Adware.Gexin.9662

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) www.bawan####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 1####.217.168.238:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.bawan####.com

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.bawan####.com/upload/201711/01/201711011007462377.png
www.bawan####.com/upload/201711/01/201711011009377651.png
www.bawan####.com/upload/201711/01/201711011011452525.png
www.bawan####.com/upload/201711/01/201711011012220298.png
www.bawan####.com/upload/201711/01/201711011014485348.png
www.bawan####.com/upload/201711/01/201711011015371275.png
www.bawan####.com/upload/201711/01/201711011016363561.png
www.bawan####.com/upload/201711/01/201711011017425612.png
www.bawan####.com/upload/201711/01/201711011019321335.png
www.bawan####.com/upload/201711/01/201711011020382546.png
www.bawan####.com/upload/201711/01/201711011020593982.png
www.bawan####.com/upload/201711/01/201711011022424969.png
www.bawan####.com/upload/201711/01/201711011024360536.png
www.bawan####.com/upload/201711/01/201711011025378456.png
www.bawan####.com/upload/201711/01/201711011027584609.png
www.bawan####.com/upload/201711/14/201711141754172979.png
www.bawan####.com/upload/201711/15/201711151024241313.jpg
www.bawan####.com/upload/201711/15/201711151024394838.png
www.bawan####.com/upload/201711/15/201711151047499474.png
www.bawan####.com/upload/201803/21/201803211419521576.jpg
www.bawan####.com/upload/201803/21/201803211505133522.png

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
a.appj####.com/jiagu/check/upgrade
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
www.bawan####.com/AppService/app_submit_ajax.ashx?action=####&date=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/161b08931008
/data/data/####/clientid_igexin.xml
/data/data/####/com.bawanggou.www.xml
/data/data/####/com.bawanggou.www.xml.bak (deleted)
/data/data/####/com.bawanggou.www_download_dcloud.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_00000f (deleted)
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000013 (deleted)
/data/data/####/f_000014
/data/data/####/f_000014 (deleted)
/data/data/####/f_000015
/data/data/####/f_000015 (deleted)
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/1.jpg
/data/media/####/11.png
/data/media/####/201711141754172979.png
/data/media/####/201711151024241313.jpg
/data/media/####/201711151024394838.png
/data/media/####/33.png
/data/media/####/44.png
/data/media/####/55.png
/data/media/####/Common.js
/data/media/####/FontAwesome.otf
/data/media/####/Main.html
/data/media/####/addaddress.html
/data/media/####/addbank.html
/data/media/####/agent_codepay.html
/data/media/####/agreement.html
/data/media/####/alipaypc_ico.png
/data/media/####/animate.min.css
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/applogo.png
/data/media/####/article_show.html
/data/media/####/balance_checksms.html
/data/media/####/balance_ico.png
/data/media/####/balance_index.html
/data/media/####/barcode.html
/data/media/####/bawanggou_ico1.png
/data/media/####/bawanggou_ico2.png
/data/media/####/bawanggou_ico3.png
/data/media/####/bawanggou_ico4.png
/data/media/####/bawanggou_ico5.png
/data/media/####/bill.html
/data/media/####/bill_sub.html
/data/media/####/bwg_logo.png
/data/media/####/bwg_ts1.png
/data/media/####/bwg_ts2.png
/data/media/####/bwg_ts3.png
/data/media/####/bwg_ts4.png
/data/media/####/bwg_ts5.png
/data/media/####/carddetail.html
/data/media/####/cart.js
/data/media/####/carts.html
/data/media/####/chat.css
/data/media/####/checkUpdate.js
/data/media/####/city.data-3.js
/data/media/####/city.data.js
/data/media/####/codepay.html
/data/media/####/com.bawanggou.www.bin
/data/media/####/com.bawanggou.www.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/confirm_topbg.png
/data/media/####/cropper.html
/data/media/####/cropper.min.css
/data/media/####/cropper.min.js
/data/media/####/default_goods_img.png
/data/media/####/dt101551821145075.download
/data/media/####/dt81551821145009.download
/data/media/####/dt91551821145056.download
/data/media/####/eb_ico.png
/data/media/####/error.html
/data/media/####/ex1.png
/data/media/####/ex2.png
/data/media/####/ex3.png
/data/media/####/ex4.png
/data/media/####/feedback.css
/data/media/####/file__0.localstorage
/data/media/####/file__0.localstorage-journal
/data/media/####/font-awesome.min.css
/data/media/####/fontawesome-webfont.eot
/data/media/####/fontawesome-webfont.svg
/data/media/####/fontawesome-webfont.ttf
/data/media/####/fontawesome-webfont.woff
/data/media/####/fontawesome-webfont.woff2
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/goods.html
/data/media/####/goods.js
/data/media/####/goodsdetail.html
/data/media/####/goodsdetail.js
/data/media/####/headline_bg.png
/data/media/####/icon.png
/data/media/####/icons-extra.css
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/index_nav_ico1.png
/data/media/####/index_nav_ico2.png
/data/media/####/index_nav_ico3.png
/data/media/####/index_nav_ico4.png
/data/media/####/index_nav_ico5.png
/data/media/####/index_nav_ico6.png
/data/media/####/index_nav_ico7.png
/data/media/####/index_nav_ico8.png
/data/media/####/json2.js
/data/media/####/loader.css
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/logistics.html
/data/media/####/manageaddress.html
/data/media/####/manifest.json
/data/media/####/message.html
/data/media/####/message.js
/data/media/####/message_sub.html
/data/media/####/modifyaddress.html
/data/media/####/modifyloginpwd.html
/data/media/####/modifypaypwd.html
/data/media/####/modifysecurity.html
/data/media/####/modifyuserinfo.html
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.css
/data/media/####/mui.dtpicker.css
/data/media/####/mui.dtpicker.js
/data/media/####/mui.imageviewer.css
/data/media/####/mui.indexedlist.css
/data/media/####/mui.js
/data/media/####/mui.listpicker.css
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.all.css
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui.zoom.js
/data/media/####/mybank.html
/data/media/####/mypromotion.html
/data/media/####/nav_cart.png
/data/media/####/nav_cart_hover.png
/data/media/####/nav_gift.png
/data/media/####/nav_gift_hover.png
/data/media/####/order.html
/data/media/####/order.js
/data/media/####/order_detail.html
/data/media/####/own.css
/data/media/####/pay_codebg.png
/data/media/####/payment.html
/data/media/####/payment_interface.js
/data/media/####/paymentorder.js
/data/media/####/person.html
/data/media/####/person.js
/data/media/####/pluspayment.js
/data/media/####/profit_msg.html
/data/media/####/promotion_bg.png
/data/media/####/qr_code.png
/data/media/####/qr_code2.png
/data/media/####/qr_result.html
/data/media/####/recharge.html
/data/media/####/register.html
/data/media/####/repsd.html
/data/media/####/safetycheck.html
/data/media/####/saftycenter.html
/data/media/####/scanIco.png
/data/media/####/scroll_bg.png
/data/media/####/search.html
/data/media/####/selectaddress.html
/data/media/####/setting.css
/data/media/####/setting.html
/data/media/####/setting.js
/data/media/####/setting_copy.html
/data/media/####/sliderloading.png
/data/media/####/step_wait.gif
/data/media/####/storage.js
/data/media/####/submitorder.html
/data/media/####/success.html
/data/media/####/successulRegister.html
/data/media/####/system_msg.html
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/test.log
/data/media/####/tran_msg.html
/data/media/####/user.css
/data/media/####/user.jpg
/data/media/####/user_default_avatar.png
/data/media/####/user_groups_grade_1.png
/data/media/####/user_groups_grade_2.png
/data/media/####/user_groups_grade_3.png
/data/media/####/user_groups_grade_4.png
/data/media/####/user_groups_grade_5.png
/data/media/####/usercenter.html
/data/media/####/usercenter222.html
/data/media/####/usercenter_sub.html
/data/media/####/utils.css
/data/media/####/utils.js
/data/media/####/wallet.html
/data/media/####/wallet_bg.png
/data/media/####/wallet_sub.html
/data/media/####/weixin_ico.png
/data/media/####/weui.min2.css
/data/media/####/withdrawal.html
/data/media/####/wlLine.png
/data/media/####/wlLine_first.png
/data/media/####/wlLinecur.png
/data/media/####/wxpay_ico.png
/data/media/####/ye_ico.png
/data/media/####/yeepay_ico.png
/data/media/####/zfb_ico.png
/data/media/####/zgggyh.png
/data/media/####/zgyh_logo.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24723 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней