Adware.Gexin.10750

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) api.jis####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) haoxian####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) haoxian####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) www.haoxian####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
amap####.cn-hang####.oss####.####.com
and####.b####.qq.com
api.jis####.com
c####.g####.ig####.com
c-h####.g####.com
haoxian####.oss-cn-####.aliy####.com
pub-####.qin####.com
res####.a####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
ssl.gst####.com
st####.dc####.net.cn
www.go####.com
www.gst####.com
www.haoxian####.com

Запросы HTTP GET:

api.jis####.com/car/static/images/logo/300/1.png
api.jis####.com/car/static/images/logo/300/10.png
api.jis####.com/car/static/images/logo/300/115.png
api.jis####.com/car/static/images/logo/300/15.png
api.jis####.com/car/static/images/logo/300/54.png
api.jis####.com/car/static/images/logo/300/9.png
haoxian####.oss-cn-####.aliy####.com/banner/banner.png
qin####.com.www.####.com/tdata_EDT356
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/1024.748.png
/data/data/####/1024.768.png
/data/data/####/1242.2208.png
/data/data/####/15126411968401.0
/data/data/####/1536.2008.png
/data/data/####/1536.2048.png
/data/data/####/2048.1496.png
/data/data/####/2048.1536.png
/data/data/####/2208.1242.png
/data/data/####/2242.1208.png
/data/data/####/382014809113.0
/data/data/####/42108446368823.0
/data/data/####/4998637462261.0
/data/data/####/640.1136.png
/data/data/####/640.960.png
/data/data/####/7274081214480.0
/data/data/####/750.1334.png
/data/data/####/768.1004.png
/data/data/####/768.1024.png
/data/data/####/84117530747012.0
/data/data/####/8765950206254.0
/data/data/####/9390667672407.0
/data/data/####/H5305B6D3.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a1080.1882.png
/data/data/####/a480.762.png
/data/data/####/a720.1242.png
/data/data/####/accountsBalance.html
/data/data/####/add.png
/data/data/####/alipay_icon.png
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/article.html
/data/data/####/authDriverResult.html
/data/data/####/authDriverUploadPic.html
/data/data/####/authDrivers.html
/data/data/####/back_3.png
/data/data/####/base64.js
/data/data/####/bc.jpg
/data/data/####/bg.png
/data/data/####/bmw.jpg
/data/data/####/bsj.jpg
/data/data/####/bugly_db_legu-journal
/data/data/####/calendar.css
/data/data/####/calendar.html
/data/data/####/calendar.js
/data/data/####/cancelOrder_bak.html
/data/data/####/carDetail.html
/data/data/####/carTypeList.html
/data/data/####/city.data.js
/data/data/####/clientid_igexin.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/confirmOrder.html
/data/data/####/constant.js
/data/data/####/cropper.min.css
/data/data/####/cropper.min.js
/data/data/####/crypto.js
/data/data/####/cyOrder.html
/data/data/####/cyOrder1.html
/data/data/####/cyOrder2.html
/data/data/####/cyOrder3.html
/data/data/####/cyOrder4.html
/data/data/####/cyOrder_chakansunhao.html
/data/data/####/dafile.db
/data/data/####/dafile.db-journal
/data/data/####/daiJinQuan.html
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/dengl_icon_shouji.png
/data/data/####/denglu_icon_mima.png
/data/data/####/details.html
/data/data/####/dingdan_icon_dian.png
/data/data/####/dingdan_icon_gou.png
/data/data/####/dingdan_icon_gou1.png
/data/data/####/dingdan_icon_wenhao.png
/data/data/####/dz.jpg
/data/data/####/easemob.im-1.0.5.js
/data/data/####/eje3cnc
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/fabu_icon_jia.png
/data/data/####/fabu_icon_xuanz.png
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/filter.html
/data/data/####/fll.jpg
/data/data/####/forget_password.html
/data/data/####/fuwu_icon10_jiufen.png
/data/data/####/fuwu_icon1_liucheng.png
/data/data/####/fuwu_icon2_shouyi.png
/data/data/####/fuwu_icon3_zhuce.png
/data/data/####/fuwu_icon4_baozhang.png
/data/data/####/fuwu_icon5_weizhang.png
/data/data/####/fuwu_icon6_yongche.png
/data/data/####/fuwu_icon7_app.png
/data/data/####/fuwu_icon8_fuwu.png
/data/data/####/fuwu_icon9_zhanghu.png
/data/data/####/gdaemon_20161017
/data/data/####/geren_cheyou.png
/data/data/####/geren_chezhu.png
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/historyTicketList.html
/data/data/####/hmac.js
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/home.html
/data/data/####/home_banner.png
/data/data/####/home_icon_che.png
/data/data/####/home_icon_dingwei.png
/data/data/####/home_icon_pinpai.png
/data/data/####/home_icon_shijian.png
/data/data/####/hostOrder.html
/data/data/####/hostOrder2.html
/data/data/####/hostOrder3.html
/data/data/####/hostOrder3_paizhaohuanche.html
/data/data/####/hostOrder4.html
/data/data/####/hostOrder_chakansunhao.html
/data/data/####/hostOrder_sunhao.html
/data/data/####/html5Geo.xml
/data/data/####/hx.keystore
/data/data/####/icon28.png
/data/data/####/icon_back.png
/data/data/####/icon_back1.png
/data/data/####/icon_dianhau.png
/data/data/####/icon_nodata.png
/data/data/####/icon_x.png
/data/data/####/icon_xuanz.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/immersed.js
/data/data/####/income.html
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inputPayPassword.html
/data/data/####/insuranceList.html
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/journey.html
/data/data/####/jquery-1.11.1.js
/data/data/####/jquery-3.1.1.slim.min.js
/data/data/####/json2.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/liebiao1.png
/data/data/####/liebiao2.png
/data/data/####/liebiao3.png
/data/data/####/liebiao4.png
/data/data/####/liebiao_icon1_shoudong.png
/data/data/####/liebiao_icon1_zidong.png
/data/data/####/liebiao_icon2_add.png
/data/data/####/liebiao_icon2_jiedan.png
/data/data/####/liebiao_icon_sanjiao.png
/data/data/####/liebiao_icon_sanjiao1.png
/data/data/####/liebiao_icon_shaixaun.png
/data/data/####/liebiao_icon_sousuo.png
/data/data/####/liebiao_icon_sousuo1.png
/data/data/####/liebiao_icon_x.png
/data/data/####/local_crash_lock
/data/data/####/location_map.html
/data/data/####/location_map_sub.html
/data/data/####/location_map_submit_sub.html
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/logo_bg_zc.png
/data/data/####/lsls.jpg
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/message.html
/data/data/####/mix.dex
/data/data/####/mui.enterfocus.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/openTicket.html
/data/data/####/openTicketList.html
/data/data/####/pdr.xml
/data/data/####/peccancy.html
/data/data/####/personal.html
/data/data/####/pingjiaList.html
/data/data/####/pjDetails.html
/data/data/####/pjList.html
/data/data/####/pjcy.html
/data/data/####/pjhost.html
/data/data/####/pref.xml
/data/data/####/productDetails.html
/data/data/####/productDetails2.html
/data/data/####/productDetails3.html
/data/data/####/productDetails4.html
/data/data/####/province.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qiche.png
/data/data/####/qihoo.png
/data/data/####/qq.png
/data/data/####/qq_login.png
/data/data/####/queRenQiChe.html
/data/data/####/queRenQiChe2.html
/data/data/####/quickstart.md
/data/data/####/reg.html
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/select_calendar.html
/data/data/####/select_calendar.js
/data/data/####/select_calendar2.js
/data/data/####/serviceCenter.html
/data/data/####/serviceDetails.html
/data/data/####/serviceSearch.html
/data/data/####/setCarInfo.html
/data/data/####/setPayPassword.html
/data/data/####/setting.html
/data/data/####/seviceInfo.html
/data/data/####/sha1.js
/data/data/####/shaixuan_icon_dingwei.png
/data/data/####/shaixuan_icon_xuanz.png
/data/data/####/sinaweibo.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/strophe-custom-2.0.0.js
/data/data/####/style.css
/data/data/####/submitOrder.html
/data/data/####/tab_cancel.html
/data/data/####/tab_danger.html
/data/data/####/tab_finish.html
/data/data/####/tab_message.html
/data/data/####/tab_notice.html
/data/data/####/tab_peccancy.html
/data/data/####/tab_secondcarlist.html
/data/data/####/tab_thirdcarlist.html
/data/data/####/tab_underway.html
/data/data/####/tempfile
/data/data/####/test_app
/data/data/####/tools.js
/data/data/####/touxiang.png
/data/data/####/touxiang_login.png
/data/data/####/tyd.png
/data/data/####/tyh.png
/data/data/####/unlock.html
/data/data/####/update.js
/data/data/####/updateCarPic.html
/data/data/####/updateCarPic2.html
/data/data/####/updateCarPic3.html
/data/data/####/upload.js
/data/data/####/urgencyContact.html
/data/data/####/user-photo.png
/data/data/####/user_content.html
/data/data/####/uuid.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewGroup.js
/data/data/####/weixin.png
/data/data/####/weixin_icon.png
/data/data/####/weixin_login.png
/data/data/####/weizhang_list.html
/data/data/####/wenz_dianzan_h.png
/data/data/####/wenz_dianzan_n.png
/data/data/####/wenz_pinlun.png
/data/data/####/withdrawCash.html
/data/data/####/withdrawDeposit.html
/data/data/####/withdrawList.html
/data/data/####/withdrawPassword.html
/data/data/####/writeTicketInfo.html
/data/data/####/wyz_icon.png
/data/data/####/xiangqing.jpg
/data/data/####/xiangqing_icon_tuding.png
/data/data/####/zhima.png
/data/data/####/zhimaCredit.html
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/alsn.db
/data/media/####/alsn.db-journal
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.hx.bin
/data/media/####/io.dcloud.hx.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24167 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24167 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней