Adware.Gexin.9216

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) www.jiuxi####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) m####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) pr.m####.qq.com:443
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

3####.qq.com
c####.g####.ig####.com
c-h####.g####.com
m####.qq.com
pr.m####.qq.com
pub-####.qin####.com
r####.wx.qq.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.jiuxi####.com

Запросы HTTP GET:

m####.qq.com/api/js?v=####&libraries=####
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT356
www.jiuxi####.com/AppShop/AppShopHandler.ashx?action=####
www.jiuxi####.com/AppShop/AppShopHandler.ashx?action=####&VID=####&devic...
www.jiuxi####.com/AppShop/AppShopHandler.ashx?action=####&pid=####
www.jiuxi####.com/Storage/master/category/201811231400257013850.jpg
www.jiuxi####.com/Storage/master/category/201811231402481544990.jpg
www.jiuxi####.com/Storage/master/category/201811231404462013620.jpg
www.jiuxi####.com/Storage/master/category/201811231406352170150.jpg
www.jiuxi####.com/Storage/master/category/201811231407492013730.jpg
www.jiuxi####.com/Storage/master/category/201811231410203888770.jpg
www.jiuxi####.com/Storage/master/category/201811231419008420100.jpg
www.jiuxi####.com/Storage/master/category/201811231424324357270.jpg
www.jiuxi####.com/Storage/master/gallery/201809/201809281055222482520.jpg
www.jiuxi####.com/Storage/master/gallery/201901/201901071201108263860.jpg
www.jiuxi####.com/Storage/master/gallery/201901/201901221445021544920.jpg
www.jiuxi####.com/Storage/master/gallery/201901/201901221447319982390.jpg
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180904173029550...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180904173939038...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180904175407403...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180907143122719...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180908174151006...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180909094118365...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929150901107...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929151546826...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929155714138...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929160824107...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929171904560...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929171943263...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929172026888...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180929172121498...
www.jiuxi####.com/Storage/master/product/thumbs410/410_20180930111727420...
www.jiuxi####.com/Storage/template/20180629/6366586509754776409215822.jpg
www.jiuxi####.com/Storage/template/20180704/6366630945950709248271664.jpg
www.jiuxi####.com/Storage/template/20180704/6366630945961647974070602.jpg
www.jiuxi####.com/Storage/template/20180704/6366630945969457716328032.jpg
www.jiuxi####.com/Storage/template/20180704/6366630951457027655525987.jpg
www.jiuxi####.com/Storage/template/20180704/6366631136179707599057172.jpg
www.jiuxi####.com/Storage/template/20180704/6366631136192208756328693.jpg
www.jiuxi####.com/Storage/template/20180704/6366631193994510244615036.jpg
www.jiuxi####.com/Storage/template/20180928/6367372910096699778352612.jpg
www.jiuxi####.com/Storage/template/20180928/6367372910107637457851845.jpg
www.jiuxi####.com/Storage/template/20180928/6367372910115449281296243.jpg
www.jiuxi####.com/Storage/template/20180928/6367372933271699218951682.jpg
www.jiuxi####.com/Storage/template/20180928/6367372933285763875909405.jpg
www.jiuxi####.com/Storage/template/20180928/6367374157842021392086858.jpg
www.jiuxi####.com/Storage/template/20180928/6367374194549831279642195.jpg
www.jiuxi####.com/Storage/template/20180928/6367374280501388798889350.jpg
www.jiuxi####.com/Storage/template/20180928/6367374280512333008388584.jpg
www.jiuxi####.com/Storage/template/20180928/6367374316326389057708625.jpg
www.jiuxi####.com/Storage/template/20180928/6367374330284200518433160.jpg
www.jiuxi####.com/Storage/template/20180928/6367374379368576532411420.jpg
www.jiuxi####.com/Storage/template/20180928/6367374379381073865139899.jpg
www.jiuxi####.com/Storage/template/20180928/6367374379392013204639132.jpg
www.jiuxi####.com/Storage/template/20180928/6367374506040449943055500.jpg
www.jiuxi####.com/Storage/template/20180928/6367374862523264426546872.jpg
www.jiuxi####.com/Storage/template/20180928/6367374862543575627017921.jpg
www.jiuxi####.com/Storage/template/20180928/6367374862556076299746399.jpg
www.jiuxi####.com/Storage/template/20180928/6367374862571700785231540.jpg
www.jiuxi####.com/Storage/template/20180928/6367374923665455009520941.jpg
www.jiuxi####.com/Storage/template/20180928/6367374932682638006037993.jpg
www.jiuxi####.com/Storage/template/20180928/6367374936515456506396801.jpg
www.jiuxi####.com/Storage/template/20180928/6367374942231075834068121.jpg
www.jiuxi####.com/Storage/template/20180928/6367375039679516265056971.jpg
www.jiuxi####.com/Storage/template/20180928/6367375039692011447785450.jpg
www.jiuxi####.com/Storage/template/20180928/6367375039701390808757266.jpg
www.jiuxi####.com/Storage/template/20180928/6367375039704516071513928.jpg
www.jiuxi####.com/Storage/template/20180928/6367375039713890322485744.jpg
www.jiuxi####.com/Storage/template/20180928/6367375102027949648180126.jpg
www.jiuxi####.com/Storage/template/20180928/6367375125974830579486370.jpg
www.jiuxi####.com/Storage/template/20180928/6367375149463888959526647.jpg
www.jiuxi####.com/Storage/template/20180928/6367375183887326315527088.jpg
www.jiuxi####.com/Storage/template/20180928/6367375212942015026496944.jpg
www.jiuxi####.com/Storage/template/20180929/6367381271551387718237925.jpg
www.jiuxi####.com/Storage/template/20180929/6367381280899835452910570.jpg
www.jiuxi####.com/Storage/template/20180929/6367381288365451119270703.jpg
www.jiuxi####.com/Storage/template/20180929/6367381293932637978727699.jpg
www.jiuxi####.com/Storage/template/20180929/6367381351667017749813055.jpg
www.jiuxi####.com/Storage/template/20180929/6367381369662323279836134.jpg
www.jiuxi####.com/Storage/template/20190107/6368246688810761782637514.jpg
www.jiuxi####.com/Templates/appshop/data/default.txt?d=####

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location
www.jiuxi####.com/AppShop/AppShopHandler.ashx?action=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/1.jpg
/data/data/####/AccountManagement.html
/data/data/####/AccountSummary.html
/data/data/####/AccountSummaryDetails.html
/data/data/####/BindEmail.html
/data/data/####/BindPhone.html
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/Extension.html
/data/data/####/FAB_consult.png
/data/data/####/Fav_icon13.png
/data/data/####/FightGroupDetails.html
/data/data/####/FightGroups.html
/data/data/####/Fight_sku_Product.html
/data/data/####/GeolocationPermissions.db-journal
/data/data/####/H5C62E5F6.xml
/data/data/####/LimitTime.js
/data/data/####/MyFavorites.html
/data/data/####/NoStoreTip.html
/data/data/####/Point.html
/data/data/####/SendRedEnvelope.png
/data/data/####/SubmitFightSuccess.html
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aboutus.html
/data/data/####/aboutus.png
/data/data/####/account.css
/data/data/####/accout-bg.png
/data/data/####/add.png
/data/data/####/app.js
/data/data/####/appauto.html
/data/data/####/arealist.html
/data/data/####/barcode.html
/data/data/####/blank.gif
/data/data/####/buyerReg.html
/data/data/####/category.html
/data/data/####/categoryTemp2.html
/data/data/####/categoryTemp3.html
/data/data/####/categoryTemp4.html
/data/data/####/city.data-3.js
/data/data/####/clientid_igexin.xml
/data/data/####/code.png
/data/data/####/coupicon_03.jpg
/data/data/####/coupicon_04.jpg
/data/data/####/coupon_n.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/default-photo.png
/data/data/####/default_img.jpg
/data/data/####/delayimg.js
/data/data/####/delayimg.min.js
/data/data/####/editFavorites.html
/data/data/####/eje3cnc
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/failfight.png
/data/data/####/fg_user.png
/data/data/####/file__0.localstorage-journal
/data/data/####/flexible.debug.js
/data/data/####/flexible_css.debug.js
/data/data/####/forget_password.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/headbg.png
/data/data/####/home.html
/data/data/####/home.js
/data/data/####/hongbao.png
/data/data/####/html5Geo.xml
/data/data/####/ic_history.png
/data/data/####/ic_map.png
/data/data/####/ic_supplier.png
/data/data/####/icon-guize.png
/data/data/####/icon-see.png
/data/data/####/icon-tuan-list.png
/data/data/####/icon-tuan-num.png
/data/data/####/icon-tuan-num1.png
/data/data/####/icon-tuan-time.png
/data/data/####/icon14.png
/data/data/####/icon_about.png
/data/data/####/icon_add.png
/data/data/####/icon_address.png
/data/data/####/icon_bell.png
/data/data/####/icon_bell_new.png
/data/data/####/icon_commission.png
/data/data/####/icon_coupn.png
/data/data/####/icon_coupon.png
/data/data/####/icon_deposit.png
/data/data/####/icon_envelopes.png
/data/data/####/icon_extension.png
/data/data/####/icon_fight.png
/data/data/####/icon_groupbuy.png
/data/data/####/icon_like.png
/data/data/####/icon_market.png
/data/data/####/icon_message_type_link.png
/data/data/####/icon_message_type_party.png
/data/data/####/icon_message_type_product.png
/data/data/####/icon_message_type_special.png
/data/data/####/icon_orders.png
/data/data/####/icon_platform_v.png
/data/data/####/icon_point.png
/data/data/####/icon_points.png
/data/data/####/icon_prepayment.png
/data/data/####/icon_prize.png
/data/data/####/icon_qq.png
/data/data/####/icon_service_online.png
/data/data/####/icon_setting.png
/data/data/####/icon_wechat.png
/data/data/####/icon_weibo.png
/data/data/####/icon_wxTimeLine.png
/data/data/####/iconfont.ttf
/data/data/####/img_only_phone.png
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/index_01.png
/data/data/####/index_02.png
/data/data/####/index_03.png
/data/data/####/index_04.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery-1.8.3.min.js
/data/data/####/jquery.scrollLoading.min.js
/data/data/####/libjiagu786936177.so
/data/data/####/log.png
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/lottery_bg.png
/data/data/####/lottery_bottom.png
/data/data/####/lottery_history_btn.png
/data/data/####/lottery_result_ticket.png
/data/data/####/lottery_sprite.png
/data/data/####/lottery_sprite_bg.png
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/meiqia.html
/data/data/####/mescroll-totop.png
/data/data/####/mescroll.min.css
/data/data/####/mescroll.min.js
/data/data/####/messageList.html
/data/data/####/money.png
/data/data/####/more4.png
/data/data/####/more5.png
/data/data/####/mui.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/nearstore.html
/data/data/####/nearstorelist.html
/data/data/####/noposi-tip.png
/data/data/####/nostore-tip.png
/data/data/####/null_search.png
/data/data/####/order-list.html
/data/data/####/order_null.png
/data/data/####/overfight.png
/data/data/####/pdr.xml
/data/data/####/phone.png
/data/data/####/prize.png
/data/data/####/proStroeInfo.html
/data/data/####/product-detail.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/reduce.png
/data/data/####/register.html
/data/data/####/reward.png
/data/data/####/run.pid
/data/data/####/rushactivedetail.html
/data/data/####/rushgroupdetail.html
/data/data/####/rushgrouplist.html
/data/data/####/search-result.html
/data/data/####/search.css
/data/data/####/search.html
/data/data/####/shake.html
/data/data/####/shake.wav
/data/data/####/shakedown.png
/data/data/####/shakeup.png
/data/data/####/shopcart-empty.png
/data/data/####/shopcart.html
/data/data/####/shouzhi.png
/data/data/####/sign_coin.png
/data/data/####/sina.png
/data/data/####/sinaweibo.png
/data/data/####/skuProduct.html
/data/data/####/start_statistics_data.xml
/data/data/####/store.css
/data/data/####/store_02.jpg
/data/data/####/store_map.png
/data/data/####/storehome.html
/data/data/####/storehome1.html
/data/data/####/storelist.html
/data/data/####/storelistTag.html
/data/data/####/storeproduct-detail.html
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/success_man.png
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/taobao.png
/data/data/####/template.js
/data/data/####/test_app
/data/data/####/tuan.png
/data/data/####/tuanzhang.png
/data/data/####/user-bg.png
/data/data/####/userhome.css
/data/data/####/userhome.html
/data/data/####/wapwebview.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/yuantiao.jpg
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log
/data/media/####/www.jiuxianji.com.bin
/data/media/####/www.jiuxianji.com.db

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24739 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24739 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu786936177

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней