Adware.Gexin.9471

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) m.industr####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
m.industr####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.dc####.io

Запросы HTTP GET:

ser####.dc####.net.cn/urd.json?v=####

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/0.1e7b54.js
/data/data/####/1.39a74f.js
/data/data/####/10.fdab9e.js
/data/data/####/100.0d34e9.js
/data/data/####/101.90cdeb.js
/data/data/####/102.47f632.js
/data/data/####/103.08520a.js
/data/data/####/104.05235b.js
/data/data/####/105.c943bb.js
/data/data/####/106.083d34.js
/data/data/####/107.90c07c.js
/data/data/####/108.39c99f.js
/data/data/####/11.ea49ff.js
/data/data/####/12.dbd528.js
/data/data/####/13.0355e5.js
/data/data/####/14.d53b42.js
/data/data/####/15.9bf9fb.js
/data/data/####/16.95798c.js
/data/data/####/17.7b72f0.js
/data/data/####/18.b9b82f.js
/data/data/####/19.3bc288.js
/data/data/####/1f388.a5de104.png
/data/data/####/1f41e.3686d96.png
/data/data/####/1f437.4f7a71a.png
/data/data/####/1f47b.7fca281.png
/data/data/####/1f49d.5c9d5b6.png
/data/data/####/1f4aa-1f3fc.6590c31.png
/data/data/####/1f60c.376e1e4.png
/data/data/####/1f612.bc0cea0.png
/data/data/####/1f615.35c486b.png
/data/data/####/1f616.6aae09a.png
/data/data/####/1f61d.95c8843.png
/data/data/####/1f628.3ccfe45.png
/data/data/####/1f629.5884e64.png
/data/data/####/1f62a.6a874a5.png
/data/data/####/1f630.d4d51d6.png
/data/data/####/1f63e.efe838e.png
/data/data/####/1f641.e99fc4d.png
/data/data/####/1f642.1fae291.png
/data/data/####/1f64f-1f3fc.6c1908b.png
/data/data/####/2.a50722.js
/data/data/####/20.2672d9.js
/data/data/####/21.d394d4.js
/data/data/####/22.513a36.js
/data/data/####/23.e4a1d2.js
/data/data/####/24.ee0d2c.js
/data/data/####/25.8a4f25.js
/data/data/####/26.0be766.js
/data/data/####/27.602e6e.js
/data/data/####/28.bb8503.js
/data/data/####/29.8f452f.js
/data/data/####/3.d2cca2.js
/data/data/####/30.5a6d9c.js
/data/data/####/31.1dbc95.js
/data/data/####/32.029533.js
/data/data/####/33.179595.js
/data/data/####/34.e4da05.js
/data/data/####/35.f718ed.js
/data/data/####/36.9640e5.js
/data/data/####/37.214a98.js
/data/data/####/38.6144af.js
/data/data/####/39.b48a6a.js
/data/data/####/4.6e09ad.js
/data/data/####/40.f7974c.js
/data/data/####/404.bdee8b6.png
/data/data/####/41.cfcbb3.js
/data/data/####/42.5e0da8.js
/data/data/####/43.2b2c96.js
/data/data/####/44.f26c40.js
/data/data/####/45.cf04fa.js
/data/data/####/46.f1cc32.js
/data/data/####/47.d5ce78.js
/data/data/####/48.bdaceb.js
/data/data/####/49.64d711.js
/data/data/####/5.a87096.js
/data/data/####/5.d02fc66.png
/data/data/####/50.da8722.js
/data/data/####/51.b18eda.js
/data/data/####/52.9809ae.js
/data/data/####/53.dd4df5.js
/data/data/####/54.56d7d6.js
/data/data/####/55.263622.js
/data/data/####/56.5770d6.js
/data/data/####/57.33c6d9.js
/data/data/####/58.508667.js
/data/data/####/59.e92d3c.js
/data/data/####/6.5b9460.js
/data/data/####/60.658977.js
/data/data/####/61.ec8b9e.js
/data/data/####/62.05bd8d.js
/data/data/####/63.67456a.js
/data/data/####/64.7d13b0.js
/data/data/####/65.f21354.js
/data/data/####/66.74688f.js
/data/data/####/67.6c20d8.js
/data/data/####/68.ceb9f0.js
/data/data/####/69.6cd239.js
/data/data/####/7.f834b7.js
/data/data/####/70.a56ef2.js
/data/data/####/71.72fe4c.js
/data/data/####/72.9726f1.js
/data/data/####/73.cb181b.js
/data/data/####/74.83e7b6.js
/data/data/####/75.a9dc79.js
/data/data/####/76.394157.js
/data/data/####/77.2e0d91.js
/data/data/####/78.cc19be.js
/data/data/####/79.383ac8.js
/data/data/####/8.072bc4.js
/data/data/####/80.b7c30f.js
/data/data/####/81.23b028.js
/data/data/####/82.d7e57b.js
/data/data/####/83.4ed768.js
/data/data/####/84.b834a3.js
/data/data/####/85.c1592f.js
/data/data/####/86.523a94.js
/data/data/####/87.df7080.js
/data/data/####/88.b35024.js
/data/data/####/89.1a0635.js
/data/data/####/9.9ce786.js
/data/data/####/90.33bb49.js
/data/data/####/91.be67b9.js
/data/data/####/92.988e0b.js
/data/data/####/93.ea1faf.js
/data/data/####/94.e70a75.js
/data/data/####/95.831d55.js
/data/data/####/96.e38abd.js
/data/data/####/99.1cf492.js
/data/data/####/__app__.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about_logo.4ad7e2f.png
/data/data/####/alipay_loading.3868087.png
/data/data/####/app.1c0494.js
/data/data/####/app.abbb4d6b4d761ce2f3826dc9af2ece10.css
/data/data/####/bugly_db_legu-journal
/data/data/####/bulb.c2e89c1.svg
/data/data/####/bundle_plaza_new_hand_bg.4475d94.png
/data/data/####/car.fa71827.png
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/doc.349bcac.svg
/data/data/####/docx.a1cf616.svg
/data/data/####/down.ae93398.png
/data/data/####/eje3cnc
/data/data/####/emoji_00.3b5918e.png
/data/data/####/emoji_01.c91a3d7.png
/data/data/####/emoji_02.62d4d4a.png
/data/data/####/emoji_03.7550f8d.png
/data/data/####/emoji_04.7274adf.png
/data/data/####/emoji_05.7f5a678.png
/data/data/####/emoji_06.069a02d.png
/data/data/####/emoji_07.09b012e.png
/data/data/####/emoji_08.7d15bd9.png
/data/data/####/emoji_09.c9d3c1a.png
/data/data/####/emoji_10.a8b5534.png
/data/data/####/emoji_100.6dd0283.png
/data/data/####/emoji_101.a73ba4f.png
/data/data/####/emoji_102.d416141.png
/data/data/####/emoji_103.d80fb51.png
/data/data/####/emoji_104.3b55424.png
/data/data/####/emoji_105.da2c653.png
/data/data/####/emoji_106.86bf96c.png
/data/data/####/emoji_107.75cbdd3.png
/data/data/####/emoji_108.835052e.png
/data/data/####/emoji_109.e597224.png
/data/data/####/emoji_11.d9b269f.png
/data/data/####/emoji_110.23374f2.png
/data/data/####/emoji_111.7baa83b.png
/data/data/####/emoji_112.2e79532.png
/data/data/####/emoji_113.c3b94a1.png
/data/data/####/emoji_114.a49a03e.png
/data/data/####/emoji_115.e7af0a0.png
/data/data/####/emoji_12.64d6d2e.png
/data/data/####/emoji_13.d3a9667.png
/data/data/####/emoji_14.75ece3f.png
/data/data/####/emoji_145.a27dab0.png
/data/data/####/emoji_15.dc0dc44.png
/data/data/####/emoji_16.033be64.png
/data/data/####/emoji_160.4358bda.png
/data/data/####/emoji_161.3c0b05f.png
/data/data/####/emoji_162.5f6c616.png
/data/data/####/emoji_163.b44230a.png
/data/data/####/emoji_164.98804f9.png
/data/data/####/emoji_165.95371a4.png
/data/data/####/emoji_166.7d739eb.png
/data/data/####/emoji_167.d3d79fc.png
/data/data/####/emoji_17.34c4b6f.png
/data/data/####/emoji_18.83b18f2.png
/data/data/####/emoji_19.0ecca34.png
/data/data/####/emoji_20.0184659.png
/data/data/####/emoji_21.67edbf5.png
/data/data/####/emoji_22.703fb2d.png
/data/data/####/emoji_23.77bb735.png
/data/data/####/emoji_24.7f593de.png
/data/data/####/emoji_25.fe0cb19.png
/data/data/####/emoji_26.ef3740f.png
/data/data/####/emoji_27.8fd9f6e.png
/data/data/####/emoji_28.c67f014.png
/data/data/####/emoji_29.d7eef74.png
/data/data/####/emoji_30.13d486a.png
/data/data/####/emoji_31.993be7d.png
/data/data/####/emoji_32.388aa9a.png
/data/data/####/emoji_33.47f5df9.png
/data/data/####/emoji_34.599002b.png
/data/data/####/emoji_35.7167088.png
/data/data/####/emoji_36.155327e.png
/data/data/####/emoji_37.fd699a8.png
/data/data/####/emoji_38.17f0f40.png
/data/data/####/emoji_39.27d481b.png
/data/data/####/emoji_40.e9d2304.png
/data/data/####/emoji_41.e1517ed.png
/data/data/####/emoji_42.4df2df6.png
/data/data/####/emoji_43.1a8499c.png
/data/data/####/emoji_44.1ad1f9e.png
/data/data/####/emoji_45.40fe341.png
/data/data/####/emoji_46.ca9e777.png
/data/data/####/emoji_47.99d4c54.png
/data/data/####/emoji_48.0adb6f7.png
/data/data/####/emoji_49.304c352.png
/data/data/####/emoji_50.fbc8916.png
/data/data/####/emoji_51.daccfd2.png
/data/data/####/emoji_52.192cb75.png
/data/data/####/emoji_53.0220363.png
/data/data/####/emoji_54.a9a6f69.png
/data/data/####/emoji_55.53a8227.png
/data/data/####/emoji_56.ccf670d.png
/data/data/####/emoji_57.6515be6.png
/data/data/####/emoji_58.04fc414.png
/data/data/####/emoji_59.383e983.png
/data/data/####/emoji_60.68b6a97.png
/data/data/####/emoji_61.80a2421.png
/data/data/####/emoji_62.d5ec74e.png
/data/data/####/emoji_63.e22d169.png
/data/data/####/emoji_64.3f7bddf.png
/data/data/####/emoji_65.06683b2.png
/data/data/####/emoji_66.8dfb17e.png
/data/data/####/emoji_67.ceb1bc9.png
/data/data/####/emoji_68.88d79c5.png
/data/data/####/emoji_69.4dcd8b9.png
/data/data/####/emoji_70.b7bda36.png
/data/data/####/emoji_71.85bacd5.png
/data/data/####/emoji_72.caf25a3.png
/data/data/####/emoji_73.d1900ab.png
/data/data/####/emoji_74.00ba9cd.png
/data/data/####/emoji_75.ab61344.png
/data/data/####/emoji_76.51dd584.png
/data/data/####/emoji_77.4246dce.png
/data/data/####/emoji_78.b4f2553.png
/data/data/####/emoji_79.9c6292b.png
/data/data/####/emoji_80.1bf5532.png
/data/data/####/emoji_81.79bb21b.png
/data/data/####/emoji_82.d9d39f0.png
/data/data/####/emoji_83.0d790fe.png
/data/data/####/emoji_84.fbd9582.png
/data/data/####/emoji_85.edfa207.png
/data/data/####/emoji_86.e5dc5ed.png
/data/data/####/emoji_87.baa43cd.png
/data/data/####/emoji_88.5c2e185.png
/data/data/####/emoji_89.3a5ee45.png
/data/data/####/emoji_90.3c9b9b9.png
/data/data/####/emoji_91.e459e7a.png
/data/data/####/emoji_92.fdceefa.png
/data/data/####/emoji_93.934cae0.png
/data/data/####/emoji_94.6e54ebf.png
/data/data/####/emoji_95.bb345b5.png
/data/data/####/emoji_96.06f6249.png
/data/data/####/emoji_97.c37f2cb.png
/data/data/####/emoji_98.3170dee.png
/data/data/####/emoji_99.5495372.png
/data/data/####/enterprise.ef4b6f4.png
/data/data/####/f_000001
/data/data/####/file__0.localstorage-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/icon_loading.2deebd3.png
/data/data/####/iconfont.585be43.ttf
/data/data/####/iconfont.c290231.svg
/data/data/####/iconfont.e550917.svg
/data/data/####/iconfont.ttf
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inte.8015586.png
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/loading.2d9d6c7.svg
/data/data/####/loading.eaa19c2.png
/data/data/####/local_crash_lock
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/mix.dex
/data/data/####/mp3.d64efed.svg
/data/data/####/mp4.5ed1d8c.svg
/data/data/####/native_record_lock
/data/data/####/new_emoji_01.5a5920f.png
/data/data/####/new_emoji_02.76e1e9c.png
/data/data/####/new_emoji_03.301d3b1.png
/data/data/####/new_emoji_05.ee96c76.png
/data/data/####/new_emoji_06.8704cb1.png
/data/data/####/new_emoji_07.a5c0c8b.png
/data/data/####/new_emoji_08.716c66b.png
/data/data/####/new_emoji_09.1c73f2a.png
/data/data/####/new_emoji_10.008b4db.png
/data/data/####/new_emoji_11.ec7cc1b.png
/data/data/####/new_emoji_13.e84dc35.png
/data/data/####/new_emoji_18.cabcc9a.png
/data/data/####/new_emoji_19.21f1b33.png
/data/data/####/new_emoji_20.f7b5c0d.png
/data/data/####/new_emoji_21.478b67d.png
/data/data/####/new_emoji_22.3d71bb3.png
/data/data/####/new_emoji_23.75a53b7.png
/data/data/####/new_emoji_24.12a71f9.png
/data/data/####/new_emoji_25.352f0a9.png
/data/data/####/new_emoji_28.79152ef.png
/data/data/####/new_emoji_30.1fa61c6.png
/data/data/####/no_pic_300_240.3714a55.jpg
/data/data/####/pause.a9c256f.svg
/data/data/####/pdf.5189421.svg
/data/data/####/pdr.xml
/data/data/####/pengyouquan.747f484.svg
/data/data/####/personal.b742829.png
/data/data/####/play-2.c32d37b.png
/data/data/####/play.f2152a0.svg
/data/data/####/pop-down.c1b6611.png
/data/data/####/pop-up.591de35.png
/data/data/####/portrait_bg.d8ab821.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/quiz.88f0225.png
/data/data/####/rar.9ee3309.svg
/data/data/####/replay.7a81e90.png
/data/data/####/rotate_img.27afec8.png
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/signin.fb1461a.svg
/data/data/####/signin_done.886dc14.svg
/data/data/####/sku_star10.e2db9f7.png
/data/data/####/sku_star20.3cf900f.png
/data/data/####/sku_star30.e78c96d.png
/data/data/####/sku_star35.1dd9954.png
/data/data/####/sku_star40.7c784ea.png
/data/data/####/sku_star45.05b9020.png
/data/data/####/sku_star50.ee390ac.png
/data/data/####/starfull.22745f6.png
/data/data/####/starhalf.e2cb955.png
/data/data/####/starnone.cad0f61.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/swiper.d05188.js
/data/data/####/test_app
/data/data/####/touchui-api.07f496.js
/data/data/####/triangle.745cb24.png
/data/data/####/vendor.2c31f9.js
/data/data/####/vue.b4ca75.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xls.ed22566.svg
/data/data/####/xlsx.0d660d4.svg
/data/data/####/yiweitong.xml
/data/data/####/yiweitong_storages.xml
/data/data/####/zip.4c12f4f.svg
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yiweitong.android.bin
/data/media/####/com.yiweitong.android.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25139 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25139 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней