Adware.Gexin.1405

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sni.c####.q####.####.net:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) cmi####.j####.cn:9082
TCP(TLS/1.0) cmi####.j####.cn:8090
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

7j####.c####.z0.####.com
c####.g####.ig####.com
c-h####.g####.com
cmi####.j####.cn
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
st####.dc####.net.cn

Запросы HTTP GET:

sni.c####.q####.####.net/config/hz-hzv3.conf
sni.c####.q####.####.net/tdata_Soq141
sni.c####.q####.####.net/tdata_vxj811

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/100credit_contents_zw.xml
/data/data/####/H59193852.xml
/data/data/####/JsBarcode.all.js
/data/data/####/QRcode1.html
/data/data/####/QRcode2.html
/data/data/####/QRcodeOrder.html
/data/data/####/QRcodePay.css
/data/data/####/QRcodePay.html
/data/data/####/aboutLogo.png
/data/data/####/aboutUs.css
/data/data/####/aboutUs.html
/data/data/####/add.png
/data/data/####/addCard.html
/data/data/####/addbank.jpg
/data/data/####/agreement.html
/data/data/####/app.css
/data/data/####/arrowRight.png
/data/data/####/authorization.html
/data/data/####/authorization1.html
/data/data/####/bankAdd.png
/data/data/####/bankData.js
/data/data/####/bankchange.js
/data/data/####/banner1.png
/data/data/####/bannerDetail_main.html
/data/data/####/base.css
/data/data/####/behind.png
/data/data/####/beijing.png
/data/data/####/bill.css
/data/data/####/bill01.png
/data/data/####/bill02.png
/data/data/####/billList.html
/data/data/####/camera_image.html
/data/data/####/canlendar.png
/data/data/####/cardDetail.html
/data/data/####/cardManage.html
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/changecard.css
/data/data/####/check.png
/data/data/####/check01.png
/data/data/####/check02.png
/data/data/####/checkPassword.html
/data/data/####/checkPasswordSui.html
/data/data/####/checkTradePwd.html
/data/data/####/checkbankimg.jpg
/data/data/####/city.data-3.js
/data/data/####/clean.png
/data/data/####/clientid_igexin.xml
/data/data/####/close-circled.png
/data/data/####/close.png
/data/data/####/closebanklist.jpg
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/compare.png
/data/data/####/compare1.png
/data/data/####/config.js
/data/data/####/confirm.png
/data/data/####/contactService.html
/data/data/####/contraclose.png
/data/data/####/creditPay.html
/data/data/####/creditPayIndex.png
/data/data/####/creditPaySuccess.png
/data/data/####/dalian.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dealRecord.png
/data/data/####/echarts.common.min.js
/data/data/####/environment.js
/data/data/####/f_000001
/data/data/####/failresult.png
/data/data/####/file__0.localstorage-journal
/data/data/####/filter.js
/data/data/####/formStyle.css
/data/data/####/front.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gongshang.png
/data/data/####/guangda.png
/data/data/####/guangfa.png
/data/data/####/guangzhoushishangye.png
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/hand.png
/data/data/####/help.css
/data/data/####/help.html
/data/data/####/home.html
/data/data/####/html5Geo.xml
/data/data/####/htmlSize.js
/data/data/####/htmlSize1.js
/data/data/####/huaxia.png
/data/data/####/iconfont.eot
/data/data/####/iconfont.woff
/data/data/####/icons_creditPay.png
/data/data/####/icons_creditPay_active.png
/data/data/####/icons_home.png
/data/data/####/icons_home_active.png
/data/data/####/icons_personalCenter.png
/data/data/####/icons_personalCenter_active.png
/data/data/####/identity.css
/data/data/####/identity01.png
/data/data/####/identity02.png
/data/data/####/identity03.png
/data/data/####/identity11.png
/data/data/####/identity12.png
/data/data/####/identity22.png
/data/data/####/identity23.png
/data/data/####/identityTP.png
/data/data/####/imageDetail.html
/data/data/####/imageUpload.html
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/indexPaybg.png
/data/data/####/indexRepay.png
/data/data/####/indexTopbg.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inputLoginPassword.html
/data/data/####/inputLoginPassword2.html
/data/data/####/jianshe.png
/data/data/####/jiaotong.png
/data/data/####/jinshang.png
/data/data/####/jquery.min.js
/data/data/####/jquery.qrcode.min.js
/data/data/####/lendmoney.css
/data/data/####/lendmoney.html
/data/data/####/lendmoney_suiedai.html
/data/data/####/libjiagu2127940959.so
/data/data/####/limitBasicInfo.html
/data/data/####/limitBasicInfo1.html
/data/data/####/limitCard.html
/data/data/####/limitCard1.html
/data/data/####/limitCompleteInfo.html
/data/data/####/limitCompleteInfo.js
/data/data/####/limitCompleteInfoBackup.html
/data/data/####/limitCompleteInfoFormData.js
/data/data/####/limitCompleteInfotestdata.js
/data/data/####/limitCompleteInfotestdata2.js
/data/data/####/limitContract.html
/data/data/####/limitContract_suiedai.html
/data/data/####/limitIdentity.html
/data/data/####/limitSubmit.html
/data/data/####/limitTakePhoto.html
/data/data/####/loanDetail.html
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/loginHelp.html
/data/data/####/logintipPng.png
/data/data/####/logoBot.png
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/mine.css
/data/data/####/mine.html
/data/data/####/mine03.png
/data/data/####/mine07.png
/data/data/####/mine10.png
/data/data/####/mine12.png
/data/data/####/mine17.png
/data/data/####/mine19.png
/data/data/####/mine4.png
/data/data/####/minebg.png
/data/data/####/minsheng.png
/data/data/####/mobclick_agent_cached_io.dcloud.H5919385220200
/data/data/####/modifyLoginPwd1.html
/data/data/####/modifyLoginPwd2.html
/data/data/####/modifyLoginPwd3.html
/data/data/####/modifyTradePwd1.html
/data/data/####/modifyTradePwd2.html
/data/data/####/modifyTradePwd3.html
/data/data/####/modifyTradePwd4.html
/data/data/####/more.png
/data/data/####/mui.css
/data/data/####/mui.dtpicker.css
/data/data/####/mui.imageviewer.css
/data/data/####/mui.js
/data/data/####/mui.min.bak.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.css
/data/data/####/mui.picker.all.js
/data/data/####/mui.picker.allIOSbugfixed.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.poppickerIOSbugfix.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/mycardList.html
/data/data/####/mycardListmore.html
/data/data/####/myinfo.css
/data/data/####/myinfo.html
/data/data/####/ningbo.png
/data/data/####/nonghang.png
/data/data/####/noplans.png
/data/data/####/onlineHelp.html
/data/data/####/onlineHelp2.html
/data/data/####/operatePwdSuccess.html
/data/data/####/pageArrowRight.png
/data/data/####/pass.png
/data/data/####/payIcon.png
/data/data/####/paymentDetail.html
/data/data/####/pdr.xml
/data/data/####/pingan.png
/data/data/####/plugin-BankOCR.js
/data/data/####/plugin-FileIO.js
/data/data/####/plugin-OCR.js
/data/data/####/plugin-brmobile.js
/data/data/####/plugin-brmobile1.js
/data/data/####/plugin-cloudwalkface.js
/data/data/####/plugin-getStoreName.js
/data/data/####/plugin-passguard.js
/data/data/####/plus-brmobile.html
/data/data/####/plus-brmobileTEST.html
/data/data/####/plusWebsocket.js
/data/data/####/prerepayment.html
/data/data/####/pufa.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwdManage.html
/data/data/####/question.html
/data/data/####/refuse.png
/data/data/####/reg.js
/data/data/####/regBook.html
/data/data/####/regist1.css
/data/data/####/regist2.html
/data/data/####/registPhoneCode.css
/data/data/####/registPhoneCode.html
/data/data/####/repayDetail.html
/data/data/####/repayResult1.png
/data/data/####/repayResult2.png
/data/data/####/repayment.css
/data/data/####/repayment.html
/data/data/####/repayment2.css
/data/data/####/repayment2.html
/data/data/####/repaymentPlan.html
/data/data/####/repaymentPlan.js
/data/data/####/resetLoginPwd1.html
/data/data/####/resetLoginPwd21.html
/data/data/####/resetLoginPwd22.html
/data/data/####/resetLoginPwd3.html
/data/data/####/resetTradePwd1.html
/data/data/####/resetTradePwd2.html
/data/data/####/resetTradePwd3.html
/data/data/####/resetTradePwd4.html
/data/data/####/resetTradePwdReason.html
/data/data/####/resultPage.html
/data/data/####/resultSuccess.html
/data/data/####/right.png
/data/data/####/run.pid
/data/data/####/setPassword.html
/data/data/####/setTraPassword.html
/data/data/####/setTraPassword1.html
/data/data/####/setTraPwdAgain.html
/data/data/####/setTraPwdAgain1.html
/data/data/####/setpassword02.png
/data/data/####/setpassword03.png
/data/data/####/sha1.js
/data/data/####/shanghai.png
/data/data/####/shenfa.png
/data/data/####/shengjing.png
/data/data/####/shouquan.png
/data/data/####/showContract.html
/data/data/####/splash.png
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/submitProgress.png
/data/data/####/submitSuccess.html
/data/data/####/success.png
/data/data/####/successflag.png
/data/data/####/supportCard.html
/data/data/####/takePhoto.png
/data/data/####/takePhoto1.png
/data/data/####/takePhoto2.png
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/testdata.js
/data/data/####/time_style.css
/data/data/####/traPassword.css
/data/data/####/traPassword.html
/data/data/####/transparent.png
/data/data/####/umeng_general_config.xml
/data/data/####/updateHtml.js
/data/data/####/updateInfo.js
/data/data/####/uploaded.png
/data/data/####/util.js
/data/data/####/util1.js
/data/data/####/vue.js
/data/data/####/vue.min.js
/data/data/####/vue.min2.3.0.js
/data/data/####/walletIcon.png
/data/data/####/websocket.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/with.png
/data/data/####/xingye.png
/data/data/####/youzheng.png
/data/data/####/yuconfig.json
/data/data/####/yuconfigPE.json
/data/data/####/yuconfig_backup.json
/data/data/####/yuconfigcs.json
/data/data/####/yuconfigsimpe.json
/data/data/####/zhaoshang.png
/data/data/####/zheshang.png
/data/data/####/zhongguo.png
/data/data/####/zhongxin.png
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H59193852.bin
/data/media/####/io.dcloud.H59193852.db
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24441 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu2127940959.so
ls -l /system/bin/su
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24441 300 0

Загружает динамические библиотеки:

PassGuard
getuiext2
libjiagu2127940959
license_jni

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней