Adware.Gexin.10300

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) api.51dat####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
amap####.cn-hang####.oss####.####.com
api.51dat####.com
api.yizua####.cn
c####.g####.ig####.com
c-h####.g####.com
l####.tbs.qq.com
pub-####.qin####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
st####.dc####.net.cn

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_SBh025
t####.c####.q####.####.com/tdata_ZKm258
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.buildPropertiesMD5.data
/data/data/####/.jg.ic
/data/data/####/1.png
/data/data/####/100m.png
/data/data/####/10rmb.png
/data/data/####/200m.png
/data/data/####/2rmb.png
/data/data/####/423637981416480183.png
/data/data/####/50m.png
/data/data/####/50rmb.png
/data/data/####/5ad81d401cc7
/data/data/####/Android-1.png
/data/data/####/Android-2.png
/data/data/####/Android-3.png
/data/data/####/Android-4.png
/data/data/####/BillFiftyrmb.png
/data/data/####/Billtenrmb.png
/data/data/####/Billtwormb.png
/data/data/####/Bitmap.png
/data/data/####/Customer.png
/data/data/####/DINCond-Bold.otf
/data/data/####/DINCondensed-bold.ttf
/data/data/####/Diamonds.png
/data/data/####/H5D91FAD6.xml
/data/data/####/H5D91FAD6_storages.xml
/data/data/####/MultiDex.lock
/data/data/####/P_banner.png
/data/data/####/_mm.js
/data/data/####/aboutus_logo.png
/data/data/####/active.png
/data/data/####/address.png
/data/data/####/admask.html
/data/data/####/ajax_jquery.js
/data/data/####/ajax_mui.js
/data/data/####/andriod_shopping.html
/data/data/####/andriod_shoppingmain.html
/data/data/####/anniu.png
/data/data/####/baoxian.png
/data/data/####/bj.png
/data/data/####/bkred.png
/data/data/####/business.css
/data/data/####/business.html
/data/data/####/business.js
/data/data/####/bxfalse.png
/data/data/####/bxtrue.png
/data/data/####/calendar.png
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/changf.jpg
/data/data/####/channel.css
/data/data/####/channel.html
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/closebtn.png
/data/data/####/color_d.png
/data/data/####/common.js
/data/data/####/common_activity.html
/data/data/####/common_admaskjump.html
/data/data/####/common_jump.html
/data/data/####/confirm.html
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/diamondDetail_main.html
/data/data/####/diamond_shop.html
/data/data/####/diamond_shop_main.html
/data/data/####/discover.css
/data/data/####/discover.html
/data/data/####/discover_main.html
/data/data/####/ditu.png
/data/data/####/dw.png
/data/data/####/dwend.png
/data/data/####/emptyBanner.png
/data/data/####/emptyOrder.png
/data/data/####/empty_img22.png
/data/data/####/empty_img64.png
/data/data/####/eq.js
/data/data/####/error.html
/data/data/####/fivehundred.png
/data/data/####/flexible.debug.js
/data/data/####/flexible_css.debug.js
/data/data/####/flowOnehundred.png
/data/data/####/flowThirty.png
/data/data/####/foot.png
/data/data/####/fql.jpg
/data/data/####/fql.png
/data/data/####/g.css
/data/data/####/g.js
/data/data/####/g_h5.js
/data/data/####/game.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gooddetilebanner.png
/data/data/####/guafen.png
/data/data/####/guide.html
/data/data/####/guide_dialog1.png
/data/data/####/guide_dialog2.png
/data/data/####/guide_dialog3.png
/data/data/####/guide_inviteNo.png
/data/data/####/gx_sp.xml
/data/data/####/hd.png
/data/data/####/head1_big.png
/data/data/####/head1_small.png
/data/data/####/head2_big.png
/data/data/####/head2_small.png
/data/data/####/head3_big.png
/data/data/####/head3_small.png
/data/data/####/head4_big.png
/data/data/####/head4_small.png
/data/data/####/head5_big.png
/data/data/####/head5_small.png
/data/data/####/head6_big.png
/data/data/####/head6_small.png
/data/data/####/head7_big.png
/data/data/####/head7_small.png
/data/data/####/head8_big.png
/data/data/####/head8_small.png
/data/data/####/headimg.png
/data/data/####/headimg2.png
/data/data/####/headimg3.png
/data/data/####/headimg4.png
/data/data/####/headimg5.png
/data/data/####/headimg6.png
/data/data/####/headimg7.png
/data/data/####/headimg8.png
/data/data/####/heard.png
/data/data/####/heardfalse.png
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/home.css
/data/data/####/home.html
/data/data/####/home.png
/data/data/####/homeBanner.png
/data/data/####/homeG.png
/data/data/####/home_main.html
/data/data/####/hot.png
/data/data/####/hots.png
/data/data/####/house.png
/data/data/####/html5Geo.xml
/data/data/####/iOS-1.png
/data/data/####/iOS-2.png
/data/data/####/iOS-3.png
/data/data/####/iOS-4.png
/data/data/####/iconfont.css
/data/data/####/iconfont.eot
/data/data/####/iconfont.js
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/integral.html
/data/data/####/ios_account.html
/data/data/####/ios_account_detail.html
/data/data/####/ios_account_one.html
/data/data/####/ios_admask.html
/data/data/####/ios_common_admaskjump.html
/data/data/####/ios_g.js
/data/data/####/ios_guide.html
/data/data/####/ios_index.html
/data/data/####/ios_main.html
/data/data/####/ios_shopping.html
/data/data/####/ios_shoppingmain.html
/data/data/####/jb.png
/data/data/####/jd.png
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jquery.min.js
/data/data/####/kuang.png
/data/data/####/last.jpg
/data/data/####/libjiagu2079727365.so
/data/data/####/link.png
/data/data/####/ll.png
/data/data/####/ll01.png
/data/data/####/ll02.png
/data/data/####/ll3.png
/data/data/####/load.png
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/login.html
/data/data/####/loginF.png
/data/data/####/login_forgetpsw.html
/data/data/####/login_forgetpsw2.html
/data/data/####/login_register.html
/data/data/####/login_sms.html
/data/data/####/logo.png
/data/data/####/main.html
/data/data/####/man.png
/data/data/####/manifest.json
/data/data/####/mls.png
/data/data/####/mm.png
/data/data/####/mohubg.jpg
/data/data/####/month.png
/data/data/####/msg.png
/data/data/####/mui.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/multidex.version.xml
/data/data/####/mx.png
/data/data/####/network_failure.html
/data/data/####/news.png
/data/data/####/noData.png
/data/data/####/notice.png
/data/data/####/ofenquestion.png
/data/data/####/off.png
/data/data/####/order.jpg
/data/data/####/order_add.jpg
/data/data/####/org.png
/data/data/####/outlink.html
/data/data/####/pay.html
/data/data/####/pay_address_addnew.html
/data/data/####/pay_confirm_order.html
/data/data/####/pay_failed.html
/data/data/####/pay_failure.png
/data/data/####/pay_goodsDetail.js
/data/data/####/pay_goodsdetile.html
/data/data/####/pay_order_management.html
/data/data/####/pay_order_myorder.html
/data/data/####/pay_order_myorder_main.html
/data/data/####/pay_success.html
/data/data/####/pay_success.png
/data/data/####/pay_waiting.html
/data/data/####/pay_ybdauditfailed.html
/data/data/####/pay_ybdauditsuccess.html
/data/data/####/pay_ybdcreditback.html
/data/data/####/pdr.xml
/data/data/####/pengyq.png
/data/data/####/personalcenter.html
/data/data/####/personalcenter_aboutus.html
/data/data/####/personalcenter_agreement.html
/data/data/####/personalcenter_changePassword.html
/data/data/####/personalcenter_changepassword2.html
/data/data/####/personalcenter_diamondsDetail.html
/data/data/####/personalcenter_diamondsDetail2.html
/data/data/####/personalcenter_diamondsDetail3.html
/data/data/####/personalcenter_introduce.html
/data/data/####/personalcenter_notice.html
/data/data/####/personalcenter_qa.html
/data/data/####/personalcenter_relation.html
/data/data/####/personalcenter_safe.html
/data/data/####/personalcenter_service.html
/data/data/####/personalcenter_setting.html
/data/data/####/pho_fql.jpg
/data/data/####/phone.jpg
/data/data/####/pluginybdsdk.js
/data/data/####/pre_diamons.png
/data/data/####/pref.xml
/data/data/####/profit_img.png
/data/data/####/pull-down.png
/data/data/####/pull.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qd_banner.png
/data/data/####/qdsz.png
/data/data/####/question.png
/data/data/####/radiu.png.png
/data/data/####/radius.png
/data/data/####/run.pid
/data/data/####/saoma.png
/data/data/####/schoolback.png
/data/data/####/shangpinbg.png
/data/data/####/share.html
/data/data/####/shares.js
/data/data/####/sj.png
/data/data/####/sjp.png
/data/data/####/slider_mui.css
/data/data/####/somebtn.png
/data/data/####/sp_ban.png
/data/data/####/start.html
/data/data/####/stream_permission.xml
/data/data/####/tb.png
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_SBh025
/data/data/####/tdata_SBh025.jar
/data/data/####/tdata_ZKm258
/data/data/####/tdata_ZKm258.jar
/data/data/####/tempfile
/data/data/####/test.html
/data/data/####/testmsg.html
/data/data/####/tetx2.html
/data/data/####/time.png
/data/data/####/tr.png
/data/data/####/trues_img.png
/data/data/####/ty.png
/data/data/####/ty_gray.png
/data/data/####/umeng_general_config.xml
/data/data/####/underscore-min.js
/data/data/####/updatabox.png
/data/data/####/updatanowbtn.png
/data/data/####/use_img.png
/data/data/####/water.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/wl.png
/data/data/####/wuman.png
/data/data/####/xiaotu.png
/data/data/####/yibaodai.html
/data/data/####/yibaodai.png
/data/data/####/yibaodai_billdetails.html
/data/data/####/yibaodai_details.html
/data/data/####/yibaodai_failed.html
/data/data/####/yibaodai_paymentdetails.html
/data/data/####/yibaodai_paymenthistory.html
/data/data/####/yibaodai_repayment.html
/data/data/####/yibaodai_sucess.html
/data/data/####/yibaodaihuankuan.png
/data/data/####/yihuankuanjilu.png
/data/data/####/yizhifumima.png
/data/data/####/yuan.png
/data/data/####/yz-gold2.png
/data/data/####/yz-light.png
/data/data/####/yzm.png
/data/data/####/zhifubao.png
/data/data/####/zs.png
/data/data/####/zuanshi.png
/data/media/####/.nomedia
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/app.db
/data/media/####/cn.yizuanbao.appc.bin
/data/media/####/cn.yizuanbao.appc.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/tdata_SBh025
/data/media/####/tdata_ZKm258
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24699 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu2079727365.so
getprop ro.product.cpu.abi
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24699 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu2079727365

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней