Adware.Gexin.10292

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(SSL/3.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/--goodsdetail.html
/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/1024x1024.png
/data/data/####/256.png
/data/data/####/IMG_3838.png
/data/data/####/IMG_3839.png
/data/data/####/README.md
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/account.html
/data/data/####/activity.html
/data/data/####/activity7.html
/data/data/####/activity8.html
/data/data/####/activity9.html
/data/data/####/activity_list.html
/data/data/####/activitygoodsdetail.html
/data/data/####/activitygoodslist.html
/data/data/####/activityupcoming.html
/data/data/####/activityupcoming_list.html
/data/data/####/add-bj.png
/data/data/####/add.png
/data/data/####/addBank.html
/data/data/####/addBlue.png
/data/data/####/address.html
/data/data/####/address_add.html
/data/data/####/advImg.png
/data/data/####/agreement.html
/data/data/####/anImg.png
/data/data/####/anImg2.png
/data/data/####/analyze.html
/data/data/####/anquan.png
/data/data/####/app.js
/data/data/####/appendrate.html
/data/data/####/apply.html
/data/data/####/applyRecord.html
/data/data/####/area_operate.html
/data/data/####/arrowFFF.png
/data/data/####/artical.html
/data/data/####/artical_list.html
/data/data/####/articalcategory.html
/data/data/####/articaldetail.html
/data/data/####/authStatus_com.company.letao.xml
/data/data/####/bankList.html
/data/data/####/bank_bj.png
/data/data/####/bank_gd.png
/data/data/####/bank_gs.png
/data/data/####/bank_hx.png
/data/data/####/bank_js.png
/data/data/####/bank_jt.png
/data/data/####/bank_ms.png
/data/data/####/bank_ny.png
/data/data/####/bank_pu.png
/data/data/####/bank_xy.png
/data/data/####/bank_yz.png
/data/data/####/bank_zg.png
/data/data/####/bank_zs.png
/data/data/####/bank_zx.png
/data/data/####/banner.jpg
/data/data/####/banner02.jpg
/data/data/####/barcode_scan.html
/data/data/####/bind.html
/data/data/####/bind01.html
/data/data/####/bindphone.html
/data/data/####/bindunid.html
/data/data/####/bindyk.html
/data/data/####/business.html
/data/data/####/caifu.png
/data/data/####/caifuma.html
/data/data/####/canceled.html
/data/data/####/canceled_list.html
/data/data/####/canceleddetail.html
/data/data/####/car_null.jpg
/data/data/####/cart.html
/data/data/####/cartDH.png
/data/data/####/cartSC.png
/data/data/####/cashRecord.html
/data/data/####/category.html
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cfIcon0.png
/data/data/####/cfIcon1.png
/data/data/####/cfIcon2.png
/data/data/####/cfgj01.jpg
/data/data/####/cfgj02.jpg
/data/data/####/cfgj03.jpg
/data/data/####/cfgj04.jpg
/data/data/####/cfgj05.jpg
/data/data/####/cfgj06.jpg
/data/data/####/cfgj_foot.jpg
/data/data/####/cfgj_tt.jpg
/data/data/####/cfm01.jpg
/data/data/####/cfm02.jpg
/data/data/####/cfm03.jpg
/data/data/####/cfm04.jpg
/data/data/####/cfm05.jpg
/data/data/####/cfm06.jpg
/data/data/####/cfm_foot.jpg
/data/data/####/cfm_tt.jpg
/data/data/####/chainChildShopApply.html
/data/data/####/chainHeadShopApply.html
/data/data/####/changePass.html
/data/data/####/changing1.html
/data/data/####/changing2.html
/data/data/####/changing3.html
/data/data/####/changing4.html
/data/data/####/changing5.html
/data/data/####/changing6.html
/data/data/####/changing7.html
/data/data/####/chart.min.js
/data/data/####/checkArea.html
/data/data/####/checkout.html
/data/data/####/checkpassword.html
/data/data/####/checkpaypassword.html
/data/data/####/checkusername.html
/data/data/####/class001.png
/data/data/####/class002.png
/data/data/####/class003.png
/data/data/####/class01.png
/data/data/####/class02.png
/data/data/####/class03.png
/data/data/####/class04.png
/data/data/####/class05.png
/data/data/####/class06.png
/data/data/####/clientid_igexin.xml
/data/data/####/code.html
/data/data/####/code.png
/data/data/####/codeNum.html
/data/data/####/code_foot.jpg
/data/data/####/codes.jpg
/data/data/####/codes1.jpg
/data/data/####/codet.png
/data/data/####/collect.html
/data/data/####/com.company.letao.xml
/data/data/####/company.html
/data/data/####/company_code.jpg
/data/data/####/company_head.jpg
/data/data/####/complaint.html
/data/data/####/complaint_list.html
/data/data/####/complaintclose.html
/data/data/####/complaintdetail.html
/data/data/####/complaintform.html
/data/data/####/config.js
/data/data/####/connection.html
/data/data/####/coupon.html
/data/data/####/coupon_list.html
/data/data/####/custom.html
/data/data/####/custom_discount.html
/data/data/####/custom_hd.html
/data/data/####/custom_kd.html
/data/data/####/custom_new.html
/data/data/####/custom_treasure.html
/data/data/####/d2049a4b0439
/data/data/####/dc_ad_type_key.xml
/data/data/####/dd_bg.png
/data/data/####/det_img01.jpg
/data/data/####/det_img02.jpg
/data/data/####/detail.html
/data/data/####/dianpuImg.png
/data/data/####/dpImg.png
/data/data/####/dpsc.png
/data/data/####/eje3cnc
/data/data/####/error.html
/data/data/####/evaList.html
/data/data/####/evaSuccess.html
/data/data/####/evaluate.html
/data/data/####/evaluation.html
/data/data/####/evaluation_list.html
/data/data/####/explain.html
/data/data/####/explain_head.jpg
/data/data/####/favorite.html
/data/data/####/favorite_goods_list.html
/data/data/####/favorite_shop_list.html
/data/data/####/feedback.css
/data/data/####/fgs_01.jpg
/data/data/####/fgs_02.jpg
/data/data/####/fgs_03.jpg
/data/data/####/fgs_04.jpg
/data/data/####/fgs_05.jpg
/data/data/####/fgs_06.jpg
/data/data/####/fgs_foot.jpg
/data/data/####/fgs_tt.jpg
/data/data/####/fixed_car.png
/data/data/####/footer_bg.png
/data/data/####/gdaemon_20161017
/data/data/####/gender.html
/data/data/####/getui_sp.xml
/data/data/####/good01.jpg
/data/data/####/good02.jpg
/data/data/####/good03.jpg
/data/data/####/goodConsult.html
/data/data/####/good_banner.jpg
/data/data/####/goods.html
/data/data/####/goods_aside.html
/data/data/####/goods_list.html
/data/data/####/goodsdetail.html
/data/data/####/goodsdetaildes.html
/data/data/####/gsxt.jpg
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/h5.html
/data/data/####/help.html
/data/data/####/help1.html
/data/data/####/help1.jpg
/data/data/####/help3.html
/data/data/####/help3.jpg
/data/data/####/hos_banner.jpg
/data/data/####/hos_mm.png
/data/data/####/hot_fb.jpg
/data/data/####/hot_fm.jpg
/data/data/####/housekeeper.html
/data/data/####/html2canvas.js
/data/data/####/html5Geo.xml
/data/data/####/huiStar.png
/data/data/####/icon_aq.png
/data/data/####/icon_b_cai.png
/data/data/####/icon_b_cai1.png
/data/data/####/icon_b_del.png
/data/data/####/icon_b_money.png
/data/data/####/icon_bcfq.png
/data/data/####/icon_bj.png
/data/data/####/icon_dd.png
/data/data/####/icon_del.png
/data/data/####/icon_det_cat.png
/data/data/####/icon_det_share.png
/data/data/####/icon_explain.png
/data/data/####/icon_foot_car.png
/data/data/####/icon_foot_car_.png
/data/data/####/icon_foot_home.png
/data/data/####/icon_foot_local.png
/data/data/####/icon_foot_local_.png
/data/data/####/icon_foot_my.png
/data/data/####/icon_foot_share.png
/data/data/####/icon_fx.png
/data/data/####/icon_guide.png
/data/data/####/icon_hg.png
/data/data/####/icon_hg02.png
/data/data/####/icon_kf.png
/data/data/####/icon_like.png
/data/data/####/icon_listx.png
/data/data/####/icon_listy.png
/data/data/####/icon_mx.png
/data/data/####/icon_phone.png
/data/data/####/icon_psw.png
/data/data/####/icon_qb.png
/data/data/####/icon_qq.png
/data/data/####/icon_rm.png
/data/data/####/icon_rz.png
/data/data/####/icon_sao.png
/data/data/####/icon_sc.png
/data/data/####/icon_search.png
/data/data/####/icon_sj.png
/data/data/####/icon_sm.png
/data/data/####/icon_sz.png
/data/data/####/icon_tag_bg.png
/data/data/####/icon_top.png
/data/data/####/icon_tx.png
/data/data/####/icon_up.png
/data/data/####/icon_upimg.jpg
/data/data/####/icon_wx.png
/data/data/####/icon_zfb.png
/data/data/####/iconfonts.eot
/data/data/####/iconfonts.svg
/data/data/####/iconfonts.ttf
/data/data/####/iconfonts.woff
/data/data/####/idAttestation.html
/data/data/####/idBase.html
/data/data/####/id_icon01.png
/data/data/####/id_icon02.png
/data/data/####/id_icon03.png
/data/data/####/id_icon04.png
/data/data/####/id_icon05.png
/data/data/####/id_icon06.png
/data/data/####/id_icon07.png
/data/data/####/id_icon08.png
/data/data/####/id_icon09.png
/data/data/####/id_icon10.png
/data/data/####/id_icon11.png
/data/data/####/id_icon12.png
/data/data/####/idapply.html
/data/data/####/identity.html
/data/data/####/immersed.js
/data/data/####/income.html
/data/data/####/index.html
/data/data/####/index_goods.jpg
/data/data/####/info_icon.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/integral.html
/data/data/####/integral_list.html
/data/data/####/jinStar.png
/data/data/####/jxsj_tt_03.png
/data/data/####/kf.svg
/data/data/####/kfWindow.html
/data/data/####/libcuid.so
/data/data/####/libjiagu288988405.so
/data/data/####/login---.html
/data/data/####/login.html
/data/data/####/login01.html
/data/data/####/loginImg.png
/data/data/####/loginLogo.png
/data/data/####/logistics.html
/data/data/####/logon_.png
/data/data/####/logpassword.html
/data/data/####/logpasswordset.html
/data/data/####/mahead.jpg
/data/data/####/mahead1.jpg
/data/data/####/mahead2.jpg
/data/data/####/manifest.json
/data/data/####/mei.png
/data/data/####/meinfo.png
/data/data/####/memIcon1.png
/data/data/####/memIcon10.png
/data/data/####/memIcon11.png
/data/data/####/memIcon12.png
/data/data/####/memIcon13.png
/data/data/####/memIcon14.png
/data/data/####/memIcon15.png
/data/data/####/memIcon16.png
/data/data/####/memIcon17.png
/data/data/####/memIcon18.png
/data/data/####/memIcon19.png
/data/data/####/memIcon2.png
/data/data/####/memIcon20.png
/data/data/####/memIcon3.png
/data/data/####/memIcon33.png
/data/data/####/memIcon4.png
/data/data/####/memIcon5.png
/data/data/####/memIcon6.png
/data/data/####/memIcon7.png
/data/data/####/memIcon8.png
/data/data/####/memIcon9.png
/data/data/####/member.html
/data/data/####/memberBg.png
/data/data/####/merBanner.png
/data/data/####/merTel.png
/data/data/####/merTime.png
/data/data/####/merchant.html
/data/data/####/merchantAdmin.html
/data/data/####/merchantCP.html
/data/data/####/merchantInfo.html
/data/data/####/merchantPC.html
/data/data/####/merchantType.html
/data/data/####/mima.png
/data/data/####/mima2.png
/data/data/####/mima3.png
/data/data/####/mini_code.png
/data/data/####/mipush.js
/data/data/####/money.png
/data/data/####/more.png
/data/data/####/more2.png
/data/data/####/mt_cp.jpg
/data/data/####/mt_pc.jpg
/data/data/####/mui.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/myConsult.html
/data/data/####/myRecommend.html
/data/data/####/nav01.png
/data/data/####/nav02.png
/data/data/####/nav03.png
/data/data/####/nav04.png
/data/data/####/nav05.png
/data/data/####/nav_01.png
/data/data/####/nav_02.png
/data/data/####/nav_03.png
/data/data/####/nearby.html
/data/data/####/nearby01.jpg
/data/data/####/nearby02.jpg
/data/data/####/nearby03.jpg
/data/data/####/nearbyList.html
/data/data/####/nearbySearch.html
/data/data/####/nearbyShopList.html
/data/data/####/nearby_userinfo.html
/data/data/####/new01.jpg
/data/data/####/new02.jpg
/data/data/####/new03.jpg
/data/data/####/new04.jpg
/data/data/####/new05.jpg
/data/data/####/new925.css
/data/data/####/new_01.png
/data/data/####/new_02.png
/data/data/####/new_03.png
/data/data/####/new_04.png
/data/data/####/new_admin_bg.png
/data/data/####/new_icon01.png
/data/data/####/nickname.html
/data/data/####/nobind.html
/data/data/####/offLine.html
/data/data/####/oldpaypassword.html
/data/data/####/onLine.html
/data/data/####/opaque.png
/data/data/####/operate.html
/data/data/####/order.html
/data/data/####/ordinary_business.html
/data/data/####/packages.html
/data/data/####/page.html
/data/data/####/partner.html
/data/data/####/payOk.svg
/data/data/####/paySuccess.html
/data/data/####/pay_vx.png
/data/data/####/pay_zfb.png
/data/data/####/paycode_user_add.html
/data/data/####/paycode_userlist.html
/data/data/####/payment.html
/data/data/####/paymentsuccess.html
/data/data/####/paypassword.html
/data/data/####/paypasswordfind.html
/data/data/####/paypasswordmodify.html
/data/data/####/paypasswordset.html
/data/data/####/pdr.xml
/data/data/####/personal.html
/data/data/####/phone.png
/data/data/####/phone2.png
/data/data/####/promotion.html
/data/data/####/promotion_list.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.min.js
/data/data/####/quickcart.html
/data/data/####/rate.html
/data/data/####/rate_list.html
/data/data/####/re01.jpg
/data/data/####/re02.jpg
/data/data/####/recReg.html
/data/data/####/redpackets.html
/data/data/####/redpackets_list.html
/data/data/####/register.html
/data/data/####/registersuccess.html
/data/data/####/reimburSement.html
/data/data/####/remind.html
/data/data/####/resetpassword.html
/data/data/####/returns.html
/data/data/####/returns_list.html
/data/data/####/returnsform.html
/data/data/####/returnslogisticsform.html
/data/data/####/rmIcon.png
/data/data/####/rmImg1.png
/data/data/####/rmImg2.png
/data/data/####/rmImg3.png
/data/data/####/run.css
/data/data/####/run.pid
/data/data/####/runDui.png
/data/data/####/runHome.html
/data/data/####/runUp.png
/data/data/####/run_code.jpg
/data/data/####/run_head.jpg
/data/data/####/rzImg.png
/data/data/####/safe.html
/data/data/####/saoGuide.html
/data/data/####/sao_01.jpg
/data/data/####/sao_02.jpg
/data/data/####/sao_foot.jpg
/data/data/####/sao_head.jpg
/data/data/####/search.html
/data/data/####/searsh.html
/data/data/####/security.html
/data/data/####/selectAdd.html
/data/data/####/selectBank.html
/data/data/####/service_provider.html
/data/data/####/setting.html
/data/data/####/share.js
/data/data/####/share.svg
/data/data/####/share_bg.jpg
/data/data/####/shop.html
/data/data/####/shopPrivate.html
/data/data/####/shopPublic.html
/data/data/####/shopcoupon.html
/data/data/####/shopcoupon_list.html
/data/data/####/shopgoods.html
/data/data/####/shopgoods_aside.html
/data/data/####/shopgoods_list.html
/data/data/####/shopinfo.html
/data/data/####/signin.html
/data/data/####/son_bg.jpg
/data/data/####/son_code.jpg
/data/data/####/start.html
/data/data/####/start.svg
/data/data/####/steward.html
/data/data/####/steward_code.jpg
/data/data/####/steward_head.jpg
/data/data/####/storeBanner.png
/data/data/####/storeDetails.html
/data/data/####/storePay.html
/data/data/####/storeSet.html
/data/data/####/store_code.jpg
/data/data/####/store_head.jpg
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/swimg01.png
/data/data/####/swimg02.png
/data/data/####/swiper.jquery.min.js
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/template.min.js
/data/data/####/test_app
/data/data/####/trade.html
/data/data/####/tradecancel.html
/data/data/####/tradedetail.html
/data/data/####/traderate.html
/data/data/####/tupian.png
/data/data/####/umeng_general_config.xml
/data/data/####/unlg.jpg
/data/data/####/unwx.jpg
/data/data/####/up_dfimg.png
/data/data/####/useProtocol.html
/data/data/####/useagreement.html
/data/data/####/userinfo.html
/data/data/####/username.html
/data/data/####/verificationsms.html
/data/data/####/viewbind.html
/data/data/####/vm01.jpg
/data/data/####/vm02.jpg
/data/data/####/vm03.jpg
/data/data/####/vm04.jpg
/data/data/####/voucher.html
/data/data/####/voucher_list.html
/data/data/####/wallet.html
/data/data/####/wap.css
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/widgets.css
/data/data/####/worthExplain.png
/data/data/####/wx.png
/data/data/####/wxLogin.html
/data/data/####/wxzf.png
/data/data/####/xyyh.png
/data/data/####/yifu.png
/data/data/####/yyzx01.jpg
/data/data/####/yyzx02.jpg
/data/data/####/yyzx03.jpg
/data/data/####/yyzx04.jpg
/data/data/####/yyzx05.jpg
/data/data/####/yyzx06.jpg
/data/data/####/yyzx_foot.jpg
/data/data/####/yyzx_tt.jpg
/data/data/####/yzm.png
/data/data/####/zepto.js
/data/data/####/zfb.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.company.letao.bin
/data/media/####/com.company.letao.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24703 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24703 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu288988405

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней