Adware.Gexin.11166

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t####.talking####.net:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) rp-na####.ron####.com:80
TCP(TLS/1.0) j####.d####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP(TLS/1.0) jic.talking####.com:443
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP sdk.o####.t####.####.com:5224
TCP 1####.92.22.234:8632
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
j####.d####.com
jic.talking####.com
nav.cn.ron####.com
pub-####.qin####.com
s####.cn.ron####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
t####.talking####.net

Запросы HTTP GET:

t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
rp-na####.ron####.com/navipush.json
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####
t####.talking####.net/g/d

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0.png
/data/data/####/000001.dbtmp
/data/data/####/000002.dbtmp
/data/data/####/1.png
/data/data/####/2.png
/data/data/####/3.png
/data/data/####/4.png
/data/data/####/5.png
/data/data/####/5d0f1d3452ec
/data/data/####/6.png
/data/data/####/7.png
/data/data/####/8.png
/data/data/####/9.png
/data/data/####/COUNTLY_STORE.xml
/data/data/####/INSTALLATION
/data/data/####/MANIFEST-000001
/data/data/####/RongPush.xml
/data/data/####/Statistics.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/add-other-cert.0fe985039a93a2a6ec0c.js
/data/data/####/add-other-cert.cd5ae4d4612b48a45321e6efc30f5cd5.css
/data/data/####/add-other-cert.html
/data/data/####/addworkplace.0fe985039a93a2a6ec0c.js
/data/data/####/addworkplace.4ec7f8fa5f837e94a33f9407429318cd.css
/data/data/####/addworkplace.html
/data/data/####/agreement.0fe985039a93a2a6ec0c.js
/data/data/####/agreement.3a80a61bcae2b9274d6fba10bafab9c8.css
/data/data/####/agreement.html
/data/data/####/alipay-result.0fe985039a93a2a6ec0c.js
/data/data/####/alipay-result.2419d7d9e5cb210a4e9bdb5d10933cbd.css
/data/data/####/alipay-result.html
/data/data/####/alipayinfo.0fe985039a93a2a6ec0c.js
/data/data/####/alipayinfo.2419d7d9e5cb210a4e9bdb5d10933cbd.css
/data/data/####/alipayinfo.html
/data/data/####/applydetail.0fe985039a93a2a6ec0c.js
/data/data/####/applydetail.fc958039921408a6b2a8da01ba4cd5f1.css
/data/data/####/applydetail.html
/data/data/####/applylist.0fe985039a93a2a6ec0c.js
/data/data/####/applylist.2d4fb22d822fb8593b88938098604a1a.css
/data/data/####/applylist.html
/data/data/####/auditing.0fe985039a93a2a6ec0c.js
/data/data/####/auditing.88ff21b6c29fcf9d0f73e05050137bc0.css
/data/data/####/auditing.html
/data/data/####/b_resume_detail.png
/data/data/####/b_speed_icon.png
/data/data/####/bg_status.png
/data/data/####/bind-account.0fe985039a93a2a6ec0c.js
/data/data/####/bind-account.fddf1eb8e5be649ec997093710908afb.css
/data/data/####/bind-account.html
/data/data/####/bind-phone-num.0fe985039a93a2a6ec0c.js
/data/data/####/bind-phone-num.9b69c0212da72ee3d88b172bdcc54645.css
/data/data/####/bind-phone-num.html
/data/data/####/bugly_db_-journal
/data/data/####/bundle.js
/data/data/####/cache.manifest
/data/data/####/cert-list.0fe985039a93a2a6ec0c.js
/data/data/####/cert-list.ebdd5df32c63932ebc858b1ed26b3c5e.css
/data/data/####/cert-list.html
/data/data/####/certifi_icon.png
/data/data/####/certifi_pass_mask.png
/data/data/####/city.0fe985039a93a2a6ec0c.js
/data/data/####/city.52e185fa3f38cbcade30b4359f110d73.css
/data/data/####/city.html
/data/data/####/common-language.0fe985039a93a2a6ec0c.js
/data/data/####/common-language.4519a101836652ac8cf0d1686f111488.css
/data/data/####/common-language.html
/data/data/####/company-cert-detail.0fe985039a93a2a6ec0c.js
/data/data/####/company-cert-detail.71d9841f7401366afd10f064aa7e5391.css
/data/data/####/company-cert-detail.html
/data/data/####/company-cert.0fe985039a93a2a6ec0c.js
/data/data/####/company-cert.b58c3e953477287bb4549143b1108565.css
/data/data/####/company-cert.html
/data/data/####/companyinfo-edit.0fe985039a93a2a6ec0c.js
/data/data/####/companyinfo-edit.c1e3e757c897d44d11550771eb876453.css
/data/data/####/companyinfo-edit.html
/data/data/####/deposit-detail.0fe985039a93a2a6ec0c.js
/data/data/####/deposit-detail.152e76bef257685b8e2e62235cd26366.css
/data/data/####/deposit-detail.html
/data/data/####/deposit-info.0fe985039a93a2a6ec0c.js
/data/data/####/deposit-info.5457c57f7cad6f468f790db94f9fa5d7.css
/data/data/####/deposit-info.html
/data/data/####/detail-hotpot.0fe985039a93a2a6ec0c.js
/data/data/####/detail-hotpot.e32ef92921beb598fd54fb1c0bb9149d.css
/data/data/####/detail-hotpot.html
/data/data/####/detail.0fe985039a93a2a6ec0c.js
/data/data/####/detail.b1cd1bfa5c55fb82745fecd9e5c84352.css
/data/data/####/detail.html
/data/data/####/dmdid
/data/data/####/domSetting
/data/data/####/evaluate.0fe985039a93a2a6ec0c.js
/data/data/####/evaluate.64024e95c9be0c7cd3d163a89ce1c152.css
/data/data/####/evaluate.html
/data/data/####/f1e5994e2a5f4dbe680c.worker.js
/data/data/####/fe5312fdbe923e425eb3.worker.js
/data/data/####/file__0.localstorage-journal
/data/data/####/fulltimejob.0fe985039a93a2a6ec0c.js
/data/data/####/fulltimejob.afef3f35b68fe9151562aaf2af694a6b.css
/data/data/####/fulltimejob.html
/data/data/####/gdaemon_20161017
/data/data/####/getcaptchaway.0fe985039a93a2a6ec0c.js
/data/data/####/getcaptchaway.663fea693adf5c68f1685021e6d18483.css
/data/data/####/getcaptchaway.html
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/ico_level.png
/data/data/####/icon.png
/data/data/####/icon_deliver.png
/data/data/####/icon_detail.png
/data/data/####/icon_form.png
/data/data/####/icon_list.png
/data/data/####/icon_merchant_v2.png
/data/data/####/icon_type.png
/data/data/####/imkit.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jianZhi.xml
/data/data/####/jobdescription.0fe985039a93a2a6ec0c.js
/data/data/####/jobdescription.dadcee5e6c82eb0e14ae542a581473f2.css
/data/data/####/jobdescription.html
/data/data/####/joblist.0fe985039a93a2a6ec0c.js
/data/data/####/joblist.ae170198a34917be88b2084f8d7a69f0.css
/data/data/####/joblist.html
/data/data/####/ker.db-journal
/data/data/####/leave-message.0fe985039a93a2a6ec0c.js
/data/data/####/leave-message.4519a101836652ac8cf0d1686f111488.css
/data/data/####/leave-message.html
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/login-choice-cate.0fe985039a93a2a6ec0c.js
/data/data/####/login-choice-cate.6e4f2f3feea232ce2430fc1647067c12.css
/data/data/####/login-choice-cate.html
/data/data/####/login_guide_bg.png
/data/data/####/logo_app.png
/data/data/####/main.dek
/data/data/####/manage_msg_icon.png
/data/data/####/massmsg-detail.0fe985039a93a2a6ec0c.js
/data/data/####/massmsg-detail.82814778cdc1dff4d96f697a422691fb.css
/data/data/####/massmsg-detail.html
/data/data/####/massmsg-list.0fe985039a93a2a6ec0c.js
/data/data/####/massmsg-list.82814778cdc1dff4d96f697a422691fb.css
/data/data/####/massmsg-list.html
/data/data/####/massmsg-send.0fe985039a93a2a6ec0c.js
/data/data/####/massmsg-send.82814778cdc1dff4d96f697a422691fb.css
/data/data/####/massmsg-send.html
/data/data/####/merchant.0fe985039a93a2a6ec0c.js
/data/data/####/merchant.c52f245cd544bc0f571e6eb46c8a26c0.css
/data/data/####/merchant.html
/data/data/####/message-detail.0fe985039a93a2a6ec0c.js
/data/data/####/message-detail.f7a6a36715e57f2974da081e0e4f90d0.css
/data/data/####/message-detail.html
/data/data/####/message-list.0fe985039a93a2a6ec0c.js
/data/data/####/message-list.a57ebe7896f4def6e9adaf92865f1b59.css
/data/data/####/message-list.html
/data/data/####/msg-sys-list.0fe985039a93a2a6ec0c.js
/data/data/####/msg-sys-list.7793e0c1f4cb1fdcfec90af3d844f557.css
/data/data/####/msg-sys-list.html
/data/data/####/my-message.0fe985039a93a2a6ec0c.js
/data/data/####/my-message.82922efd7812a9012d28df5aa5d24723.css
/data/data/####/my-message.html
/data/data/####/my-wallet.0fe985039a93a2a6ec0c.js
/data/data/####/my-wallet.7c551182300f2ffbd658d3a8663c365f.css
/data/data/####/my-wallet.html
/data/data/####/nearby_bg.png
/data/data/####/other-cert-type-list.0fe985039a93a2a6ec0c.js
/data/data/####/other-cert-type-list.cd5ae4d4612b48a45321e6efc30f5cd5.css
/data/data/####/other-cert-type-list.html
/data/data/####/other-cert.0fe985039a93a2a6ec0c.js
/data/data/####/other-cert.bd43d6eb92f8e6ff14d80d8768c9e13b.css
/data/data/####/other-cert.html
/data/data/####/other_cert_bg.png
/data/data/####/parttimejob.0fe985039a93a2a6ec0c.js
/data/data/####/parttimejob.afef3f35b68fe9151562aaf2af694a6b.css
/data/data/####/parttimejob.html
/data/data/####/pay-balancesucc.0fe985039a93a2a6ec0c.js
/data/data/####/pay-balancesucc.b09be4f3a59091f04bc0d5fdc2f9d181.css
/data/data/####/pay-balancesucc.html
/data/data/####/pay-depositsucc.0fe985039a93a2a6ec0c.js
/data/data/####/pay-depositsucc.5457c57f7cad6f468f790db94f9fa5d7.css
/data/data/####/pay-depositsucc.html
/data/data/####/payconfirm.0fe985039a93a2a6ec0c.js
/data/data/####/payconfirm.2419d7d9e5cb210a4e9bdb5d10933cbd.css
/data/data/####/payconfirm.html
/data/data/####/paydetail.0fe985039a93a2a6ec0c.js
/data/data/####/paydetail.cff491496cbfb97f48608b1f5ae87dcb.css
/data/data/####/paydetail.html
/data/data/####/payhistory.0fe985039a93a2a6ec0c.js
/data/data/####/payhistory.b09be4f3a59091f04bc0d5fdc2f9d181.css
/data/data/####/payhistory.html
/data/data/####/paylist.0fe985039a93a2a6ec0c.js
/data/data/####/paylist.26455794dc47c101eab1ff11dae5b854.css
/data/data/####/paylist.html
/data/data/####/payment_status.png
/data/data/####/payrecorddetail.0fe985039a93a2a6ec0c.js
/data/data/####/payrecorddetail.3c1eaf1a8da724202b1905e1b9c02adb.css
/data/data/####/payrecorddetail.html
/data/data/####/personal-cert.0fe985039a93a2a6ec0c.js
/data/data/####/personal-cert.12af1013b035032ea19288e36837496a.css
/data/data/####/personal-cert.html
/data/data/####/personal_center.png
/data/data/####/personalinfo-edit.0fe985039a93a2a6ec0c.js
/data/data/####/personalinfo-edit.c1e3e757c897d44d11550771eb876453.css
/data/data/####/personalinfo-edit.html
/data/data/####/personalnickname-edit.0fe985039a93a2a6ec0c.js
/data/data/####/personalnickname-edit.c1e3e757c897d44d11550771eb876453.css
/data/data/####/personalnickname-edit.html
/data/data/####/pref_longtime.xml
/data/data/####/pref_shorttime.xml
/data/data/####/ptj_icons.png
/data/data/####/pubjobtype.0fe985039a93a2a6ec0c.js
/data/data/####/pubjobtype.272a6482b23a105f1fce24d21ea4c9a1.css
/data/data/####/pubjobtype.html
/data/data/####/push.pid
/data/data/####/pushSDK.xml
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/recharge.0fe985039a93a2a6ec0c.js
/data/data/####/recharge.2419d7d9e5cb210a4e9bdb5d10933cbd.css
/data/data/####/recharge.html
/data/data/####/register.0fe985039a93a2a6ec0c.js
/data/data/####/register.663fea693adf5c68f1685021e6d18483.css
/data/data/####/register.html
/data/data/####/resetpwd.0fe985039a93a2a6ec0c.js
/data/data/####/resetpwd.fd0a0e49e7df886eb23ab6f3b1f1abfb.css
/data/data/####/resetpwd.html
/data/data/####/returndeposucc.0fe985039a93a2a6ec0c.js
/data/data/####/returndeposucc.eebaee001611e781dbf507d6555ecbc9.css
/data/data/####/returndeposucc.html
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/setting.0fe985039a93a2a6ec0c.js
/data/data/####/setting.d6468f8575acf5b7847fe0516f867b61.css
/data/data/####/setting.html
/data/data/####/td.lock
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/tdid.xml
/data/data/####/tmp.zip
/data/data/####/vendor.dll.js
/data/data/####/walletdetail.0fe985039a93a2a6ec0c.js
/data/data/####/walletdetail.be0f8af76107661910d4ed3065df1101.css
/data/data/####/walletdetail.html
/data/data/####/webview.db-journal
/data/data/####/weixin-login.0fe985039a93a2a6ec0c.js
/data/data/####/weixin-login.fd0a0e49e7df886eb23ab6f3b1f1abfb.css
/data/data/####/weixin-login.html
/data/data/####/worktime.0fe985039a93a2a6ec0c.js
/data/data/####/worktime.a1456668a9a87c5835100e8b9a728d1e.css
/data/data/####/worktime.html
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/BeLog_1553718769556.log
/data/media/####/BeLog_1553718769888.log
/data/media/####/app.db
/data/media/####/com.doumi.bclient.bin
/data/media/####/com.doumi.bclient.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/dmdid
/data/media/####/domSetting
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.doumi.jianzhi.push.GetTuiPushService 24690 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
getprop ro.board.platform
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.doumi.jianzhi.push.GetTuiPushService 24690 300 0

Загружает динамические библиотеки:

RongIMLib
dek
getuiext2
kerdb
kerkee_util
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней