Adware.Gexin.10688

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) f.pai####.net:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

api.map.b####.com
app.pai####.net
c####.g####.ig####.com
c-h####.g####.com
f.pai####.net
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

f.pai####.net/appimg/46201453_5.gif
f.pai####.net/appimg/allproducts/back2.png
f.pai####.net/appimg/allproducts/search.png
f.pai####.net/appimg/allproducts/tab1.png
f.pai####.net/appimg/allproducts/tab3.png
f.pai####.net/appimg/allproducts/tab4.png
f.pai####.net/appimg/allproducts/tab5.png
f.pai####.net/appimg/an1.png
f.pai####.net/appimg/an2.png
f.pai####.net/appimg/an3.png
f.pai####.net/appimg/back.png
f.pai####.net/appimg/bg/bg1.png
f.pai####.net/appimg/diannao.png
f.pai####.net/appimg/fire.png
f.pai####.net/appimg/help.png
f.pai####.net/appimg/loadding.gif
f.pai####.net/appimg/moneybag.png
f.pai####.net/appimg/pencil.png
f.pai####.net/appimg/sunburn.png
f.pai####.net/appimg/yifu.png
f.pai####.net/appimg/zhizhou.png
f.pai####.net/service/activity/homeindex?appid=####&version=####
f.pai####.net/service/commodity/indexList?maxresult=####&novices=####&ui...
f.pai####.net/service/goods/typelist
qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
f.pai####.net/service/goods/list
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/H5C4FDE44.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/authStatus_io.dcloud.H5460E66A.xml
/data/data/####/b25735519591
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu-1295455016.so
/data/data/####/multidex.version.xml
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/1080-1882.png
/data/media/####/1080188.png
/data/media/####/20190321.log
/data/media/####/2048-1096.png
/data/media/####/480-762.png
/data/media/####/6P-1242-2208.png
/data/media/####/6P-h.png
/data/media/####/720-1242.png
/data/media/####/AdEnable.dat
/data/media/####/GoodsType.js
/data/media/####/Logisticsinfo.html
/data/media/####/MD5.js
/data/media/####/Myshare.html
/data/media/####/PingFangMedium.ttf
/data/media/####/SignIn.html
/data/media/####/TileHeadPic.js
/data/media/####/URL.js
/data/media/####/WXQQ.js
/data/media/####/WXQQios.js
/data/media/####/X-1125-2436.png
/data/media/####/X-h.png
/data/media/####/about.html
/data/media/####/aboutme.html
/data/media/####/aboutus.css
/data/media/####/activity.html
/data/media/####/address.css
/data/media/####/address.html
/data/media/####/afterList.js
/data/media/####/afterservice.css
/data/media/####/afterservice.html
/data/media/####/allproducts.css
/data/media/####/allproducts.html
/data/media/####/allproducts.js
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/appLogin.js
/data/media/####/applyafter.css
/data/media/####/applyafter.html
/data/media/####/base64.js
/data/media/####/bmqd.css
/data/media/####/bmqd.html
/data/media/####/bmqdSearch.css
/data/media/####/bmqdSearch.html
/data/media/####/bootstrap.min.css
/data/media/####/chat.css
/data/media/####/chat.html
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/commentproblem.css
/data/media/####/commentproblem.html
/data/media/####/common.css
/data/media/####/common.js
/data/media/####/cropper.min.js
/data/media/####/data.city.js
/data/media/####/dataCitymap.js
/data/media/####/detail.css
/data/media/####/detail.html
/data/media/####/detailcomment.html
/data/media/####/detailimg.html
/data/media/####/detailinfo.css
/data/media/####/detailrule.html
/data/media/####/editaddress.html
/data/media/####/eje3cnc
/data/media/####/exif.js
/data/media/####/feedback.html
/data/media/####/feedback.js
/data/media/####/file__0.localstorage-journal
/data/media/####/flexible.js
/data/media/####/fx.html
/data/media/####/getpassword.css
/data/media/####/getpassword.html
/data/media/####/headHeight.js
/data/media/####/height.js
/data/media/####/hwpt.css
/data/media/####/hwpt.html
/data/media/####/hwptSearch.css
/data/media/####/hwptSearch.html
/data/media/####/i4-640-960.png
/data/media/####/i5-640-1136.png
/data/media/####/i6-750-1334.png
/data/media/####/iPad-1536-2008.png
/data/media/####/icon.png
/data/media/####/img.js
/data/media/####/imgUpdate.js
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/indeximg.css
/data/media/####/indeximg.html
/data/media/####/indexios.html
/data/media/####/indexios.js
/data/media/####/init.js
/data/media/####/invitation.css
/data/media/####/invitation.html
/data/media/####/io.dcloud.H5460E66A.bin
/data/media/####/io.dcloud.H5460E66A.db
/data/media/####/ipad-1024-748.png
/data/media/####/ipad-1024-768.png
/data/media/####/ipad-1536-2048.png
/data/media/####/ipad-768-1004.png
/data/media/####/ipad-768-1024.png
/data/media/####/ipad2048-1536.png
/data/media/####/jQueryRotate.2.2.js
/data/media/####/jquery.base64.js
/data/media/####/jquery.easing.min.js
/data/media/####/jquery.min.js
/data/media/####/jquery.validate.min.js
/data/media/####/kxjl.css
/data/media/####/kxjl.html
/data/media/####/kxjlSearch.css
/data/media/####/kxjlSearch.html
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/loginios.html
/data/media/####/logisticsinfo.js
/data/media/####/logo.png
/data/media/####/lottery.css
/data/media/####/lottery.html
/data/media/####/manifest.json
/data/media/####/math.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/myafter.js
/data/media/####/mycenter.css
/data/media/####/mycenter.html
/data/media/####/mycenterios.html
/data/media/####/mygoubi.css
/data/media/####/mygoubi.html
/data/media/####/myinfo.css
/data/media/####/myinfo.html
/data/media/####/myjifen.css
/data/media/####/myjifen.html
/data/media/####/myorder.css
/data/media/####/myorder.html
/data/media/####/myorder.js
/data/media/####/mypaibi.css
/data/media/####/mypaibi.html
/data/media/####/mypaiorder.html
/data/media/####/mypaiorder.js
/data/media/####/myredbag.css
/data/media/####/myredbag.html
/data/media/####/myzengbi.css
/data/media/####/myzengbi.html
/data/media/####/navigation.js
/data/media/####/navigationios.js
/data/media/####/new_file.html
/data/media/####/newaddress.css
/data/media/####/newaddress.html
/data/media/####/newlast.css
/data/media/####/newlast.html
/data/media/####/newlast.js
/data/media/####/newlastios.html
/data/media/####/newlastios.js
/data/media/####/newscenter.css
/data/media/####/newscenter.html
/data/media/####/noviceguide.css
/data/media/####/noviceguide.html
/data/media/####/pattern.css
/data/media/####/pattern.html
/data/media/####/pattern.js
/data/media/####/patternios.html
/data/media/####/patternios.js
/data/media/####/pay.html
/data/media/####/payRecords.html
/data/media/####/payhas.css
/data/media/####/payment.css
/data/media/####/privacyservices.css
/data/media/####/privacyservices.html
/data/media/####/problem.html
/data/media/####/ptg.css
/data/media/####/ptg.html
/data/media/####/ptg.js
/data/media/####/ptgSearch.css
/data/media/####/ptgSearch.html
/data/media/####/ptgcomment.html
/data/media/####/ptgdetail.css
/data/media/####/ptgdetail.html
/data/media/####/ptgdetail.js
/data/media/####/ptgimg.html
/data/media/####/ptginfo.css
/data/media/####/ptgrule.html
/data/media/####/publish.html
/data/media/####/publish.js
/data/media/####/putforward.css
/data/media/####/putforward.html
/data/media/####/qiandao.css
/data/media/####/qiandao.html
/data/media/####/receivedred.css
/data/media/####/receivedred.html
/data/media/####/recharge.css
/data/media/####/recharge.html
/data/media/####/register.css
/data/media/####/register.html
/data/media/####/reset.css
/data/media/####/reset_phone.css
/data/media/####/searchGoods.css
/data/media/####/searchGoods.html
/data/media/####/searchHisorty.js
/data/media/####/seemore.css
/data/media/####/seemore.html
/data/media/####/set.css
/data/media/####/set.html
/data/media/####/setios.html
/data/media/####/share.html
/data/media/####/shareAll.css
/data/media/####/shareregister.css
/data/media/####/shareregister.html
/data/media/####/showLoading.css
/data/media/####/showLoading.js
/data/media/####/sizes.js
/data/media/####/suggest.css
/data/media/####/suggest.html
/data/media/####/swiper-3.2.7.min.css
/data/media/####/swiper-3.4.0.jquery.min.js
/data/media/####/swiper.min.css
/data/media/####/swiper.min.js
/data/media/####/test.log
/data/media/####/textall.css
/data/media/####/timecountdown.js
/data/media/####/touchslider.js
/data/media/####/transaction.css
/data/media/####/transaction.html
/data/media/####/update.js
/data/media/####/updateUserData.js
/data/media/####/useragree.css
/data/media/####/useragree.html
/data/media/####/useragreement.html
/data/media/####/xsgcomment.html
/data/media/####/xsgdetail.css
/data/media/####/xsgdetail.html
/data/media/####/xsgimg.html
/data/media/####/xsginfo.css
/data/media/####/ys.js
/data/media/####/zepto_min.js
/data/media/####/zhigou.css
/data/media/####/zhigou.html
/data/media/####/zhigoucomment.html
/data/media/####/zhigouimg.html
/data/media/####/zxcj.html

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24464 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24464 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-1295455016

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней