Adware.Gexin.9164

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) m.kuaiyo####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
loc.map.b####.com
m.kuaiyo####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
xcx.kuaiyo####.com

Запросы HTTP GET:

m.kuaiyo####.com/m/app_ver/KuaiYou150.wgt
m.kuaiyo####.com/noau_member/findNewAppVerInfo?localVer=####&login_token...
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ntt510
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
m.kuaiyo####.com/noau_cms/viewColumnByApp
m.kuaiyo####.com/noau_oil/getWtiAndBltXcx
m.kuaiyo####.com/noau_oil/listSupply
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/KuaiYou.xml
/data/data/####/KuaiYou_download_dcloud.xml
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.cuid
/data/media/####/1.jpg
/data/media/####/2.jpg
/data/media/####/3.jpg
/data/media/####/KuaiYou150.wgt
/data/media/####/app.db
/data/media/####/article_view_detail.html
/data/media/####/arttmpl.js
/data/media/####/baidu.city.pos.data.js
/data/media/####/baidu.distinct.pos.data.js
/data/media/####/brand_select.html
/data/media/####/btn_main_img.png
/data/media/####/check.png
/data/media/####/city.data.js
/data/media/####/city_select.html
/data/media/####/cjzz.jpg
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.kuaiyou123.kuaiyou.bin
/data/media/####/com.kuaiyou123.kuaiyou.db
/data/media/####/common.css
/data/media/####/conlts.dat
/data/media/####/demo_videoPlaySimple.js
/data/media/####/down.css
/data/media/####/down_icon.png
/data/media/####/down_icon_oil.png
/data/media/####/echarts-all.js
/data/media/####/faxian.html
/data/media/####/faxian_detail.html
/data/media/####/file__0.localstorage-journal
/data/media/####/find_car.html
/data/media/####/gbd.jpg
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/guide.html
/data/media/####/guide_1.png
/data/media/####/guide_2.png
/data/media/####/h5plus_common.js
/data/media/####/help_help_detail.html
/data/media/####/help_help_detail_bak.html
/data/media/####/help_help_detail_new.html
/data/media/####/iconfont.css
/data/media/####/iconfont.ttf
/data/media/####/iconfont_ky.css
/data/media/####/iconfont_ky.ttf
/data/media/####/icons-extra.css
/data/media/####/imageviewer.html
/data/media/####/index.html
/data/media/####/jquery.2.0.0.js
/data/media/####/jquery.event.drag-1.5.min.js
/data/media/####/jquery.touchSlider.js
/data/media/####/layer.css
/data/media/####/layer.js
/data/media/####/lazyImg.js
/data/media/####/license.html
/data/media/####/list_style.css
/data/media/####/ller.dat
/data/media/####/logo.jpg
/data/media/####/logo2.png
/data/media/####/logo_wode.png
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/manifest.json
/data/media/####/md5.js
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.css
/data/media/####/mui.enterfocus.js
/data/media/####/mui.indexedlist.css
/data/media/####/mui.indexedlist.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui.zoom.js
/data/media/####/mui_reg.css
/data/media/####/no_pic.jpg
/data/media/####/oil_buy_book_detail.html
/data/media/####/oil_buy_detail.html
/data/media/####/oil_buy_detail_detail.html
/data/media/####/oil_buy_search_history.html
/data/media/####/oil_buy_template.html
/data/media/####/oil_nfc_orders.html
/data/media/####/oil_nfc_read.html
/data/media/####/oil_nfc_write.html
/data/media/####/oil_sale_template.html
/data/media/####/oil_view_buy_pay.html
/data/media/####/oli_buy_and_supply.html
/data/media/####/qg.mp3
/data/media/####/qq.jpg
/data/media/####/reg.html
/data/media/####/shouye.html
/data/media/####/sort_asc.png
/data/media/####/sort_both.png
/data/media/####/sort_desc.png
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ntt510
/data/media/####/template.js
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/up_icon.png
/data/media/####/up_icon_wti.png
/data/media/####/update.js
/data/media/####/utils.js
/data/media/####/vux.css
/data/media/####/weixin.jpg
/data/media/####/weixin1.jpg
/data/media/####/wode.html
/data/media/####/wode_about_us.html
/data/media/####/wode_advance.html
/data/media/####/wode_brand_add.html
/data/media/####/wode_buy.html
/data/media/####/wode_buy_add.html
/data/media/####/wode_buy_price_detail.html
/data/media/####/wode_focus.html
/data/media/####/wode_info.html
/data/media/####/wode_invites.html
/data/media/####/wode_orders.html
/data/media/####/wode_orders_contract.html
/data/media/####/wode_orders_flow.html
/data/media/####/wode_orders_pay.html
/data/media/####/wode_orders_weight.html
/data/media/####/wode_share.html
/data/media/####/wode_supply.html
/data/media/####/wode_supply_add.html
/data/media/####/www.css
/data/media/####/wyzz.jpg
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/media/####/yuantiao.jpg
/data/media/####/yyzp.jpg
/data/media/####/zepto.min.js
/data/media/####/zjbg.jpg

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25111 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount

Загружает динамические библиотеки:

getuiext2
libjiagu
locSDK6a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней