Adware.Gexin.8619

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pin####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) as####.chaopin####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) api.chaopin####.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.chaopin####.com
as####.chaopin####.com
c####.g####.ig####.com
c-h####.g####.com
pi####.qq.com
pin####.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

api.chaopin####.com//version/latest?app_type=####&terminal_type=####
api.chaopin####.com/goods-class/list
api.chaopin####.com/goods-comment/list-for-goods?page=####&pagesize=####...
api.chaopin####.com/goods-common/info?goods_common_id=####
as####.chaopin####.com/article/2017112712/4830ed2ba6f286f43b91709c8f29f9...
as####.chaopin####.com/article/2017112712/67dbdd29c270cc83d2dbf87b34da4e...
as####.chaopin####.com/article/2017112712/6d064cc79c695448eb96c1a9a78889...
as####.chaopin####.com/article/2017112712/ac9fb1f9791d65e35b34d600c43cf8...
as####.chaopin####.com/article/2017112712/dfe92972219c4b17df852652c72c17...
as####.chaopin####.com/article/2017112712/ea038168f3024c2fdcf4c1453fdd67...
as####.chaopin####.com/banner/2017110417/3b8aa257c7689f5c12fed685f485733...
as####.chaopin####.com/banner/2017112710/16b10bf2ef4411d1416fb76fb14ab7e...
as####.chaopin####.com/banner/2017112711/56022f10b6288e2f999a9341c01b512...
as####.chaopin####.com/banner/2017112711/ecec2816f3602d79e48d99632e65b92...
as####.chaopin####.com/banner/2017112711/f08937916601a282de4183af10d7e37...
as####.chaopin####.com/banner/2018031616/17a47424d297603e8b077ef0b54f431...
as####.chaopin####.com/banner/2018062013/b71e18fc21523e77f871c907d0ea68e...
as####.chaopin####.com/banner/2018081319/0fa2318e1ef11d145010ad03e547ced...
as####.chaopin####.com/banner/2018081319/17c58ed1391af676e11488146223129...
as####.chaopin####.com/banner/2018081319/1a27acadf4af07958a63548edcb90d8...
as####.chaopin####.com/banner/2018081319/2cf05cae7180dea225de5fbd06b9df1...
as####.chaopin####.com/banner/2018081319/51c6d1f10a11af34c7a173a2fa3c0ea...
as####.chaopin####.com/banner/2018081319/5731136e36dddf3dbb503de0a7a4201...
as####.chaopin####.com/banner/2018081319/7746953f66da8c5b97df2c0d65de362...
as####.chaopin####.com/banner/2018081319/94a86e615dcf6e313215193293dd891...
as####.chaopin####.com/banner/2018081319/cf27419027b9bcfeaa0b51707eed87b...
as####.chaopin####.com/banner/2018081319/f4e22d76a34d4d0105f4c9215ad78f8...
as####.chaopin####.com/banner/2018081322/4f46627b0e8e5f25359e2a2c546b2d7...
as####.chaopin####.com/banner/2018090321/56ef7f782f6f2ebff6b312d2d2b9d4a...
as####.chaopin####.com/banner/2018090419/079147a83ae6b458c1fa707747313dd...
as####.chaopin####.com/banner/2018090419/947db0d98d4817d2fbcfa7c4a47a3b6...
as####.chaopin####.com/banner/2018090419/a155a265daabfe436ccddba720d457f...
as####.chaopin####.com/banner/2018091922/87d2e80044d8852f2d9d3a9211f0363...
as####.chaopin####.com/banner/2018100416/2c8177b6ea1e7090df1d193b8b04e7d...
as####.chaopin####.com/banner/2018110517/d83c4eb8c470571501aa0951a51531f...
as####.chaopin####.com/goods/2017112712/2aefcbbadd16865d8b3b585b908cd064...

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
api.chaopin####.com/banner/list
c-h####.g####.com/api.php?format=####&t=####
pi####.qq.com/mstat/report/?index=####
pin####.qq.com/request
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/02.png
/data/data/####/3.jpg
/data/data/####/H561E606B.xml
/data/data/####/Homeimmersed.js
/data/data/####/README.md
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about.html
/data/data/####/add.png
/data/data/####/addreslist.html
/data/data/####/address.html
/data/data/####/agentinfo.js
/data/data/####/alipay.png
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/article.html
/data/data/####/arttmpl.js
/data/data/####/auth.html
/data/data/####/bargain.html
/data/data/####/bargain.js
/data/data/####/bg.jpg
/data/data/####/brandlist.html
/data/data/####/brandlist.js
/data/data/####/bugly_db_legu-journal
/data/data/####/cart-y.png
/data/data/####/cart.html
/data/data/####/cart.js
/data/data/####/cart.png
/data/data/####/cartadd.png
/data/data/####/category.html
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/chat.css
/data/data/####/chat.html
/data/data/####/chat.js
/data/data/####/checkout.css
/data/data/####/checkout.html
/data/data/####/checkout.js
/data/data/####/class-y.png
/data/data/####/class.png
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/collection.html
/data/data/####/com.zhiorange.chaopin.mid.world.ro.xml
/data/data/####/com.zhiorange.chaopin_preferences.xml
/data/data/####/com.zhiorange.chaopin_preferences.xml.bak
/data/data/####/comment.html
/data/data/####/comment.js
/data/data/####/coupon.css
/data/data/####/coupon.html
/data/data/####/coupon.js
/data/data/####/curriculum.css
/data/data/####/curriculum.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/detail.html
/data/data/####/detaildata.js
/data/data/####/detailed.html
/data/data/####/dfk.png
/data/data/####/eje3cnc
/data/data/####/evaluate.html
/data/data/####/evaluategoodslist.html
/data/data/####/express.html
/data/data/####/f.png
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/feedback.html
/data/data/####/font.ttf
/data/data/####/forget.html
/data/data/####/g1.jpg
/data/data/####/g2.jpg
/data/data/####/g3.jpg
/data/data/####/g4.jpg
/data/data/####/g5.jpg
/data/data/####/g6.jpg
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/glogo.png
/data/data/####/goods.css
/data/data/####/goods.html
/data/data/####/goodsdata.js
/data/data/####/gx_sp.xml
/data/data/####/home-y.png
/data/data/####/home.png
/data/data/####/html5Geo.xml
/data/data/####/hwu.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/image_error.png
/data/data/####/image_loading.png
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/info.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery-1.8.2.min.js
/data/data/####/l.jpg
/data/data/####/legu_tencent_analysis.db_com.zhiorange.chaopin-journal
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/list.html
/data/data/####/list.js
/data/data/####/loading.css
/data/data/####/local_crash_lock
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/logistics.html
/data/data/####/logistics.js
/data/data/####/logo.png
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/member-coupon.html
/data/data/####/member-coupon.js
/data/data/####/member-evaluate.css
/data/data/####/member-evaluate.js
/data/data/####/mix.dex
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/n1.png
/data/data/####/n2.png
/data/data/####/n3.png
/data/data/####/n4.png
/data/data/####/native_record_lock
/data/data/####/new-ti.jpg
/data/data/####/news.js
/data/data/####/o1.png
/data/data/####/o3.png
/data/data/####/ok.png
/data/data/####/order-coupon.html
/data/data/####/order-coupon.js
/data/data/####/order.js
/data/data/####/orderdetail.html
/data/data/####/orderdetail.js
/data/data/####/orderlist.html
/data/data/####/orderlist.js
/data/data/####/pdr.xml
/data/data/####/pengyouquan.png
/data/data/####/playbtn.png
/data/data/####/pri_legu_tencent_analysis.db_com.zhiorange.chaopin-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/qq_s.png
/data/data/####/r1.png
/data/data/####/r2.png
/data/data/####/r3.png
/data/data/####/r4.png
/data/data/####/refund.html
/data/data/####/refund.js
/data/data/####/refundorderlist.html
/data/data/####/refundorderlist.js
/data/data/####/reg.html
/data/data/####/relation.html
/data/data/####/run.pid
/data/data/####/search.html
/data/data/####/search.js
/data/data/####/security_info
/data/data/####/select.png
/data/data/####/setup.html
/data/data/####/share.js
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/team-y.png
/data/data/####/team.png
/data/data/####/test_app
/data/data/####/timg.jpg
/data/data/####/total.html
/data/data/####/total.js
/data/data/####/umeng_general_config.xml
/data/data/####/user-y.png
/data/data/####/user.jpeg
/data/data/####/user.js
/data/data/####/user.png
/data/data/####/version.js
/data/data/####/vg.png
/data/data/####/vtop.png
/data/data/####/vue-lazyload.js
/data/data/####/vue.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/wu.png
/data/data/####/wx.png
/data/data/####/x.png
/data/data/####/yfh.png
/data/data/####/yfk.png
/data/media/####/.imei.txt
/data/media/####/.mid.txt
/data/media/####/.mid.txt1000001
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.zhiorange.chaopin.bin
/data/media/####/com.zhiorange.chaopin.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25116 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25116 300 0

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding
RSA-NONE-PKCS1PADDING

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней