Adware.Gexin.9332

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/03.png
/data/data/####/05.png
/data/data/####/100x100.png
/data/data/####/114x114.png
/data/data/####/120x120.png
/data/data/####/144x144.png
/data/data/####/152x152.png
/data/data/####/180x180.png
/data/data/####/192x192.png
/data/data/####/256x256.png
/data/data/####/29x29.png
/data/data/####/40x40.png
/data/data/####/43.png
/data/data/####/48.jpg
/data/data/####/48.png
/data/data/####/48x48.png
/data/data/####/50x50.png
/data/data/####/55.jpg
/data/data/####/55.png
/data/data/####/57x57.png
/data/data/####/58x58.png
/data/data/####/72x72.png
/data/data/####/76x76.png
/data/data/####/80x80.png
/data/data/####/87x87.png
/data/data/####/96x96.png
/data/data/####/Arrowblue.png
/data/data/####/Arrowgray.png
/data/data/####/ChangeOffer.html
/data/data/####/Code.png
/data/data/####/HousingMortgage.png
/data/data/####/HousingRightsView.png
/data/data/####/HousingType.js
/data/data/####/IM.js
/data/data/####/InvitationCode.png
/data/data/####/Location2.png
/data/data/####/MyIM.js
/data/data/####/PropertyTransfer.png
/data/data/####/QRCode.js
/data/data/####/QuestionMark.png
/data/data/####/QuestionMark2.png
/data/data/####/RealName.png
/data/data/####/RecognitionCriteria.html
/data/data/####/Recommend.png
/data/data/####/RedemptionSecured.png
/data/data/####/RubpriceSuccess.html
/data/data/####/SaleCompleteTemp.html
/data/data/####/SetPostalAddress.html
/data/data/####/Sorry.png
/data/data/####/UBlogo.png
/data/data/####/ViewTime.html
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a3BCkMGm5c8Vv56ugyvsL7.xml
/data/data/####/about.html
/data/data/####/account.html
/data/data/####/add.html
/data/data/####/aftersign.html
/data/data/####/aftersigncontract.html
/data/data/####/agreement.html
/data/data/####/animate.css
/data/data/####/api.js
/data/data/####/app.css
/data/data/####/appraise.css
/data/data/####/appraise.util.js
/data/data/####/appriase.preview.html
/data/data/####/assessmentreport.png
/data/data/####/assistant.png
/data/data/####/auth_property.png
/data/data/####/auth_realname.png
/data/data/####/back-to-top.png
/data/data/####/background-01.png
/data/data/####/balance.html
/data/data/####/balance_detail.html
/data/data/####/balance_list.html
/data/data/####/banner.html
/data/data/####/banner.png
/data/data/####/base.js
/data/data/####/bg.png
/data/data/####/bg1.jpg
/data/data/####/bg2.jpg
/data/data/####/bg2.png
/data/data/####/bg3.jpg
/data/data/####/bg4.jpg
/data/data/####/bg5.jpg
/data/data/####/bg6.jpg
/data/data/####/bg7.jpg
/data/data/####/bondrecord.html
/data/data/####/bottom-01-n.png
/data/data/####/bottom-01-y.png
/data/data/####/bottom-02-n.png
/data/data/####/bottom-02-y.png
/data/data/####/bottom-03-n.png
/data/data/####/bottom-03-y.png
/data/data/####/bottom-04-n.png
/data/data/####/bottom-04-y.png
/data/data/####/bottom-05.png
/data/data/####/bottombar.css
/data/data/####/business_cooperation.html
/data/data/####/card.css
/data/data/####/card.html
/data/data/####/cent.png
/data/data/####/changecontract.html
/data/data/####/changehouseInfo.html
/data/data/####/changesale.css
/data/data/####/changesale.html
/data/data/####/chooseRelieve.html
/data/data/####/choosehouse.css
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/clientid_igexin.xml
/data/data/####/clock.png
/data/data/####/clockdown.html
/data/data/####/close.png
/data/data/####/close2.png
/data/data/####/code.html
/data/data/####/code.png
/data/data/####/collection.html
/data/data/####/coming-soon.png
/data/data/####/comment.html
/data/data/####/comment.png
/data/data/####/commentlist.html
/data/data/####/common.js
/data/data/####/community.list.css
/data/data/####/community.list.html
/data/data/####/community.list.js
/data/data/####/complete.html
/data/data/####/confidentialitysuccess.html
/data/data/####/config.js
/data/data/####/contract.png
/data/data/####/contract_house.html
/data/data/####/contract_house_shops.html
/data/data/####/contrast.html
/data/data/####/coord.png
/data/data/####/cornermark.js
/data/data/####/customerrealname.html
/data/data/####/customerservice.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/deal.html
/data/data/####/dealdetail.html
/data/data/####/default-house.jpg
/data/data/####/default-logo.png
/data/data/####/delegate.png
/data/data/####/deliveryDetail.html
/data/data/####/deliveryResult.html
/data/data/####/detail.html
/data/data/####/disagreecomplete.html
/data/data/####/disagreerelieve.html
/data/data/####/dislike.png
/data/data/####/dislike_active.png
/data/data/####/disposeResult.html
/data/data/####/ead8f9c08fcf
/data/data/####/echarts.common.min.js
/data/data/####/echarts.min.js
/data/data/####/edit_phone.html
/data/data/####/edit_pwd.html
/data/data/####/eje3cnc
/data/data/####/engagementcode.html
/data/data/####/entrust.css
/data/data/####/evaluate.png
/data/data/####/evaluate2.png
/data/data/####/evaluate_active.png
/data/data/####/extensions.js
/data/data/####/eyehidden.png
/data/data/####/eyeshow.png
/data/data/####/fans.html
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/feedback.png
/data/data/####/female.png
/data/data/####/fenxiaodingdan.png
/data/data/####/flexableInput.js
/data/data/####/flipclock.css
/data/data/####/flipclock.min.js
/data/data/####/follow.html
/data/data/####/forgetpassword.html
/data/data/####/form.css
/data/data/####/formalContract_house.html
/data/data/####/formalContract_shop.html
/data/data/####/forward.png
/data/data/####/frozen_funds.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/global.js
/data/data/####/greenbar.png
/data/data/####/guidl.html
/data/data/####/gx_sp.xml
/data/data/####/head.png
/data/data/####/high.png
/data/data/####/history.html
/data/data/####/home.png
/data/data/####/home_active.png
/data/data/####/homepage.html
/data/data/####/homepagetemp.html
/data/data/####/houseAdress.png
/data/data/####/house_select.html
/data/data/####/houseauditfailurereason.html
/data/data/####/houseauditfailurereasondetail.html
/data/data/####/housedetail.css
/data/data/####/houseinfo.html
/data/data/####/housetext.css
/data/data/####/housetransfer.html
/data/data/####/housingloan.html
/data/data/####/housingloanresult.html
/data/data/####/html5Geo.xml
/data/data/####/i-question.png
/data/data/####/icon-01.png
/data/data/####/icon-02.png
/data/data/####/icon-03.png
/data/data/####/icon-05.png
/data/data/####/icon-06.png
/data/data/####/icon-07.png
/data/data/####/icon-08.png
/data/data/####/icon-11.png
/data/data/####/icon-12.png
/data/data/####/icon-16.png
/data/data/####/icon-17.png
/data/data/####/icon-18.png
/data/data/####/icon-19.png
/data/data/####/icon-Collection.png
/data/data/####/icon-partake.png
/data/data/####/icon-publish.png
/data/data/####/image.upload.css
/data/data/####/image.uploader.js
/data/data/####/imageview.css
/data/data/####/imchathide.html
/data/data/####/img-del.png
/data/data/####/immersed.js
/data/data/####/improvement.html
/data/data/####/improvementhouse.css
/data/data/####/index-search.png
/data/data/####/index.html
/data/data/####/information-03.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jiaoyirenzheng.png
/data/data/####/jquery-2.0.3.min.js
/data/data/####/jquery.min.js
/data/data/####/jquery.transform.js
/data/data/####/json2.js
/data/data/####/lanrenzhijia.css
/data/data/####/lanrenzhijia.js
/data/data/####/launchguide.html
/data/data/####/layer.css
/data/data/####/layer.js
/data/data/####/laytpl.js
/data/data/####/leftArrows.png
/data/data/####/libjiagu1143530318.so
/data/data/####/like.png
/data/data/####/like_active.png
/data/data/####/list.html
/data/data/####/location-03.png
/data/data/####/location.png
/data/data/####/login.html
/data/data/####/logo.jpg
/data/data/####/logo.png
/data/data/####/lou.png
/data/data/####/low.png
/data/data/####/lvse.png
/data/data/####/main-index.css
/data/data/####/main.html
/data/data/####/main.js
/data/data/####/main_index.html
/data/data/####/male.png
/data/data/####/manifest.json
/data/data/####/map.html
/data/data/####/md5.js
/data/data/####/media-card.css
/data/data/####/media_card_detail.html
/data/data/####/media_card_sketch.html
/data/data/####/message.png
/data/data/####/message_active.png
/data/data/####/mock_trading.png
/data/data/####/money-icon.png
/data/data/####/mui.housedetail.css
/data/data/####/mui.imageViewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.listpicker.css
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.css
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/my_appraise_report.html
/data/data/####/my_participation.html
/data/data/####/mycontract.html
/data/data/####/mydata.html
/data/data/####/mydeal.css
/data/data/####/myentrust.html
/data/data/####/myrelease.html
/data/data/####/myservice.html
/data/data/####/no-data.png
/data/data/####/off_shelf.png
/data/data/####/ok.png
/data/data/####/on_sell.png
/data/data/####/ordertime.html
/data/data/####/page1.png
/data/data/####/page2.png
/data/data/####/page3.png
/data/data/####/participation.png
/data/data/####/password.png
/data/data/####/pay-00.png
/data/data/####/pay-01.png
/data/data/####/pay-02.png
/data/data/####/pay-03.png
/data/data/####/pay_pwd_set.html
/data/data/####/payremind.html
/data/data/####/payservermoney.html
/data/data/####/paysuccess.html
/data/data/####/paytranser.html
/data/data/####/pdr.xml
/data/data/####/people-number.png
/data/data/####/person.png
/data/data/####/person_active.png
/data/data/####/personal-01.png
/data/data/####/personal-02.png
/data/data/####/personal-03.png
/data/data/####/personal-04.png
/data/data/####/personal-05.png
/data/data/####/personal-06.png
/data/data/####/personal-07.png
/data/data/####/personal-08.png
/data/data/####/personal-09.png
/data/data/####/personal-12.png
/data/data/####/personal-14.png
/data/data/####/personal-20.png
/data/data/####/personal-22.png
/data/data/####/personal-23.png
/data/data/####/personal-24.png
/data/data/####/personal-25.png
/data/data/####/personal-26.png
/data/data/####/personal.jpg
/data/data/####/phone.png
/data/data/####/photo.png
/data/data/####/plus.storage.charts.js
/data/data/####/premises_permit_page1.jpg
/data/data/####/premises_permit_page2.jpg
/data/data/####/preview.css
/data/data/####/preview.html
/data/data/####/property-demo.jpg
/data/data/####/propertynum.data.js
/data/data/####/protestindex.html
/data/data/####/publishsuccess.html
/data/data/####/pullRefresh.css
/data/data/####/pullToRefresh.css
/data/data/####/purchase.png
/data/data/####/push.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwd.png
/data/data/####/q1.png
/data/data/####/q2.png
/data/data/####/q3.png
/data/data/####/q4.png
/data/data/####/q5.png
/data/data/####/q6.png
/data/data/####/q7.png
/data/data/####/q8.png
/data/data/####/qrbg.png
/data/data/####/query_ykm.html
/data/data/####/question.html
/data/data/####/question.js
/data/data/####/rational.png
/data/data/####/realname.png
/data/data/####/realnamegreen.png
/data/data/####/realnamemain.png
/data/data/####/realnamesystem.html
/data/data/####/receive_reward.html
/data/data/####/recharge.html
/data/data/####/register.html
/data/data/####/relievetrade.html
/data/data/####/report.css
/data/data/####/report.html
/data/data/####/require.js
/data/data/####/rightArrows.png
/data/data/####/rightsdetail.html
/data/data/####/rili.png
/data/data/####/rubprice.css
/data/data/####/rubpricePage.html
/data/data/####/rubpricePriceContract.html
/data/data/####/rubpricepayseccess.html
/data/data/####/rubpriseCode.png
/data/data/####/rule.html
/data/data/####/run.pid
/data/data/####/saixuan.png
/data/data/####/sale-01.jpg
/data/data/####/sale-02.png
/data/data/####/sale.png
/data/data/####/sale2-bg.png
/data/data/####/sale2.png
/data/data/####/salecontract.html
/data/data/####/saledetail.css
/data/data/####/salefinish.png
/data/data/####/salepreview.html
/data/data/####/saleviewsign.html
/data/data/####/scan.html
/data/data/####/scan.png
/data/data/####/scanning.png
/data/data/####/search.html
/data/data/####/search.png
/data/data/####/selectorder.html
/data/data/####/service.html
/data/data/####/service_mgr.png
/data/data/####/servicedescription.html
/data/data/####/servicesteward.html
/data/data/####/setsale.css
/data/data/####/setup.html
/data/data/####/signsuccess.html
/data/data/####/silder.html
/data/data/####/star-01.png
/data/data/####/star-02.png
/data/data/####/starbright.png
/data/data/####/stardark.png
/data/data/####/start_statistics_data.xml
/data/data/####/step1_1.png
/data/data/####/step1_2.png
/data/data/####/step2_1.png
/data/data/####/step2_2.png
/data/data/####/step2_3.png
/data/data/####/step3_1.png
/data/data/####/step3_2.png
/data/data/####/step3_3.png
/data/data/####/step4_1.png
/data/data/####/step4_2.png
/data/data/####/stream_permission.xml
/data/data/####/success.png
/data/data/####/tel.png
/data/data/####/temp_square.jpg
/data/data/####/test_app
/data/data/####/text.html
/data/data/####/timeout.png
/data/data/####/timer.js
/data/data/####/tis.png
/data/data/####/tishiblue.png
/data/data/####/tixing.png
/data/data/####/to_be_published.html
/data/data/####/top-tag.css
/data/data/####/top.jpg
/data/data/####/trade_guidelines.png
/data/data/####/transferpaysuccess.html
/data/data/####/update.js
/data/data/####/uploadnewimmovables.html
/data/data/####/util.js
/data/data/####/viewcontract.png
/data/data/####/vue-lazyload.js
/data/data/####/vue-mixin.js
/data/data/####/vue-resource.min.js
/data/data/####/vue-validator.min.js
/data/data/####/vue.js
/data/data/####/vue.min.js
/data/data/####/waitingforrelieve.html
/data/data/####/waitingforrights.html
/data/data/####/watchDelivery.html
/data/data/####/watchHistoryRelieve.html
/data/data/####/watchRelieve.html
/data/data/####/wblogo.png
/data/data/####/webim.js
/data/data/####/webim.min.js
/data/data/####/webim_no_emotion.js
/data/data/####/webim_no_emotion.min.js
/data/data/####/website.publishproj
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wechat.png
/data/data/####/weirenzheng.png
/data/data/####/withdrawals.html
/data/data/####/wodejiaoyi.png
/data/data/####/wxlogin.png
/data/data/####/wxregister.html
/data/data/####/xiaosanhei.png
/data/data/####/xiaoweiba-01.png
/data/data/####/xiaoweiba-02.png
/data/data/####/xunhuan.gif
/data/data/####/yuekan.png
/data/data/####/yuekancomment_buy.html
/data/data/####/yuekancomment_sale.html
/data/data/####/yuekancommentsuccess.html
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.a3BCkMGm5c8Vv56ugyvsL7.bin
/data/media/####/io.dcloud.a3BCkMGm5c8Vv56ugyvsL7.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25812 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1143530318.so
mount

Загружает динамические библиотеки:

getuiext2
libjiagu1143530318

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней