Adware.Gexin.10353

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/1.gif
/data/data/####/10.gif
/data/data/####/100.gif
/data/data/####/101.gif
/data/data/####/102.gif
/data/data/####/103.gif
/data/data/####/104.gif
/data/data/####/105.gif
/data/data/####/106.gif
/data/data/####/107.gif
/data/data/####/108.gif
/data/data/####/109.gif
/data/data/####/11.gif
/data/data/####/110.gif
/data/data/####/111.gif
/data/data/####/112.gif
/data/data/####/113.gif
/data/data/####/114.gif
/data/data/####/115.gif
/data/data/####/116.gif
/data/data/####/117.gif
/data/data/####/118.gif
/data/data/####/119.gif
/data/data/####/12.gif
/data/data/####/120.gif
/data/data/####/121.gif
/data/data/####/122.gif
/data/data/####/123.gif
/data/data/####/124.gif
/data/data/####/125.gif
/data/data/####/126.gif
/data/data/####/127.gif
/data/data/####/128.gif
/data/data/####/129.gif
/data/data/####/13.gif
/data/data/####/130.gif
/data/data/####/131.gif
/data/data/####/14.gif
/data/data/####/144X144.png
/data/data/####/15.gif
/data/data/####/16.gif
/data/data/####/17.gif
/data/data/####/18.gif
/data/data/####/19.gif
/data/data/####/192X192.png
/data/data/####/2.gif
/data/data/####/20.gif
/data/data/####/21.gif
/data/data/####/22.gif
/data/data/####/23.gif
/data/data/####/24.gif
/data/data/####/25.gif
/data/data/####/25f952f5eebb
/data/data/####/26.gif
/data/data/####/27.gif
/data/data/####/28.gif
/data/data/####/29.gif
/data/data/####/3.gif
/data/data/####/30.gif
/data/data/####/31.gif
/data/data/####/32.gif
/data/data/####/33.gif
/data/data/####/34.gif
/data/data/####/35.gif
/data/data/####/36.gif
/data/data/####/37.gif
/data/data/####/38.gif
/data/data/####/39.gif
/data/data/####/4.gif
/data/data/####/40.gif
/data/data/####/41.gif
/data/data/####/42.gif
/data/data/####/43.gif
/data/data/####/44.gif
/data/data/####/45.gif
/data/data/####/46.gif
/data/data/####/47.gif
/data/data/####/48.gif
/data/data/####/48X48.png
/data/data/####/49.gif
/data/data/####/5.gif
/data/data/####/50.gif
/data/data/####/51.gif
/data/data/####/52.gif
/data/data/####/53.gif
/data/data/####/54.gif
/data/data/####/55.gif
/data/data/####/56.gif
/data/data/####/57.gif
/data/data/####/58.gif
/data/data/####/59.gif
/data/data/####/6.gif
/data/data/####/60.gif
/data/data/####/61.gif
/data/data/####/62.gif
/data/data/####/63.gif
/data/data/####/64.gif
/data/data/####/65.gif
/data/data/####/66.gif
/data/data/####/67.gif
/data/data/####/68.gif
/data/data/####/69.gif
/data/data/####/7.gif
/data/data/####/70.gif
/data/data/####/71.gif
/data/data/####/72.gif
/data/data/####/72X72.png
/data/data/####/73.gif
/data/data/####/74.gif
/data/data/####/75.gif
/data/data/####/76.gif
/data/data/####/77.gif
/data/data/####/78.gif
/data/data/####/79.gif
/data/data/####/8.gif
/data/data/####/80.gif
/data/data/####/81.gif
/data/data/####/82.gif
/data/data/####/83.gif
/data/data/####/84.gif
/data/data/####/85.gif
/data/data/####/86.gif
/data/data/####/87.gif
/data/data/####/88.gif
/data/data/####/89.gif
/data/data/####/9.gif
/data/data/####/90.gif
/data/data/####/91.gif
/data/data/####/92.gif
/data/data/####/93.gif
/data/data/####/94.gif
/data/data/####/95.gif
/data/data/####/96.gif
/data/data/####/96X96.png
/data/data/####/97.gif
/data/data/####/98.gif
/data/data/####/99.gif
/data/data/####/Announcement.html
/data/data/####/ChineseCities.js
/data/data/####/H5BF7DE01.xml
/data/data/####/H5BF7DE01_storages.xml
/data/data/####/ac_001.png
/data/data/####/ac_01.png
/data/data/####/ac_02.png
/data/data/####/ac_03.png
/data/data/####/ac_04.png
/data/data/####/ac_05.png
/data/data/####/ac_06.png
/data/data/####/ac_07.png
/data/data/####/ac_08.png
/data/data/####/ac_09.png
/data/data/####/ac_10.png
/data/data/####/ac_11.png
/data/data/####/ac_12.png
/data/data/####/ac_13.png
/data/data/####/ac_14.png
/data/data/####/ac_15.png
/data/data/####/ac_16.png
/data/data/####/ac_17.png
/data/data/####/ac_18.png
/data/data/####/ac_19.png
/data/data/####/ac_weixin.png
/data/data/####/accountMain.html
/data/data/####/account_main.html
/data/data/####/account_sub.html
/data/data/####/addAlpay.html
/data/data/####/addBandCard.html
/data/data/####/agreement.html
/data/data/####/alipayGet.html
/data/data/####/alipaySelect.html
/data/data/####/app.css
/data/data/####/back_CZBANK.png
/data/data/####/back_China Minsheng Banking.png
/data/data/####/back_China.png
/data/data/####/back_China_Citic_Back.png
/data/data/####/back_China_Constuction_Bank.png
/data/data/####/back_China_Guangfa_Bank.png
/data/data/####/back_China_Merchants_Bank.png
/data/data/####/back_China_Post.png
/data/data/####/back_Communications.png
/data/data/####/back_Everbright_Bank.png
/data/data/####/back_HUA_XIA_BANK.png
/data/data/####/back_INDUSTRIAL_BANK_CO.,LTD..png
/data/data/####/back_PBOC.png
/data/data/####/back_SPD.png
/data/data/####/back_Shanghai.png
/data/data/####/back_Yingzhou.png
/data/data/####/back_abc.png
/data/data/####/back_beihe.png
/data/data/####/back_beijing.png
/data/data/####/back_gs.png
/data/data/####/back_handan.png
/data/data/####/back_icbc.png
/data/data/####/back_none.png
/data/data/####/backcard_hover.png
/data/data/####/backcard_none.png
/data/data/####/backcard_on.png
/data/data/####/bankCardGet.html
/data/data/####/bankCardSelect.html
/data/data/####/banner.jpg
/data/data/####/basic_business.html
/data/data/####/basic_personal.html
/data/data/####/book.html
/data/data/####/bookDateSelect.html
/data/data/####/bookDetail.html
/data/data/####/bookSub.html
/data/data/####/bookSwitch.html
/data/data/####/bus_img.jpg
/data/data/####/bus_img_1.png
/data/data/####/bus_img_s1.png
/data/data/####/business.html
/data/data/####/businessTimes_1.html
/data/data/####/businessTimes_2.html
/data/data/####/cashRegister.html
/data/data/####/chat_info.html
/data/data/####/chat_list.html
/data/data/####/city.data-3.js
/data/data/####/clientid_igexin.xml
/data/data/####/code.html
/data/data/####/common.js
/data/data/####/date.html
/data/data/####/date_on.png
/data/data/####/del.png
/data/data/####/erweima.png
/data/data/####/erweima_s.png
/data/data/####/exif.js
/data/data/####/fundDetail.html
/data/data/####/gdaemon_20161017
/data/data/####/getPassword.html
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/goodsAdd.html
/data/data/####/goodsDetailEdit.html
/data/data/####/goodsEdit.html
/data/data/####/goodsManage.html
/data/data/####/goodsManage_sub.html
/data/data/####/guide.html
/data/data/####/guide_1.png
/data/data/####/guide_2.png
/data/data/####/guide_3.png
/data/data/####/gx_sp.xml
/data/data/####/icon-qq.png
/data/data/####/icon-share.png
/data/data/####/icon-sina.png
/data/data/####/icon-weixin.png
/data/data/####/icon_wx.png
/data/data/####/icon_yhk.png
/data/data/####/icon_zfb.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/imageview.css
/data/data/####/imgPhoto.html
/data/data/####/index.html
/data/data/####/information.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jquery-1.8.3.min.js
/data/data/####/jquery.qrcode.min.js
/data/data/####/libjiagu.so
/data/data/####/line.html
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/make.html
/data/data/####/make_1.html
/data/data/####/make_2.html
/data/data/####/make_bb.png
/data/data/####/make_img_1.png
/data/data/####/make_switch.html
/data/data/####/manifest.json
/data/data/####/mm.png
/data/data/####/mui.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/mx.png
/data/data/####/order.html
/data/data/####/order_sub.html
/data/data/####/password.html
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qd_1.png
/data/data/####/qd_2.png
/data/data/####/queue.html
/data/data/####/queueDateSelect.html
/data/data/####/queueDetail.html
/data/data/####/queueSub.html
/data/data/####/queueSwitch.html
/data/data/####/realNameCheck.html
/data/data/####/record_book.html
/data/data/####/record_bookDateSelect.html
/data/data/####/record_bookSub.html
/data/data/####/record_queue.html
/data/data/####/record_queueDateSelect.html
/data/data/####/record_queueSub.html
/data/data/####/regist.html
/data/data/####/run.pid
/data/data/####/rz.png
/data/data/####/s1024x748.png
/data/data/####/s1024x768.png
/data/data/####/s1080x1920.png
/data/data/####/s1242x2208.png
/data/data/####/s1536x2008.png
/data/data/####/s1536x2048.png
/data/data/####/s2048x1496.png
/data/data/####/s2048x1536.png
/data/data/####/s240x320.png
/data/data/####/s320x480.png
/data/data/####/s480x800.png
/data/data/####/s640x1136.png
/data/data/####/s640x960.png
/data/data/####/s720x1280.png
/data/data/####/s750x1334.png
/data/data/####/s768x1004.png
/data/data/####/s768x1024.png
/data/data/####/sce_jia.png
/data/data/####/select.html
/data/data/####/selectGetType.html
/data/data/####/select_1.html
/data/data/####/select_obligate.html
/data/data/####/select_obligateCount.html
/data/data/####/select_wait.html
/data/data/####/select_waitCount.html
/data/data/####/ser_1.png
/data/data/####/ser_2.png
/data/data/####/service.html
/data/data/####/service_swiths_main.html
/data/data/####/service_swiths_sub.html
/data/data/####/setting.html
/data/data/####/sho_1.png
/data/data/####/sho_2.png
/data/data/####/sho_3.png
/data/data/####/sho_4.png
/data/data/####/shol_jia.jpg
/data/data/####/shol_jia.png
/data/data/####/shop.html
/data/data/####/shop.png
/data/data/####/shopData.html
/data/data/####/shopData_new.html
/data/data/####/shopDatasEdit.html
/data/data/####/shopDatasEdit_new.html
/data/data/####/shop_jia.png
/data/data/####/shop_main.html
/data/data/####/shop_main_sub.html
/data/data/####/shops_1.jpg
/data/data/####/smaterial.html
/data/data/####/start.html
/data/data/####/stream_permission.xml
/data/data/####/subcsribe_audit_main.html
/data/data/####/subcsribe_audit_sub.html
/data/data/####/supply.html
/data/data/####/swiper-3.3.1.min.css
/data/data/####/swiper-3.3.1.min.js
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/telphone.html
/data/data/####/tian_j.png
/data/data/####/time_jia.png
/data/data/####/time_shan.png
/data/data/####/title_x.png
/data/data/####/tools.js
/data/data/####/two_s.png
/data/data/####/tx.png
/data/data/####/update.js
/data/data/####/upload.util.js
/data/data/####/validateHuman.html
/data/data/####/validateShop.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/withd_zfb.png
/data/data/####/z_lt_02.png
/data/data/####/z_pic_bq.png
/data/data/####/z_pic_jp.png
/data/data/####/z_pic_pic.png
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yuyueking.test.bin
/data/media/####/com.yuyueking.test.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24861 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24861 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней