Adware.Gexin.9498

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(TLS/1.0) 2####.58.212.174:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
pv.s####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

gdv.a.s####.com/cityjson?ie=####
qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/01.png
/data/data/####/02.png
/data/data/####/03.png
/data/data/####/04.png
/data/data/####/05.png
/data/data/####/0e4cd0719d02
/data/data/####/2.jpg
/data/data/####/3.jpg
/data/data/####/360zhushou.png
/data/data/####/4.jpg
/data/data/####/5.jpg
/data/data/####/6.jpg
/data/data/####/95516.js
/data/data/####/H50E6A5B0.xml
/data/data/####/H50E6A5B0_storages.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about-gengduo-choujiang-duihuan.html
/data/data/####/about-gengduo-choujiang.html
/data/data/####/about-gengduo-zhongchou.html
/data/data/####/about-gengduo.html
/data/data/####/about-imshi-select.html
/data/data/####/about-imshi.html
/data/data/####/about-renchebao-comon.html
/data/data/####/about-renchebao.html
/data/data/####/about-youzhi-comon.html
/data/data/####/about-youzhi-comonup.html
/data/data/####/about.html
/data/data/####/active.png
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/arttmpl.js
/data/data/####/audio.png
/data/data/####/baiduphone.png
/data/data/####/bankuai-caicai-detail.html
/data/data/####/bankuai-caicai.html
/data/data/####/bankuai-caicais-detail.html
/data/data/####/bankuai-dayou.html
/data/data/####/bankuai-dazhekou-detail.html
/data/data/####/bankuai-dazhekou.html
/data/data/####/bankuai-game.html
/data/data/####/bankuai-jietiao.html
/data/data/####/bankuai-kedouim.html
/data/data/####/bankuai-kuaidi.html
/data/data/####/bankuai-lianxi.html
/data/data/####/bankuai-liaoim.html
/data/data/####/bankuai-music.html
/data/data/####/bankuai-pinpai.html
/data/data/####/bankuai-qiuzhi-detail.html
/data/data/####/bankuai-qiuzhi-fabiaoe.html
/data/data/####/bankuai-qiuzhi.html
/data/data/####/bankuai-shangcheng.html
/data/data/####/bankuai-taobao.html
/data/data/####/bankuai-video.html
/data/data/####/bankuai-xinwen-detail.html
/data/data/####/bankuai-xinwen.html
/data/data/####/bankuai-xinwenjuhe.html
/data/data/####/bankuai-yeban.html
/data/data/####/bankuai-youhui-detail.html
/data/data/####/bankuai-youhui.html
/data/data/####/bankuai-zhaopin-detail.html
/data/data/####/bankuai-zhaopin-fabiaoe.html
/data/data/####/bankuai-zhaopin.html
/data/data/####/bankuai.html
/data/data/####/banner.jpg
/data/data/####/baojiashu.html
/data/data/####/baozhengjin.html
/data/data/####/beecloud.js
/data/data/####/bg-img.png
/data/data/####/bootstrap.min.css
/data/data/####/cainixihuan.png
/data/data/####/car.png
/data/data/####/cardren.png
/data/data/####/cbd.jpg
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ceshi.html
/data/data/####/chat-search.html
/data/data/####/chat.html
/data/data/####/chexian.png
/data/data/####/chongcar.png
/data/data/####/choujiang.png
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/cjBtn.png
/data/data/####/clientid_igexin.xml
/data/data/####/common.js
/data/data/####/compound---Push_03.jpg
/data/data/####/compound-gangbeng@2x.png
/data/data/####/compound-iay@2x.png
/data/data/####/compound-jingdou@2x.png
/data/data/####/compound-piay_push@2x.png
/data/data/####/compound-warm-img.png
/data/data/####/compound-zi.png
/data/data/####/compound.min.css
/data/data/####/compoundPush-gb.jpg
/data/data/####/compoundPush-jd.jpg
/data/data/####/contact-car-carnum.html
/data/data/####/contact-car-fuli-360.html
/data/data/####/contact-car-fuli-baidu.html
/data/data/####/contact-car-fuli.html
/data/data/####/contact-car.html
/data/data/####/contact.html
/data/data/####/daili.png
/data/data/####/dangdishangcheng.png
/data/data/####/danpin2x.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/detail.html
/data/data/####/dianyingxiaozhan.png
/data/data/####/easing.min.js
/data/data/####/eje3cnc
/data/data/####/fabu.html
/data/data/####/fanmian.png
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/forget_password.html
/data/data/####/fukan-detail.html
/data/data/####/fukan-fabiaoe-audio.html
/data/data/####/fukan-fabiaoe-video.html
/data/data/####/fukan-fabiaoe.html
/data/data/####/fukan.html
/data/data/####/fukan.png
/data/data/####/fuli.png
/data/data/####/game.png
/data/data/####/gaodai.png
/data/data/####/gdaemon_20161017
/data/data/####/gengduo.html
/data/data/####/getui_sp.xml
/data/data/####/gev.png
/data/data/####/gev2.png
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/hehuo.png
/data/data/####/html5Geo.xml
/data/data/####/huoyunb.html
/data/data/####/huoyunxian.png
/data/data/####/icon-laba.png
/data/data/####/iconfont-tianjia.png
/data/data/####/im.png
/data/data/####/imgsr.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jiameng.png
/data/data/####/jiashi.png
/data/data/####/jiashie.png
/data/data/####/jietiao.png
/data/data/####/jifen4.png
/data/data/####/jifenshangcheng.png
/data/data/####/jquery-sinaEmotion-2.1.0.js
/data/data/####/jquery-sinaEmotion-2.1.0.min.css
/data/data/####/jquery-sinaEmotion-2.1.0.min.js
/data/data/####/jquery.min.js
/data/data/####/kuaijie-detail.html
/data/data/####/kuaijie-search.html
/data/data/####/kuaijie.html
/data/data/####/kuaijie.png
/data/data/####/kuaijiefabu.html
/data/data/####/kuaiserch3.png
/data/data/####/libjiagu411960639.so
/data/data/####/list-to-detail.css
/data/data/####/login.html
/data/data/####/logintime.js
/data/data/####/logo.png
/data/data/####/logo512.png
/data/data/####/logo5122.png
/data/data/####/look-baozhengjin.html
/data/data/####/main.css
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/mui-icon-extra.css
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.dtpicker.js
/data/data/####/mui.enterfocus.js
/data/data/####/mui.imageViewer.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.listpicker.js
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/music.png
/data/data/####/muwu.jpg
/data/data/####/notify.js
/data/data/####/pdr.xml
/data/data/####/pinpaijie.png
/data/data/####/proBj.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo.png
/data/data/####/qiye.png
/data/data/####/qq.png
/data/data/####/quanqiu.html
/data/data/####/recar.png
/data/data/####/reg.html
/data/data/####/release1.png
/data/data/####/renbao.png
/data/data/####/run.pid
/data/data/####/setting.html
/data/data/####/setting2.html
/data/data/####/shanghu.png
/data/data/####/shuijiao.jpg
/data/data/####/siji.png
/data/data/####/simpl-fontSize.min.js
/data/data/####/simpl-public.min.css
/data/data/####/sinaweibo.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/styleCJ.css
/data/data/####/swfobject.js
/data/data/####/taobao.png
/data/data/####/test_app
/data/data/####/tuiguang.png
/data/data/####/umeng_general_config.xml
/data/data/####/unlock.html
/data/data/####/updata.js
/data/data/####/updata2.js
/data/data/####/update.js
/data/data/####/user-photo.png
/data/data/####/video.png
/data/data/####/videoimg.png
/data/data/####/videoimg2.png
/data/data/####/vue.js
/data/data/####/vue.min.js
/data/data/####/wangshangshangcheng.png
/data/data/####/web_heart_animation.png
/data/data/####/web_socket.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewGroup.js
/data/data/####/weixin.png
/data/data/####/wode-chengjiao-detail.html
/data/data/####/wode-chengjiao.html
/data/data/####/wode-choujiang.html
/data/data/####/wode-daiwan-detail.html
/data/data/####/wode-daiwan.html
/data/data/####/wode-email.html
/data/data/####/wode-geren-zhifubao.html
/data/data/####/wode-geren.html
/data/data/####/wode-qianbao-chongzhi-tixian.html
/data/data/####/wode-qianbao-chongzhi.html
/data/data/####/wode-qianbao.html
/data/data/####/wode-renzheng-lianxi.html
/data/data/####/wode-renzheng-shenfenzheng.html
/data/data/####/wode-renzheng-siji.html
/data/data/####/wode-renzheng.html
/data/data/####/wode-shouhuo.html
/data/data/####/wode-wofabu-detail.html
/data/data/####/wode-wofabu.html
/data/data/####/wode-xingbie.html
/data/data/####/wode-yibaojia-detail.html
/data/data/####/wode-yibaojia.html
/data/data/####/wode.html
/data/data/####/wuhusihai.png
/data/data/####/wuliucha.png
/data/data/####/xinwen.png
/data/data/####/xinwenjuhe.png
/data/data/####/xinxi-baojia-detail.html
/data/data/####/xinxi-baojia.html
/data/data/####/xinyonghu.png
/data/data/####/yeban.png
/data/data/####/yiwuyiwu.png
/data/data/####/youhui.png
/data/data/####/youhuiq.png
/data/data/####/youzhih.html
/data/data/####/yuantiao.jpg
/data/data/####/yuyin.png
/data/data/####/zan.png
/data/data/####/zan1.png
/data/data/####/zengzhifuwu.png
/data/data/####/zhaogongzuo.png
/data/data/####/zhaopin.png
/data/data/####/zhengmian.png
/data/data/####/zhifu.js
/data/data/####/zhinengpipeizheng.png
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H50E6A5B0.bin
/data/media/####/io.dcloud.H50E6A5B0.db
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24471 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24471 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu411960639

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней