Adware.Gexin.10009

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) et2.wagbr####.g####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
we####.a####.com

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/clientid_igexin.xml
/data/data/####/com.futurefleet.ibm.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.imei.txt
/data/media/####/1-gray.png
/data/media/####/1.png
/data/media/####/1png.png
/data/media/####/1sle_png.png
/data/media/####/2.png
/data/media/####/20190311.log
/data/media/####/2png.png
/data/media/####/2sle_png.png
/data/media/####/3-gray.png
/data/media/####/3.png
/data/media/####/3png.png
/data/media/####/3sle_png.png
/data/media/####/4.png
/data/media/####/4png.png
/data/media/####/4sle_png.png
/data/media/####/5-121204193R0.gif
/data/media/####/5.png
/data/media/####/5png.png
/data/media/####/5sle_png.png
/data/media/####/6.png
/data/media/####/6png.png
/data/media/####/6sle_png.png
/data/media/####/7-1.png
/data/media/####/7-2.png
/data/media/####/7-3.png
/data/media/####/7-4.png
/data/media/####/7-5.png
/data/media/####/7-6.png
/data/media/####/7.png
/data/media/####/7png.png
/data/media/####/7sle_png.png
/data/media/####/AdEnable.dat
/data/media/####/Banner.png
/data/media/####/Commonaddress.png
/data/media/####/Dwccss.css
/data/media/####/Dwccss2.css
/data/media/####/Dwccss3.css
/data/media/####/Location.png
/data/media/####/LqCctz.css
/data/media/####/LshXldt.css
/data/media/####/LxyQysy.css
/data/media/####/MjhXgmm.css
/data/media/####/MjhZnx.css
/data/media/####/MonthTicketDetail.html
/data/media/####/OneTicketDetail.html
/data/media/####/README.md
/data/media/####/UserKnowledge.html
/data/media/####/YpCx.css
/data/media/####/YpWdsq.css
/data/media/####/aboutUs.css
/data/media/####/aboutUs.html
/data/media/####/aboutus.png
/data/media/####/activityCenter.css
/data/media/####/add.png
/data/media/####/address.css
/data/media/####/address.html
/data/media/####/address.png
/data/media/####/advice.png
/data/media/####/ali.png
/data/media/####/anniu_15.jpg
/data/media/####/anniu_15.png
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/application.css
/data/media/####/arrow_right.png
/data/media/####/atubiao1.png
/data/media/####/atubiao2.png
/data/media/####/atubiao3.png
/data/media/####/atubiao3plus.png
/data/media/####/atubiao4.png
/data/media/####/atubiao5.png
/data/media/####/atubiao6.png
/data/media/####/atubiao7.png
/data/media/####/atubiao8.png
/data/media/####/back.png
/data/media/####/background.png
/data/media/####/banxian1.png
/data/media/####/banxian2.png
/data/media/####/banxian3.png
/data/media/####/banxian4.png
/data/media/####/banxian5.png
/data/media/####/beijing_02.jpg
/data/media/####/bg.png
/data/media/####/bgLogo.png
/data/media/####/box1.png
/data/media/####/box2.png
/data/media/####/btn_back.png
/data/media/####/bus.png
/data/media/####/busgreen.png
/data/media/####/busicon.png
/data/media/####/buyMonthTicket.html
/data/media/####/buyOneTicket.html
/data/media/####/buyTicket.css
/data/media/####/buyTicket.png
/data/media/####/cancel-off.png
/data/media/####/cancel-on.png
/data/media/####/carOwnerCertification.html
/data/media/####/carRecords.css
/data/media/####/changban.png
/data/media/####/chaxun_19.jpg
/data/media/####/chengchejilu_03.png
/data/media/####/chengchejilu_07.png
/data/media/####/chengchejilu_11.png
/data/media/####/chengchema.png
/data/media/####/citys.js
/data/media/####/collectio.png
/data/media/####/collection.png
/data/media/####/collectionEmpty.png
/data/media/####/com.futurefleet.ibm.bin
/data/media/####/com.futurefleet.ibm.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/comment.html
/data/media/####/commentlist.html
/data/media/####/common.css
/data/media/####/common.js
/data/media/####/content_bg.png
/data/media/####/css.css
/data/media/####/css1.css
/data/media/####/daoban.png
/data/media/####/demand.css
/data/media/####/demo.css
/data/media/####/dingdang.png
/data/media/####/dingdang1.png
/data/media/####/eje3cnc
/data/media/####/endStop.png
/data/media/####/ercode.html
/data/media/####/erweima.png
/data/media/####/faceEntry.html
/data/media/####/facePay.html
/data/media/####/file__0.localstorage-journal
/data/media/####/finish.png
/data/media/####/fire.png
/data/media/####/font-awesome.css
/data/media/####/goupiao.png
/data/media/####/hezi_04.gif
/data/media/####/home_add.png
/data/media/####/honeySwitch.css
/data/media/####/honeySwitch.js
/data/media/####/hongyuan.png
/data/media/####/http.js
/data/media/####/huodong.png
/data/media/####/ic-number.png
/data/media/####/ic_begin.png
/data/media/####/ic_bus.png
/data/media/####/ic_chepai.png
/data/media/####/ic_collection.jpg
/data/media/####/ic_collection.png
/data/media/####/ic_collection0.png
/data/media/####/ic_collectionstr.png
/data/media/####/ic_collectionstr0.png
/data/media/####/ic_driver.png
/data/media/####/ic_end.png
/data/media/####/ic_line.png
/data/media/####/ic_location_btn.png
/data/media/####/ic_map.png
/data/media/####/ic_point.png
/data/media/####/ic_position.png
/data/media/####/ic_refresh.png
/data/media/####/ic_refreshstr.png
/data/media/####/ic_search.png
/data/media/####/ico_pic_14.jpg
/data/media/####/ico_pic_15.jpg
/data/media/####/ico_pic_26.jpg
/data/media/####/ico_pic_27.jpg
/data/media/####/icomoon.ttf
/data/media/####/icomoon1.ttf
/data/media/####/icon.png
/data/media/####/icon_bgMonth.png
/data/media/####/icon_bgOne.png
/data/media/####/icon_camera.png
/data/media/####/icon_check.png
/data/media/####/icon_checked.png
/data/media/####/icon_circle.png
/data/media/####/icon_closeGrey.png
/data/media/####/icon_dingdang.png
/data/media/####/icon_down.png
/data/media/####/icon_error.png
/data/media/####/icon_index1.png
/data/media/####/icon_indexNotice.png
/data/media/####/icon_leftright.png
/data/media/####/icon_location.png
/data/media/####/icon_lxkf.png
/data/media/####/icon_nocheck.png
/data/media/####/icon_peopleFace.png
/data/media/####/icon_peopleGreen.png
/data/media/####/icon_pepole.png
/data/media/####/icon_return.png
/data/media/####/icon_right-grey.png
/data/media/####/icon_right.png
/data/media/####/icon_rightGreen.png
/data/media/####/icon_station.png
/data/media/####/icon_stationChecked.png
/data/media/####/icon_stationList.png
/data/media/####/icon_stop.png
/data/media/####/icon_success.png
/data/media/####/icon_top.png
/data/media/####/icons_mobiscroll.eot
/data/media/####/icons_mobiscroll.svg
/data/media/####/icons_mobiscroll.ttf
/data/media/####/icons_mobiscroll.woff
/data/media/####/id_login.png
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/intro.js
/data/media/####/jiantou_05.jpg
/data/media/####/jquery-3.1.1.min.js
/data/media/####/jquery-3.2.1.js
/data/media/####/jquery-dateFormat.js
/data/media/####/jquery.json.min.js
/data/media/####/jquery.md5.js
/data/media/####/jquery.min.js
/data/media/####/jquery.mloading.css
/data/media/####/jquery.mloading.js
/data/media/####/jquery.panda.http.js
/data/media/####/jquery.panda.http.min.js
/data/media/####/jquery.qrcode.js
/data/media/####/jquery.raty.1.js
/data/media/####/jquery.raty.js
/data/media/####/jquery.raty.min.js
/data/media/####/jquery.toast.css
/data/media/####/jquery.toast.js
/data/media/####/layout.png
/data/media/####/line_add.png
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/logo.png
/data/media/####/luxiananniu.png
/data/media/####/lvyuan.png
/data/media/####/manifest.json
/data/media/####/mescroll-option.css
/data/media/####/mescroll-option.js
/data/media/####/mescroll.m.js
/data/media/####/mescroll.min.css
/data/media/####/mescroll.min.js
/data/media/####/message.css
/data/media/####/message.html
/data/media/####/mimachongzhitu_05.jpg
/data/media/####/mobiscroll.custom-3.0.0-beta6.min.css
/data/media/####/mobiscroll.custom-3.0.0-beta6.min.js
/data/media/####/mobiscroll.javascript.js
/data/media/####/mobiscroll.javascript.min.css
/data/media/####/more.png
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.button.js
/data/media/####/mui.css
/data/media/####/mui.indexedlist.css
/data/media/####/mui.indexedlist.js
/data/media/####/mui.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui1.css
/data/media/####/myCollection.css
/data/media/####/myOrders.html
/data/media/####/myTicket.css
/data/media/####/myapply.png
/data/media/####/myjs1.js
/data/media/####/myline.png
/data/media/####/new.png
/data/media/####/newStopEmpty.png
/data/media/####/new_demand.css
/data/media/####/noRoutes.png
/data/media/####/noSearch.png
/data/media/####/noThing.png
/data/media/####/nochuxing.png
/data/media/####/noguoqi.png
/data/media/####/noquxiao.png
/data/media/####/normalize.css
/data/media/####/oppo.png
/data/media/####/oppoBus.png
/data/media/####/oppo_endStop.png
/data/media/####/oppo_icon.png
/data/media/####/oppo_upStop.png
/data/media/####/oppo_view.png
/data/media/####/oppo_walking.png
/data/media/####/pandalogo.png
/data/media/####/panorama.css
/data/media/####/panorama.html
/data/media/####/password_login.png
/data/media/####/payResult.html
/data/media/####/perImg.png
/data/media/####/perImg_s.png
/data/media/####/persenbg.png
/data/media/####/personal.css
/data/media/####/personal_header_bg.jpg
/data/media/####/phone.jpg
/data/media/####/popup.png
/data/media/####/portrait.png
/data/media/####/profle.png
/data/media/####/push_lyh.js
/data/media/####/pwd.jpg
/data/media/####/pygments.css
/data/media/####/qiyepic1.png
/data/media/####/qiyexuanze1.png
/data/media/####/qiyexuanze2.png
/data/media/####/qiyexuanzebeijing_02.jpg
/data/media/####/qrcode.js
/data/media/####/requestbus.css
/data/media/####/requestbusM.css
/data/media/####/retreatKnowledge.html
/data/media/####/returnIndex.png
/data/media/####/right_06.jpg
/data/media/####/right_grey.png
/data/media/####/round_Bus.png
/data/media/####/routeNumber.png
/data/media/####/routeline.css
/data/media/####/routeline.html
/data/media/####/routemap.html
/data/media/####/routesEmpty.png
/data/media/####/samsungLogo_01.jpg
/data/media/####/samsungLogo_02.jpg
/data/media/####/samsungLogo_03.jpg
/data/media/####/samsungLogo_03.png
/data/media/####/search.png
/data/media/####/searchresult.css
/data/media/####/seateNo.png
/data/media/####/seeTicket.png
/data/media/####/selectCalender.html
/data/media/####/selectPoi.css
/data/media/####/selectRoutes.html
/data/media/####/selectStartAndEndPoi.css
/data/media/####/set.png
/data/media/####/shaixuan.png
/data/media/####/shenqing_08.jpg
/data/media/####/shenqing_08.png
/data/media/####/shenqing_9.jpg
/data/media/####/shiftDetail.css
/data/media/####/shoucang_03.png
/data/media/####/shoucang_05.png
/data/media/####/shuaka.png
/data/media/####/sousuo_tu.png
/data/media/####/sousuolan.png
/data/media/####/star-half.png
/data/media/####/star-off.png
/data/media/####/star-on.png
/data/media/####/start.png
/data/media/####/stationList.html
/data/media/####/station_add.png
/data/media/####/store.legacy.min.js
/data/media/####/sweetalert.css
/data/media/####/sweetalert.min.js
/data/media/####/swiper-4.3.5.min.css
/data/media/####/swiper-4.3.5.min.js
/data/media/####/swiper.css
/data/media/####/swiper.jquery.min.js
/data/media/####/swiper.js
/data/media/####/swiper.min.css
/data/media/####/swiper.min.js
/data/media/####/sy_ccm.png
/data/media/####/sy_list_tu.png
/data/media/####/sy_list_tu_24.jpg
/data/media/####/sy_list_tu_25.jpg
/data/media/####/sy_list_tu_26.jpg
/data/media/####/sy_list_tu_26.png
/data/media/####/sy_list_tu_27.jpg
/data/media/####/sy_sq_nei_41.jpg
/data/media/####/sy_sq_title.png
/data/media/####/sy_sq_xtu_41.jpg
/data/media/####/t_end.png
/data/media/####/t_numberofpeople.png
/data/media/####/t_phone.png
/data/media/####/t_start.png
/data/media/####/t_time.png
/data/media/####/tanhao.jpg
/data/media/####/test.js
/data/media/####/test.log
/data/media/####/the_road.png
/data/media/####/ticketEmpty.png
/data/media/####/ticketMap.html
/data/media/####/ticketPrice.html
/data/media/####/time.png
/data/media/####/time0.png
/data/media/####/timg.jpg
/data/media/####/timgfa.jpg
/data/media/####/title_back.png
/data/media/####/touxiang.png
/data/media/####/tu2_16.jpg
/data/media/####/tu3_20.jpg
/data/media/####/tu_08.jpg
/data/media/####/u=2465579895,3483989560&fm=26&gp=0.jpg
/data/media/####/u=3373325099,2779694934&fm=26&gp=0.jpg
/data/media/####/upEnd.png
/data/media/####/upStop.png
/data/media/####/upStop_search.png
/data/media/####/vconsole.min.js
/data/media/####/view.png
/data/media/####/vue.min.js
/data/media/####/wQypjlb.css
/data/media/####/walking.png
/data/media/####/wcss.css
/data/media/####/window_bg.png
/data/media/####/window_close.jpg
/data/media/####/wujieguo.png
/data/media/####/wujieguo1.png
/data/media/####/wx.png
/data/media/####/xinfeng.png
/data/media/####/xiongmao_07.jpg
/data/media/####/xuanze2_05.jpg
/data/media/####/xuanze_24_25.jpg
/data/media/####/xxpingjia.css

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24918 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24918 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней