Adware.Gexin.7621

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pub-####.qin####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) ap####.my####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
ap####.my####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

pub-####.qin####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_Bbr255
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_vxj811

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
ap####.my####.com/app_v1/Seting/getSetings
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/H550A41BA.xml
/data/data/####/H550A41BA_storages.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/d7dfee355557
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Bbr255
/data/data/####/tdata_Bbr255.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_vxj811
/data/data/####/tdata_vxj811.jar
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/58f9db8cde8a6.jpg
/data/media/####/api_v1.js
/data/media/####/app-utils.js
/data/media/####/app-zjl.css
/data/media/####/app.db
/data/media/####/asd.png
/data/media/####/banner1.jpg
/data/media/####/banner2.jpg
/data/media/####/banquanguanfei.html
/data/media/####/bg-tc.png
/data/media/####/bl-0.png
/data/media/####/bl-10.png
/data/media/####/bl-100.png
/data/media/####/bl-20.png
/data/media/####/bl-30.png
/data/media/####/bl-40.png
/data/media/####/bl-50.png
/data/media/####/bl-60.png
/data/media/####/bl-70.png
/data/media/####/bl-80.png
/data/media/####/bl-90.png
/data/media/####/classify_index.html
/data/media/####/classify_options.html
/data/media/####/classify_parsing_model.html
/data/media/####/classify_topic_model.html
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mysipo.app.bin
/data/media/####/com.mysipo.app.db
/data/media/####/comment_link.html
/data/media/####/comment_list.html
/data/media/####/comment_text.html
/data/media/####/content-center.png
/data/media/####/content_index.html
/data/media/####/content_info.html
/data/media/####/cp-bg.png
/data/media/####/cpjg-click-icon.png
/data/media/####/css.css
/data/media/####/ctb-bg.png
/data/media/####/ctb-right.png
/data/media/####/ctb-star.png
/data/media/####/cuogou.png
/data/media/####/damoge.png
/data/media/####/daojishi-icon.png
/data/media/####/db-100.png
/data/media/####/db-60.png
/data/media/####/db-70.png
/data/media/####/db-80.png
/data/media/####/db-90.png
/data/media/####/default.gif
/data/media/####/del-5.png
/data/media/####/duigou.png
/data/media/####/erweima.png
/data/media/####/erwm-title.png
/data/media/####/exam_index.html
/data/media/####/fb-left-icon.png
/data/media/####/fb-left-icon1.png
/data/media/####/fb-right-icon.png
/data/media/####/fb-right-icon1.png
/data/media/####/feedback.html
/data/media/####/first-icon.png
/data/media/####/forin.png
/data/media/####/function.js
/data/media/####/fx-icon.png
/data/media/####/getPasswordMail.html
/data/media/####/getPasswordPhone.html
/data/media/####/home-icon.png
/data/media/####/home-icon1.png
/data/media/####/homepage-bg.png
/data/media/####/href_link.html
/data/media/####/iconfont.css
/data/media/####/iconfont.ttf
/data/media/####/imageviewer.css
/data/media/####/index.html
/data/media/####/jquery-1.11.1.js
/data/media/####/jx-content-top.png
/data/media/####/kdlx-icon-header.png
/data/media/####/kdlx-icon-left.png
/data/media/####/kdlx-icon-left1.png
/data/media/####/kdlx-icon-right.png
/data/media/####/kdlx-icon-right1.png
/data/media/####/kdlx-progressbar.png
/data/media/####/lj-message.png
/data/media/####/logo.png
/data/media/####/mail.png
/data/media/####/manifest.json
/data/media/####/md5.min.js
/data/media/####/member_comment.html
/data/media/####/member_dsfReg.html
/data/media/####/member_homepage.html
/data/media/####/member_index.html
/data/media/####/member_login.html
/data/media/####/member_message.html
/data/media/####/member_praise.html
/data/media/####/member_praise_list.html
/data/media/####/member_receive_praise.html
/data/media/####/member_reg_bangding.html
/data/media/####/member_reg_sendcode.html
/data/media/####/member_reg_sendemail.html
/data/media/####/member_reg_setinfo.html
/data/media/####/member_release.html
/data/media/####/member_setinfo.html
/data/media/####/member_yjfk.html
/data/media/####/menber-loginbf.html
/data/media/####/message-btn.png
/data/media/####/message.png
/data/media/####/message_index.html
/data/media/####/message_list.html
/data/media/####/message_list_seach.html
/data/media/####/mifengtou.png
/data/media/####/mui.css
/data/media/####/mui.demo.js
/data/media/####/mui.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui.zoom.js
/data/media/####/my-dz.png
/data/media/####/my-icon.png
/data/media/####/my-icon1.png
/data/media/####/my-message.png
/data/media/####/pencil.png
/data/media/####/pengyouquan.png
/data/media/####/pl-damuge.png
/data/media/####/pl-message.png
/data/media/####/practice_index.html
/data/media/####/practice_parsing_model.html
/data/media/####/practice_results.html
/data/media/####/practice_share.html
/data/media/####/practice_topic_model.html
/data/media/####/qizi.png
/data/media/####/qq.png
/data/media/####/radio-footer-center.png
/data/media/####/radio-footer-left.png
/data/media/####/radio-footer-right.png
/data/media/####/radio-icon.png
/data/media/####/release_select.html
/data/media/####/reset.min.css
/data/media/####/resetMail.html
/data/media/####/resetPassword.html
/data/media/####/sbj.png
/data/media/####/second-icon.png
/data/media/####/shangbiaoguanfei.html
/data/media/####/share-qq.png
/data/media/####/shareicon.png
/data/media/####/shareicon32.png
/data/media/####/shuijiao.jpg
/data/media/####/ssss.png
/data/media/####/sy-pencil.png
/data/media/####/tdata_Bbr255
/data/media/####/tdata_Soq141
/data/media/####/tdata_vxj811
/data/media/####/template-native.js
/data/media/####/test.log
/data/media/####/tk-content-bg.png
/data/media/####/tk-share.css
/data/media/####/tk-share.html
/data/media/####/tk.css
/data/media/####/tool-icon.png
/data/media/####/tool-icon1.png
/data/media/####/tool-list-1.png
/data/media/####/tool-list-2-h.png
/data/media/####/tool-list-2.png
/data/media/####/tool-list-3.png
/data/media/####/tool-list-4-h.png
/data/media/####/tool-list-4.png
/data/media/####/tool-list-5.png
/data/media/####/tool-list-6-h.png
/data/media/####/tool-list-6.png
/data/media/####/tool-list-7.png
/data/media/####/tool_index.html
/data/media/####/tools-banner.png
/data/media/####/top-title.png
/data/media/####/topic-icon.png
/data/media/####/topic-icon1.png
/data/media/####/update-pop.html
/data/media/####/upjia.png
/data/media/####/wb.png
/data/media/####/wb1.png
/data/media/####/weibo.png
/data/media/####/weixin.png
/data/media/####/wrongct.png
/data/media/####/wrongtb_index.html
/data/media/####/wrongtb_topic_model.html
/data/media/####/wx.png
/data/media/####/x-sj.png
/data/media/####/x.png
/data/media/####/yearstopic_index.html
/data/media/####/yearstopic_options.html
/data/media/####/yearstopic_parsing_model.html
/data/media/####/yearstopic_results.html
/data/media/####/yearstopic_results_parsing.html
/data/media/####/yearstopic_topic_model.html
/data/media/####/yuantiao.jpg
/data/media/####/zd_exam-1-h.png
/data/media/####/zd_exam-1.png
/data/media/####/zd_exam-2-h.png
/data/media/####/zd_exam-2.png
/data/media/####/zd_exam-3-h.png
/data/media/####/zd_exam-3.png
/data/media/####/zd_exam-4-h.png
/data/media/####/zd_exam-4.png
/data/media/####/zhuanliguanfei.html
/data/media/####/zql-icon.png
/data/media/####/zw-damuge.png
/data/media/####/zw-damugeBg.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24405 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24405 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней