Adware.Gexin.9179

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(SSL/3.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/1080-1882.png
/data/data/####/1125-2436.png
/data/data/####/1242-2208.png
/data/data/####/1536-2008.png
/data/data/####/1536-2048.png
/data/data/####/480-726.png
/data/data/####/640-1136.png
/data/data/####/640-960.png
/data/data/####/68871a14871b
/data/data/####/720-1242.png
/data/data/####/750-1334.png
/data/data/####/768-1004.png
/data/data/####/768-1024.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/acc_1.png
/data/data/####/add_car.css
/data/data/####/add_car.html
/data/data/####/alarm_info.css
/data/data/####/alarm_list_abnormity.html
/data/data/####/alarm_list_main.html
/data/data/####/alarm_list_poweralert.html
/data/data/####/alarm_list_sharkalert.html
/data/data/####/alarm_notification_way_set.html
/data/data/####/barcode_scan.html
/data/data/####/bugly_db_legu-journal
/data/data/####/calender.png
/data/data/####/car_end.png
/data/data/####/car_list.html
/data/data/####/car_start.png
/data/data/####/carfi.amap.common.js
/data/data/####/carfi.amap.common.v2.js
/data/data/####/carfi.common.css
/data/data/####/carfi.info_window.css
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/check_checked.png
/data/data/####/check_normal.png
/data/data/####/clientid_igexin.xml
/data/data/####/com.zwbd.carfiapp.xml
/data/data/####/com.zwbd.carfiapp_storages.xml
/data/data/####/common.js
/data/data/####/config.js
/data/data/####/datalist_next.png
/data/data/####/datalist_pre.png
/data/data/####/dialog_alarm.css
/data/data/####/edit_car.html
/data/data/####/edit_pwd.html
/data/data/####/eje3cnc
/data/data/####/find_pwd.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/home_page.html
/data/data/####/html5Geo.xml
/data/data/####/icon48_wx_logo.png
/data/data/####/icon_add.png
/data/data/####/icon_address_gray.png
/data/data/####/icon_alarm.png
/data/data/####/icon_arrow_right_grey.png
/data/data/####/icon_back_black.png
/data/data/####/icon_back_white.png
/data/data/####/icon_bind_device.png
/data/data/####/icon_calendar.png
/data/data/####/icon_cancel_fence.png
/data/data/####/icon_car.png
/data/data/####/icon_car_add.png
/data/data/####/icon_car_info.png
/data/data/####/icon_car_item.png
/data/data/####/icon_car_point.png
/data/data/####/icon_car_point@2x.png
/data/data/####/icon_car_yellow.png
/data/data/####/icon_charging_gray.png
/data/data/####/icon_charse_car.png
/data/data/####/icon_checked.png
/data/data/####/icon_circle_grey.png
/data/data/####/icon_circle_white.png
/data/data/####/icon_device.png
/data/data/####/icon_device_id_img.png
/data/data/####/icon_down_black.png
/data/data/####/icon_exit_login.png
/data/data/####/icon_inflate_gray.png
/data/data/####/icon_invite_bg.png
/data/data/####/icon_invite_blue.png
/data/data/####/icon_invite_card.png
/data/data/####/icon_invite_grey.png
/data/data/####/icon_invite_inner_bg.png
/data/data/####/icon_invoice_add.png
/data/data/####/icon_left_phone_count.png
/data/data/####/icon_loc_blue.png
/data/data/####/icon_loc_car.png
/data/data/####/icon_loc_grey.png
/data/data/####/icon_loc_user.png
/data/data/####/icon_login.png
/data/data/####/icon_logo_carfi.png
/data/data/####/icon_logo_clip.png
/data/data/####/icon_more.png
/data/data/####/icon_nav.png
/data/data/####/icon_nav@2x.png
/data/data/####/icon_new_msg.png
/data/data/####/icon_none_default.png
/data/data/####/icon_none_gray.png
/data/data/####/icon_notification.png
/data/data/####/icon_notification@2x.png
/data/data/####/icon_pack_down.png
/data/data/####/icon_password_edit.png
/data/data/####/icon_person.png
/data/data/####/icon_phone.png
/data/data/####/icon_phone_count.png
/data/data/####/icon_pointer_right_grey.png
/data/data/####/icon_portrait.png
/data/data/####/icon_portrait_default.png
/data/data/####/icon_portrait_default_shadow.png
/data/data/####/icon_recharge_record.png
/data/data/####/icon_reference_point_close.png
/data/data/####/icon_reference_point_open.png
/data/data/####/icon_refresh.png
/data/data/####/icon_refresh@2x.png
/data/data/####/icon_renew_order.png
/data/data/####/icon_repair_gray.png
/data/data/####/icon_rescue_gray.png
/data/data/####/icon_result_success.png
/data/data/####/icon_selected.png
/data/data/####/icon_service_end_time.png
/data/data/####/icon_set_abnormity.png
/data/data/####/icon_set_abnormity_pressed.png
/data/data/####/icon_set_fence.png
/data/data/####/icon_share_wx_friends.png
/data/data/####/icon_share_wx_logo.png
/data/data/####/icon_shop_address.png
/data/data/####/icon_shop_blue.png
/data/data/####/icon_shop_grey.png
/data/data/####/icon_street_bg.png
/data/data/####/icon_street_map.png
/data/data/####/icon_street_map@2x.png
/data/data/####/icon_success.png
/data/data/####/icon_to_scan.png
/data/data/####/icon_to_scan_pressed.png
/data/data/####/icon_trip_blue.png
/data/data/####/icon_trip_grey.png
/data/data/####/icon_unchecked.png
/data/data/####/icon_version_code.png
/data/data/####/icon_work_time.png
/data/data/####/immersed.js
/data/data/####/info_window.css
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery-1.8.3.min.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/list-common.css
/data/data/####/loc_mark_car_part.png
/data/data/####/local_crash_lock
/data/data/####/login.html
/data/data/####/login_bind.html
/data/data/####/manifest.json
/data/data/####/map_customer_devices_left_device.png
/data/data/####/map_customer_devices_right_device.png
/data/data/####/map_point.css
/data/data/####/map_point.html
/data/data/####/map_point_old.html
/data/data/####/map_track.html
/data/data/####/mix.dex
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pause.png
/data/data/####/pdr.xml
/data/data/####/phone_count_detail.html
/data/data/####/point_right.png
/data/data/####/pop_alarm_set.html
/data/data/####/pop_car_list.html
/data/data/####/pop_close.png
/data/data/####/pop_share.html
/data/data/####/pop_system_notice.html
/data/data/####/protocol.html
/data/data/####/protocol_detail.html
/data/data/####/purchase_order_confirm.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/recharge.html
/data/data/####/reg.html
/data/data/####/renew_list_main.html
/data/data/####/reset.png
/data/data/####/right-arrow.png
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/shop.css
/data/data/####/shop_details.html
/data/data/####/shop_list_charging.html
/data/data/####/shop_list_inflate.html
/data/data/####/shop_list_repair.html
/data/data/####/shop_list_rescue.html
/data/data/####/start.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/street_details_map.html
/data/data/####/success.html
/data/data/####/tab_invite.html
/data/data/####/tab_loc.html
/data/data/####/tab_shop.html
/data/data/####/tab_trip.css
/data/data/####/tab_trip.html
/data/data/####/tab_user_info.html
/data/data/####/test_app
/data/data/####/transfer.html
/data/data/####/trip_points_end.png
/data/data/####/trip_points_start.png
/data/data/####/umeng_general_config.xml
/data/data/####/update.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewGroup.home.js
/data/data/####/webviewGroup.js
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.zwbd.carfiapp.bin
/data/media/####/com.zwbd.carfiapp.db
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24688 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24688 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней