCtr.js
/data/data/####/change-car-bg.png
/data/data/####/change-device-nick.html
/data/data/####/change-device-nick.js
/data/data/####/change-device-nickCtr.js
/data/data/####/change-device.html
/data/data/####/change-device.js
/data/data/####/change-deviceCtr.js
/data/data/####/change-miles.html
/data/data/####/change-miles.js
/data/data/####/change-milesCtr.js
/data/data/####/change-pas.html
/data/data/####/change-pas.js
/data/data/####/change-user.html
/data/data/####/change-user.js
/data/data/####/changePwdCtr.js
/data/data/####/changeUserCtr.js
/data/data/####/change_car.png
/data/data/####/change_motor.png
/data/data/####/charge-cmcc.png
/data/data/####/charge-cs.png
/data/data/####/charge-platform.png
/data/data/####/charge-tel.png
/data/data/####/check-login.js
/data/data/####/chioce-car.html
/data/data/####/chioce-car.js
/data/data/####/chioce-carCtr.js
/data/data/####/chioce-down.png
/data/data/####/chioce-up.png
/data/data/####/citesJson.JSON
/data/data/####/citysjson.jsonp
/data/data/####/cn.css
/data/data/####/comm.js
/data/data/####/compass.js
/data/data/####/con-bg.png
/data/data/####/contacts.js
/data/data/####/convertor.js
/data/data/####/cordova.js
/data/data/####/cordova_plugins.js
/data/data/####/crash_alarm.jpg
/data/data/####/create-team.html
/data/data/####/create-team.js
/data/data/####/create-teamCtr.js
/data/data/####/css.min.js
/data/data/####/data.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/date-bg.png
/data/data/####/del-span.png
/data/data/####/device.js
/data/data/####/dialog.css
/data/data/####/dialog.js
/data/data/####/done.txt
/data/data/####/dot_circle.png
/data/data/####/down.png
/data/data/####/echarts.common.min.js
/data/data/####/edit-team.html
/data/data/####/edit-team.js
/data/data/####/edit-teamCtr.js
/data/data/####/ele.html
/data/data/####/ele.js
/data/data/####/eleCtr.js
/data/data/####/en.css
/data/data/####/end.jpg
/data/data/####/ewm.html
/data/data/####/ewm.js
/data/data/####/ewmCtr.js
/data/data/####/favicon.ico
/data/data/####/file__0.localstorage-journal
/data/data/####/find.png
/data/data/####/findpwd-step1.html
/data/data/####/findpwd-step1.js
/data/data/####/findpwdstep1Ctr.js
/data/data/####/flag.png
/data/data/####/flag_cn.jpg
/data/data/####/flag_en.jpg
/data/data/####/forward.png
/data/data/####/gdaemon_20161017
/data/data/####/geolocation.js
/data/data/####/getui_sp.xml
/data/data/####/global-val-cn.js
/data/data/####/global-val-en.js
/data/data/####/globalization.js
/data/data/####/google-label-marker.js
/data/data/####/google.png
/data/data/####/gps_0.png
/data/data/####/gps_1.png
/data/data/####/gps_2.png
/data/data/####/gps_3.png
/data/data/####/gps_4.png
/data/data/####/gps_last.png
/data/data/####/gps_none.png
/data/data/####/gps_number.png
/data/data/####/gps_parking.png
/data/data/####/gps_sleep.png
/data/data/####/gsm_0.png
/data/data/####/gsm_1.png
/data/data/####/gsm_2.png
/data/data/####/gsm_3.png
/data/data/####/gsm_4.png
/data/data/####/gx_sp.xml
/data/data/####/help.html
/data/data/####/help.js
/data/data/####/hide_icons.png
/data/data/####/history.html
/data/data/####/history.js
/data/data/####/historyCtr.js
/data/data/####/inappbrowser.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/into-bg.png
/data/data/####/join-team.png
/data/data/####/jquery.animateNumber.min.js
/data/data/####/jquery.e-calendar.css
/data/data/####/jquery.e-calendar.js
/data/data/####/jquery.min.js
/data/data/####/l.png
/data/data/####/lamp_antidetect.png
/data/data/####/lamp_green.png
/data/data/####/lamp_red.png
/data/data/####/lamp_remove.png
/data/data/####/lbs.png
/data/data/####/left-icon.png
/data/data/####/libjiagu480945020.so
/data/data/####/loading.gif
/data/data/####/loading_blue.gif
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/loginCtr.js
/data/data/####/logo_motorgps.png
/data/data/####/main.js
/data/data/####/markerE.png
/data/data/####/markerS.png
/data/data/####/me-validator.js
/data/data/####/mes-check.html
/data/data/####/mes-check.js
/data/data/####/mes-checkCtr.js
/data/data/####/message-board.html
/data/data/####/message-board.js
/data/data/####/message-boardCtr.js
/data/data/####/miles.png
/data/data/####/mobile-select-area-level3.js
/data/data/####/mobile-select-area.css
/data/data/####/mobile-select-area.js
/data/data/####/mobile-select-arean-edit.js
/data/data/####/mobile-select-arean.js
/data/data/####/mobile-select-areaz-edit.js
/data/data/####/mobile-select-areaz.js
/data/data/####/mobile-select-date.css
/data/data/####/mobile-select-date.js
/data/data/####/mobile-select-level3.js
/data/data/####/mobile-select-month.js
/data/data/####/mobile-select.js
/data/data/####/mobile.png
/data/data/####/mobile_position.png
/data/data/####/morth.html
/data/data/####/morth.js
/data/data/####/morthCtr.js
/data/data/####/motor.png
/data/data/####/motor_other.png
/data/data/####/my-team-detail.html
/data/data/####/my-team-detail.js
/data/data/####/my-team-detailCtr.js
/data/data/####/my-team.html
/data/data/####/my-team.js
/data/data/####/my-teamCtr.js
/data/data/####/mycar.png
/data/data/####/navigation.png
/data/data/####/network.js
/data/data/####/no-team.png
/data/data/####/notification.js
/data/data/####/np.html
/data/data/####/onekeycheck.html
/data/data/####/onekeycheck.js
/data/data/####/onekeycheckCtr.js
/data/data/####/other.png
/data/data/####/pause.png
/data/data/####/pay-record.html
/data/data/####/pay-record.js
/data/data/####/pay.html
/data/data/####/pay.js
/data/data/####/payCtr.js
/data/data/####/payRecordCtr.js
/data/data/####/people-icon.png
/data/data/####/play.png
/data/data/####/push.jpg
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pvol.png
/data/data/####/question_marker.png
/data/data/####/r.png
/data/data/####/refuel-add.html
/data/data/####/refuel-add.js
/data/data/####/refuel.html
/data/data/####/refuel.js
/data/data/####/refuelAddCtr.js
/data/data/####/refuelCtr.js
/data/data/####/register.html
/data/data/####/register.js
/data/data/####/registerCtr.js
/data/data/####/remove_alarm.jpg
/data/data/####/repair-add.html
/data/data/####/repair-add.js
/data/data/####/repair.html
/data/data/####/repair.js
/data/data/####/repairAddCtr.js
/data/data/####/repairCtr.js
/data/data/####/require.js
/data/data/####/reset.css
/data/data/####/reset.css.map
/data/data/####/reset.less
/data/data/####/restart.png
/data/data/####/return.png
/data/data/####/run.pid
/data/data/####/screen-map.html
/data/data/####/screen-map.js
/data/data/####/screen-mapCtr.js
/data/data/####/search-input-bg.png
/data/data/####/search-team.html
/data/data/####/search-team.js
/data/data/####/search-teamCtr.js
/data/data/####/select_date.png
/data/data/####/self-setting.html
/data/data/####/self-setting.js
/data/data/####/selfSettingCtr.js
/data/data/####/shop_repair.png
/data/data/####/shop_sale.png
/data/data/####/shop_sale_repair.png
/data/data/####/show_icons.png
/data/data/####/sleep_abnormal.png
/data/data/####/sleep_normal.png
/data/data/####/sleep_power_cut.png
/data/data/####/speed.png
/data/data/####/splashscreen.js
/data/data/####/start.jpg
/data/data/####/state-bg.png
/data/data/####/statusbar.js
/data/data/####/stop.png
/data/data/####/store-search.html
/data/data/####/store-search.js
/data/data/####/storeSearchCtr.js
/data/data/####/streetview.html
/data/data/####/streetview.js
/data/data/####/streetview.png
/data/data/####/streetviewCtr.js
/data/data/####/style.css
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/switch.css
/data/data/####/switch_off.png
/data/data/####/switch_on.png
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/team-detail.html
/data/data/####/team-detail.js
/data/data/####/tel-bg.png
/data/data/####/temp.png
/data/data/####/text.js
/data/data/####/text_trace.png
/data/data/####/time-bg.png
/data/data/####/toast-error.png
/data/data/####/toast-info.png
/data/data/####/toast-success.png
/data/data/####/toast-warning.png
/data/data/####/toastr-dialog.js
/data/data/####/toastr.css
/data/data/####/toastr.min.js
/data/data/####/travel-record.html
/data/data/####/travel-record.js
/data/data/####/travel-stat.html
/data/data/####/travel-stat.js
/data/data/####/travelRecordCtr.js
/data/data/####/travelStatCtr.js
/data/data/####/travel_stat.png
/data/data/####/up.png
/data/data/####/userTid.xml
/data/data/####/username.xml
/data/data/####/vibration.js
/data/data/####/vue-resource.min.js
/data/data/####/vue-router.min.js
/data/data/####/vue-validator.min.js
/data/data/####/vue.min.js
/data/data/####/warn-result-bg.png
/data/data/####/warn-search.html
/data/data/####/warn-search.js
/data/data/####/warnSearchCtr.js
/data/data/####/washcar-add.html
/data/data/####/washcar-add.js
/data/data/####/washcar.html
/data/data/####/washcar.js
/data/data/####/washcarAddCtr.js
/data/data/####/washcarCtr.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wenjian.json
/data/data/####/write-mes.html
/data/data/####/write-mes.js
/data/data/####/write-mesCtr.js
/data/data/####/wxpay.html
/data/data/####/wxpay.js
/data/data/####/wxpayCtr.js
/data/data/####/zhihui-center.html
/data/data/####/zhihui-center.js
/data/data/####/zhihuiCenterCtr.js
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xinan.motorgps.bin
/data/media/####/com.xinan.motorgps.db
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.GetuiPushService 24844 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu480945020.so

Загружает динамические библиотеки:

getuiext2
libjiagu480945020

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней