Adware.Gexin.8845

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 1####.217.168.206:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/1024x1024.png
/data/data/####/120x120.png
/data/data/####/144x144.png
/data/data/####/152x152.png
/data/data/####/167x167.png
/data/data/####/1808_1882.png
/data/data/####/180x180.png
/data/data/####/192x192.png
/data/data/####/20x20.png
/data/data/####/256x256.png
/data/data/####/29x29.png
/data/data/####/40c01cd649f4
/data/data/####/40x40.png
/data/data/####/480gaofenping.png
/data/data/####/48x48.png
/data/data/####/58x58.png
/data/data/####/60x60.png
/data/data/####/720_1242.png
/data/data/####/72x72.png
/data/data/####/750-1334.png
/data/data/####/76x76.png
/data/data/####/80x80.png
/data/data/####/87x87.png
/data/data/####/96x96.png
/data/data/####/Artboard 8.png
/data/data/####/ContactCustomer.html
/data/data/####/ContactCustomer.less
/data/data/####/ContactCustomer.min.css
/data/data/####/H58A399A3.xml
/data/data/####/Location1@2x.png
/data/data/####/Page 1.png
/data/data/####/Page 1@3x.png
/data/data/####/Shape@2x.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/_longTapDisable.less
/data/data/####/_longTapDisable.min.css
/data/data/####/aboutUs.html
/data/data/####/aboutUs.less
/data/data/####/aboutUs.min.css
/data/data/####/account.html
/data/data/####/agreement.less
/data/data/####/agreement.min.css
/data/data/####/authStatus_com.hzzh.hxc.xml
/data/data/####/auto-refresh.js
/data/data/####/ball.png
/data/data/####/bansFit.js
/data/data/####/bugly_db_legu-journal
/data/data/####/car-bubble.html
/data/data/####/center-marker.html
/data/data/####/chooseCar.html
/data/data/####/chooseCar.less
/data/data/####/chooseCar.min.css
/data/data/####/choosePort.html
/data/data/####/choosePort.js
/data/data/####/choosePort.less
/data/data/####/choosePort.min.css
/data/data/####/clientid_igexin.xml
/data/data/####/close-color.png
/data/data/####/close-flashlight.png
/data/data/####/close.png
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/config.js
/data/data/####/customerService.html
/data/data/####/customerService.less
/data/data/####/customerService.min.css
/data/data/####/dc_ad_type_key.xml
/data/data/####/default.png
/data/data/####/designPwd.html
/data/data/####/designPwd.js
/data/data/####/designPwd.less
/data/data/####/designPwd.min.css
/data/data/####/details.html
/data/data/####/details.js
/data/data/####/details.less
/data/data/####/details.min.css
/data/data/####/eje3cnc
/data/data/####/electricDetail.html
/data/data/####/flashlight.png
/data/data/####/forget_password.html
/data/data/####/g-ajax.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/global.js
/data/data/####/global.less
/data/data/####/global.min.css
/data/data/####/guidPage.html
/data/data/####/guidPage.js
/data/data/####/guidPage.less
/data/data/####/guidPage.min.css
/data/data/####/guidPage1.png
/data/data/####/guidPage2.png
/data/data/####/guidPage3.png
/data/data/####/gulpfile.js
/data/data/####/gx_sp.xml
/data/data/####/halving_line.png
/data/data/####/halving_line2.png
/data/data/####/handle-input.html
/data/data/####/handle-input.js
/data/data/####/handle-input.png
/data/data/####/has-order-tip.html
/data/data/####/headImg.png
/data/data/####/header.less
/data/data/####/header.min.css
/data/data/####/html5Geo.xml
/data/data/####/iPad 1024_748.png
/data/data/####/iPad 1024_768.png
/data/data/####/iPad 2048_1496.png
/data/data/####/iPad1004.png
/data/data/####/iPad2048_1536.png
/data/data/####/iPhone4.png
/data/data/####/iPhone6phengping.png
/data/data/####/iPhoneX.png
/data/data/####/iPhoneXhengping.png
/data/data/####/ico.png
/data/data/####/icon_ddzfcg_yes.png
/data/data/####/icon_mine_qw.png
/data/data/####/immersed.js
/data/data/####/index-header.html
/data/data/####/index-my.html
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/index.less
/data/data/####/index.min.css
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/ipad 1536_2048.png
/data/data/####/ipad 1536_2008.png
/data/data/####/ipad748_1024.png
/data/data/####/ipad768_1024.png
/data/data/####/iphone5.png
/data/data/####/iphone6pshuping.png
/data/data/####/jquery.js
/data/data/####/jquery.min.js
/data/data/####/km.png
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/line-bg.png
/data/data/####/line.png
/data/data/####/local.png
/data/data/####/local2.png
/data/data/####/local3@2x.png
/data/data/####/local4@2x.png
/data/data/####/local@2x.png
/data/data/####/local_crash_lock
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/map.html
/data/data/####/mapNav.js
/data/data/####/maps_bottom_panel.html
/data/data/####/md5.js
/data/data/####/mi81080_2248.png
/data/data/####/mix.dex
/data/data/####/more_down.png
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/my-local@1x.png
/data/data/####/my-local@2x.png
/data/data/####/my-local@3x.png
/data/data/####/my.html
/data/data/####/my.less
/data/data/####/my.min.css
/data/data/####/my.png
/data/data/####/my@2x.png
/data/data/####/my@3x.png
/data/data/####/native_record_lock
/data/data/####/nav@2x.png
/data/data/####/noNet.html
/data/data/####/noNet.js
/data/data/####/noNet.less
/data/data/####/noNet.min.css
/data/data/####/noNet@2x.png
/data/data/####/no_data.png
/data/data/####/ok.png
/data/data/####/order@2x.png
/data/data/####/orderDetail.html
/data/data/####/orderDetail.js
/data/data/####/orderDetail.less
/data/data/####/orderDetail.min.css
/data/data/####/orderList.html
/data/data/####/orderList.js
/data/data/####/orderList.less
/data/data/####/orderList.min.css
/data/data/####/orderStatusDescription.html
/data/data/####/orderStatusDescription.less
/data/data/####/orderStatusDescription.min.css
/data/data/####/pScanner.html
/data/data/####/package-lock.json
/data/data/####/package.json
/data/data/####/pages.zip
/data/data/####/payDetail.html
/data/data/####/payDetail.js
/data/data/####/payDetail.less
/data/data/####/payDetail.min.css
/data/data/####/payment.html
/data/data/####/payment.js
/data/data/####/payment.less
/data/data/####/payment.min.css
/data/data/####/pdr.xml
/data/data/####/personCenter.html
/data/data/####/personCenter.js
/data/data/####/personCenter.less
/data/data/####/personCenter.min.css
/data/data/####/personSign.html
/data/data/####/personSign.js
/data/data/####/personSign.less
/data/data/####/personSign.min.css
/data/data/####/phone.png
/data/data/####/port-bg.png
/data/data/####/position.png
/data/data/####/potion@2x.png
/data/data/####/potion@2x_1.png
/data/data/####/power.html
/data/data/####/power.js
/data/data/####/power.less
/data/data/####/power.min.css
/data/data/####/privacy.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwd.html
/data/data/####/pwd.js
/data/data/####/pwd.less
/data/data/####/pwd.min.css
/data/data/####/realTimeCharging.html
/data/data/####/realTimeCharging.js
/data/data/####/realTimeCharging.less
/data/data/####/realTimeCharging.min.css
/data/data/####/recharge.html
/data/data/####/recharge.js
/data/data/####/recharge.less
/data/data/####/recharge.min.css
/data/data/####/reg.html
/data/data/####/result.html
/data/data/####/result.js
/data/data/####/result.less
/data/data/####/result.min.css
/data/data/####/rotate.png
/data/data/####/run.pid
/data/data/####/scan@2x.png
/data/data/####/scan@2x_444.png
/data/data/####/scan@3x.png
/data/data/####/scanner-header.html
/data/data/####/scanner.html
/data/data/####/scanner.less
/data/data/####/scanner.min.css
/data/data/####/security_info
/data/data/####/service@2x.png
/data/data/####/setting@2x.png
/data/data/####/startPage.html
/data/data/####/startPage.png
/data/data/####/start_statistics_data.xml
/data/data/####/station-bg.png
/data/data/####/stationBg.png
/data/data/####/stationDetail.html
/data/data/####/stationDetail.js
/data/data/####/stationDetail.less
/data/data/####/stationDetail.min.css
/data/data/####/stationList.html
/data/data/####/stationList.less
/data/data/####/stationList.min.css
/data/data/####/station_icon.png
/data/data/####/station_icon@x1.png
/data/data/####/stream_permission.xml
/data/data/####/sun-energy1@2x.png
/data/data/####/sys@2x.png
/data/data/####/sysApp.js
/data/data/####/test.html
/data/data/####/test.html.back
/data/data/####/test.less
/data/data/####/test.min.css
/data/data/####/test_app
/data/data/####/time-icon.png
/data/data/####/unlock.html
/data/data/####/updateHd.png
/data/data/####/updateModel.html
/data/data/####/updatePwd.html
/data/data/####/updatePwd.js
/data/data/####/updatePwd.less
/data/data/####/updatePwd.min.css
/data/data/####/user.html
/data/data/####/user.js
/data/data/####/user@2x.png
/data/data/####/user_def.png
/data/data/####/user_local.png
/data/data/####/user_photo.png
/data/data/####/user_zh.png
/data/data/####/versionDec.png
/data/data/####/versionLogo.png
/data/data/####/vue.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wx.png
/data/data/####/xsss@2x.png
/data/data/####/y@2x.png
/data/data/####/zfb.png
/data/data/####/zhlogo.png
/data/data/####/zhlogo@2x.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.hzzh.hxc.bin
/data/media/####/com.hzzh.hxc.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24186 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24186 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней