Adware.Gexin.10415

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 1####.217.20.78:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
c####.g####.ig####.com
c-h####.g####.com
c.appj####.com
ms.c####.com.cn
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1.png
/data/data/####/2.png
/data/data/####/3.png
/data/data/####/4.png
/data/data/####/4da7695fc954
/data/data/####/5.png
/data/data/####/80x80.png
/data/data/####/DMobileFrame.js
/data/data/####/DMobileFrame_DownLoadUtil.js
/data/data/####/activity-show.html
/data/data/####/activity.png
/data/data/####/activitytab.html
/data/data/####/ad_show_time.xml
/data/data/####/address.html
/data/data/####/addressAdd.html
/data/data/####/addressEdit.html
/data/data/####/api.js
/data/data/####/app.js
/data/data/####/appointment.html
/data/data/####/bind.html
/data/data/####/book-finish.html
/data/data/####/buyticket.html
/data/data/####/cancle-finish.html
/data/data/####/cancle_order.html
/data/data/####/cd-category-icons.svg
/data/data/####/cd-icon-close.svg
/data/data/####/centerbackground.png
/data/data/####/chat-add.png
/data/data/####/chat-comment.png
/data/data/####/chat-edit.html
/data/data/####/chat-img-bg.jpg
/data/data/####/chat.css
/data/data/####/chat1.png
/data/data/####/chat2.png
/data/data/####/chat3.png
/data/data/####/chat4.png
/data/data/####/chat5.png
/data/data/####/chat6.png
/data/data/####/chattab.html
/data/data/####/classes.png
/data/data/####/classestab.html
/data/data/####/clientid_igexin.xml
/data/data/####/club-list.html
/data/data/####/club-show.html
/data/data/####/club_a.png
/data/data/####/club_class.png
/data/data/####/coffice.css
/data/data/####/coffice.ttf
/data/data/####/collect.html
/data/data/####/comment.html
/data/data/####/comment1.png
/data/data/####/comment2.png
/data/data/####/comment3.png
/data/data/####/comment4video.html
/data/data/####/comment4yellowpage.html
/data/data/####/contentshow.html
/data/data/####/course.png
/data/data/####/courseBook.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/date-detail.html
/data/data/####/date-edit.html
/data/data/####/dateadd.png
/data/data/####/dates.html
/data/data/####/default.css
/data/data/####/demo01.png
/data/data/####/demo1.png
/data/data/####/demo2.png
/data/data/####/demo3.png
/data/data/####/demo5.png
/data/data/####/demo7.png
/data/data/####/demo_videoPlaySimple.css
/data/data/####/distpicker.data.js
/data/data/####/distpicker.js
/data/data/####/download_list.html
/data/data/####/edit-my.html
/data/data/####/edit-weixin.html
/data/data/####/edit.html
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback.js
/data/data/####/find_password.html
/data/data/####/findtab.html
/data/data/####/findtab_bak.html
/data/data/####/flowbase.css
/data/data/####/flowstyle.css
/data/data/####/forget_password.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gps.js
/data/data/####/guide-offline.html
/data/data/####/guide-online.html
/data/data/####/guide1.png
/data/data/####/guide2.png
/data/data/####/guide3.png
/data/data/####/guide4.png
/data/data/####/gx_sp.xml
/data/data/####/h1.jpg
/data/data/####/h11.png
/data/data/####/h5.jpg
/data/data/####/h6.jpg
/data/data/####/h7.png
/data/data/####/h8.jpg
/data/data/####/headimg4.png
/data/data/####/hhSwipe.js
/data/data/####/ho1.jpg
/data/data/####/horse-img.png
/data/data/####/horse-show.html
/data/data/####/horse.html
/data/data/####/horse.png
/data/data/####/horsemanship.xml
/data/data/####/icon-my.css
/data/data/####/icon-my.ttf
/data/data/####/icon.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/icons-extra.css
/data/data/####/img_clickToPlay.png
/data/data/####/index
/data/data/####/index.html
/data/data/####/info-blue.png
/data/data/####/info-o.png
/data/data/####/info.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/iphone.png
/data/data/####/jaliswall.js
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jquery.min.js
/data/data/####/libjiagu.so
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/loginbg.png
/data/data/####/loginbg1.png
/data/data/####/loginbg2.png
/data/data/####/logo666.png
/data/data/####/m2.jpg
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/ms-icon6.png
/data/data/####/ms-icon7.png
/data/data/####/ms-icon8.png
/data/data/####/ms-icon9.png
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/my-chat-list.html
/data/data/####/my-chat.html
/data/data/####/my_download_list.html
/data/data/####/myidentify.html
/data/data/####/mytab.html
/data/data/####/new-phone.html
/data/data/####/new_password.html
/data/data/####/news.html
/data/data/####/order-list.html
/data/data/####/order.html
/data/data/####/order.js
/data/data/####/order_detail.html
/data/data/####/pay-finish.html
/data/data/####/pay.html
/data/data/####/pdr.xml
/data/data/####/pic-bg-top.png
/data/data/####/pic-bg.png
/data/data/####/pic-bgv1.png
/data/data/####/previewImage.css
/data/data/####/pullRefresh.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/reg-next-next.html
/data/data/####/reg-next.html
/data/data/####/reg.html
/data/data/####/run.pid
/data/data/####/setting.html
/data/data/####/show.css
/data/data/####/sides.png
/data/data/####/sinaweibo.png
/data/data/####/sliderlayout.css
/data/data/####/statement.html
/data/data/####/stream_permission.xml
/data/data/####/stroke.png
/data/data/####/style.css
/data/data/####/table.css
/data/data/####/tabview.html
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/teacher.png
/data/data/####/tm.png
/data/data/####/trainer-show.html
/data/data/####/trainer.html
/data/data/####/update.js
/data/data/####/user-chat-list.html
/data/data/####/userheader.png
/data/data/####/uservipcard.html
/data/data/####/video-list.html
/data/data/####/video-show.html
/data/data/####/video.png
/data/data/####/video2.jpg
/data/data/####/video_icon.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wechat.png
/data/data/####/weixin.png
/data/data/####/weixin1.png
/data/data/####/xc.png
/data/data/####/xianlian-icon.png
/data/data/####/yellowpage.html
/data/data/####/yellowpagedetail.html
/data/data/####/yp_icon.png
/data/data/####/zan1.png
/data/data/####/zan2.png
/data/media/####/20190317.log
/data/media/####/app.db
/data/media/####/com.chho.horsemanship.bin
/data/media/####/com.chho.horsemanship.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25126 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25126 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней