Adware.Gexin.11298

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) m.industr####.com:443
TCP(TLS/1.0) 2####.58.212.238:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
m.industr####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.dc####.io

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
ser####.dc####.net.cn/urd.json?v=####
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/0.9b3054.js
/data/data/####/1.bf0221.js
/data/data/####/10.45287d.js
/data/data/####/100.69c425.js
/data/data/####/101.e8155f.js
/data/data/####/102.b0e67d.js
/data/data/####/105.45c35a.js
/data/data/####/106.bb2789.js
/data/data/####/107.e50bc4.js
/data/data/####/108.268c62.js
/data/data/####/109.bc26ba.js
/data/data/####/11.2ab6aa.js
/data/data/####/110.0542df.js
/data/data/####/111.03485b.js
/data/data/####/112.d44a58.js
/data/data/####/113.bf0247.js
/data/data/####/114.3ffadb.js
/data/data/####/12.b3bb28.js
/data/data/####/13.405e19.js
/data/data/####/14.7fbd52.js
/data/data/####/15.b3c5eb.js
/data/data/####/16.de8d71.js
/data/data/####/17.bb95cb.js
/data/data/####/18.37fbab.js
/data/data/####/19.1d2681.js
/data/data/####/1f388.a5de104.png
/data/data/####/1f41e.3686d96.png
/data/data/####/1f437.4f7a71a.png
/data/data/####/1f47b.7fca281.png
/data/data/####/1f49d.5c9d5b6.png
/data/data/####/1f4aa-1f3fc.6590c31.png
/data/data/####/1f60c.376e1e4.png
/data/data/####/1f612.bc0cea0.png
/data/data/####/1f615.35c486b.png
/data/data/####/1f616.6aae09a.png
/data/data/####/1f61d.95c8843.png
/data/data/####/1f628.3ccfe45.png
/data/data/####/1f629.5884e64.png
/data/data/####/1f62a.6a874a5.png
/data/data/####/1f630.d4d51d6.png
/data/data/####/1f63e.efe838e.png
/data/data/####/1f641.e99fc4d.png
/data/data/####/1f642.1fae291.png
/data/data/####/1f64f-1f3fc.6c1908b.png
/data/data/####/2.9c59d4.js
/data/data/####/20.753890.js
/data/data/####/21.cb4674.js
/data/data/####/22.1f7e61.js
/data/data/####/23.84a3b8.js
/data/data/####/24.3c4ebf.js
/data/data/####/25.283b0d.js
/data/data/####/26.757bd1.js
/data/data/####/27.2fcf44.js
/data/data/####/28.337ca3.js
/data/data/####/29.eb9bc8.js
/data/data/####/3.2f484c.js
/data/data/####/30.dff9c3.js
/data/data/####/31.3e7126.js
/data/data/####/32.2888f5.js
/data/data/####/33.6d21dd.js
/data/data/####/34.b755c1.js
/data/data/####/35.3ed20b.js
/data/data/####/36.d45db8.js
/data/data/####/37.e83753.js
/data/data/####/38.7dd069.js
/data/data/####/39.79424f.js
/data/data/####/4.b41ff0.js
/data/data/####/40.ea7744.js
/data/data/####/404.bdee8b6.png
/data/data/####/41.fe64fc.js
/data/data/####/42.aae93b.js
/data/data/####/43.b60cbc.js
/data/data/####/44.a84e52.js
/data/data/####/45.ab0c28.js
/data/data/####/46.28dd0e.js
/data/data/####/47.e9806d.js
/data/data/####/48.530c0c.js
/data/data/####/49.80aa2b.js
/data/data/####/5.bfd41b.js
/data/data/####/5.d02fc66.png
/data/data/####/50.2f7d5d.js
/data/data/####/50c981251496
/data/data/####/51.1d9908.js
/data/data/####/52.1410bd.js
/data/data/####/53.c5213d.js
/data/data/####/54.1bb0c9.js
/data/data/####/55.1798f2.js
/data/data/####/56.68218c.js
/data/data/####/57.4d1095.js
/data/data/####/58.1b455d.js
/data/data/####/59.f0eaef.js
/data/data/####/6.35ab63.js
/data/data/####/60.b4693a.js
/data/data/####/61.f6a4f9.js
/data/data/####/62.a86f65.js
/data/data/####/63.79aff8.js
/data/data/####/64.2cbf50.js
/data/data/####/65.db3aef.js
/data/data/####/66.de11b7.js
/data/data/####/67.f4b72b.js
/data/data/####/68.e05749.js
/data/data/####/69.08db1f.js
/data/data/####/7.13ed98.js
/data/data/####/70.3f39fa.js
/data/data/####/71.6c0526.js
/data/data/####/72.3afff4.js
/data/data/####/73.c81524.js
/data/data/####/74.70d567.js
/data/data/####/75.115a87.js
/data/data/####/76.268f02.js
/data/data/####/77.51097b.js
/data/data/####/78.3e191e.js
/data/data/####/79.700842.js
/data/data/####/8.422a84.js
/data/data/####/80.bb25af.js
/data/data/####/81.c15e29.js
/data/data/####/82.955a46.js
/data/data/####/83.cc004d.js
/data/data/####/84.6682ba.js
/data/data/####/85.9d6774.js
/data/data/####/86.dd0d21.js
/data/data/####/87.d72c9b.js
/data/data/####/88.801527.js
/data/data/####/89.284c4c.js
/data/data/####/9.b354d8.js
/data/data/####/90.36302c.js
/data/data/####/91.fd8b05.js
/data/data/####/92.fbf457.js
/data/data/####/93.1eb7e3.js
/data/data/####/94.02695d.js
/data/data/####/95.bcbe97.js
/data/data/####/96.0b0600.js
/data/data/####/97.64ce43.js
/data/data/####/98.8d3ece.js
/data/data/####/99.e67fe5.js
/data/data/####/__app__.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about_logo.4ad7e2f.png
/data/data/####/alipay_loading.3868087.png
/data/data/####/app.6908e8.js
/data/data/####/app.bcfc88e8126109ef3872bff148600b5e.css
/data/data/####/bugly_db_legu-journal
/data/data/####/bulb.c2e89c1.svg
/data/data/####/bundle_plaza_new_hand_bg.4475d94.png
/data/data/####/car.fa71827.png
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/doc.349bcac.svg
/data/data/####/docx.a1cf616.svg
/data/data/####/down.ae93398.png
/data/data/####/eje3cnc
/data/data/####/emoji_00.3b5918e.png
/data/data/####/emoji_01.c91a3d7.png
/data/data/####/emoji_02.62d4d4a.png
/data/data/####/emoji_03.7550f8d.png
/data/data/####/emoji_04.7274adf.png
/data/data/####/emoji_05.7f5a678.png
/data/data/####/emoji_06.069a02d.png
/data/data/####/emoji_07.09b012e.png
/data/data/####/emoji_08.7d15bd9.png
/data/data/####/emoji_09.c9d3c1a.png
/data/data/####/emoji_10.a8b5534.png
/data/data/####/emoji_100.6dd0283.png
/data/data/####/emoji_101.a73ba4f.png
/data/data/####/emoji_102.d416141.png
/data/data/####/emoji_103.d80fb51.png
/data/data/####/emoji_104.3b55424.png
/data/data/####/emoji_105.da2c653.png
/data/data/####/emoji_106.86bf96c.png
/data/data/####/emoji_107.75cbdd3.png
/data/data/####/emoji_108.835052e.png
/data/data/####/emoji_109.e597224.png
/data/data/####/emoji_11.d9b269f.png
/data/data/####/emoji_110.23374f2.png
/data/data/####/emoji_111.7baa83b.png
/data/data/####/emoji_112.2e79532.png
/data/data/####/emoji_113.c3b94a1.png
/data/data/####/emoji_114.a49a03e.png
/data/data/####/emoji_115.e7af0a0.png
/data/data/####/emoji_12.64d6d2e.png
/data/data/####/emoji_13.d3a9667.png
/data/data/####/emoji_14.75ece3f.png
/data/data/####/emoji_145.a27dab0.png
/data/data/####/emoji_15.dc0dc44.png
/data/data/####/emoji_16.033be64.png
/data/data/####/emoji_160.4358bda.png
/data/data/####/emoji_161.3c0b05f.png
/data/data/####/emoji_162.5f6c616.png
/data/data/####/emoji_163.b44230a.png
/data/data/####/emoji_164.98804f9.png
/data/data/####/emoji_165.95371a4.png
/data/data/####/emoji_166.7d739eb.png
/data/data/####/emoji_167.d3d79fc.png
/data/data/####/emoji_17.34c4b6f.png
/data/data/####/emoji_18.83b18f2.png
/data/data/####/emoji_19.0ecca34.png
/data/data/####/emoji_20.0184659.png
/data/data/####/emoji_21.67edbf5.png
/data/data/####/emoji_22.703fb2d.png
/data/data/####/emoji_23.77bb735.png
/data/data/####/emoji_24.7f593de.png
/data/data/####/emoji_25.fe0cb19.png
/data/data/####/emoji_26.ef3740f.png
/data/data/####/emoji_27.8fd9f6e.png
/data/data/####/emoji_28.c67f014.png
/data/data/####/emoji_29.d7eef74.png
/data/data/####/emoji_30.13d486a.png
/data/data/####/emoji_31.993be7d.png
/data/data/####/emoji_32.388aa9a.png
/data/data/####/emoji_33.47f5df9.png
/data/data/####/emoji_34.599002b.png
/data/data/####/emoji_35.7167088.png
/data/data/####/emoji_36.155327e.png
/data/data/####/emoji_37.fd699a8.png
/data/data/####/emoji_38.17f0f40.png
/data/data/####/emoji_39.27d481b.png
/data/data/####/emoji_40.e9d2304.png
/data/data/####/emoji_41.e1517ed.png
/data/data/####/emoji_42.4df2df6.png
/data/data/####/emoji_43.1a8499c.png
/data/data/####/emoji_44.1ad1f9e.png
/data/data/####/emoji_45.40fe341.png
/data/data/####/emoji_46.ca9e777.png
/data/data/####/emoji_47.99d4c54.png
/data/data/####/emoji_48.0adb6f7.png
/data/data/####/emoji_49.304c352.png
/data/data/####/emoji_50.fbc8916.png
/data/data/####/emoji_51.daccfd2.png
/data/data/####/emoji_52.192cb75.png
/data/data/####/emoji_53.0220363.png
/data/data/####/emoji_54.a9a6f69.png
/data/data/####/emoji_55.53a8227.png
/data/data/####/emoji_56.ccf670d.png
/data/data/####/emoji_57.6515be6.png
/data/data/####/emoji_58.04fc414.png
/data/data/####/emoji_59.383e983.png
/data/data/####/emoji_60.68b6a97.png
/data/data/####/emoji_61.80a2421.png
/data/data/####/emoji_62.d5ec74e.png
/data/data/####/emoji_63.e22d169.png
/data/data/####/emoji_64.3f7bddf.png
/data/data/####/emoji_65.06683b2.png
/data/data/####/emoji_66.8dfb17e.png
/data/data/####/emoji_67.ceb1bc9.png
/data/data/####/emoji_68.88d79c5.png
/data/data/####/emoji_69.4dcd8b9.png
/data/data/####/emoji_70.b7bda36.png
/data/data/####/emoji_71.85bacd5.png
/data/data/####/emoji_72.caf25a3.png
/data/data/####/emoji_73.d1900ab.png
/data/data/####/emoji_74.00ba9cd.png
/data/data/####/emoji_75.ab61344.png
/data/data/####/emoji_76.51dd584.png
/data/data/####/emoji_77.4246dce.png
/data/data/####/emoji_78.b4f2553.png
/data/data/####/emoji_79.9c6292b.png
/data/data/####/emoji_80.1bf5532.png
/data/data/####/emoji_81.79bb21b.png
/data/data/####/emoji_82.d9d39f0.png
/data/data/####/emoji_83.0d790fe.png
/data/data/####/emoji_84.fbd9582.png
/data/data/####/emoji_85.edfa207.png
/data/data/####/emoji_86.e5dc5ed.png
/data/data/####/emoji_87.baa43cd.png
/data/data/####/emoji_88.5c2e185.png
/data/data/####/emoji_89.3a5ee45.png
/data/data/####/emoji_90.3c9b9b9.png
/data/data/####/emoji_91.e459e7a.png
/data/data/####/emoji_92.fdceefa.png
/data/data/####/emoji_93.934cae0.png
/data/data/####/emoji_94.6e54ebf.png
/data/data/####/emoji_95.bb345b5.png
/data/data/####/emoji_96.06f6249.png
/data/data/####/emoji_97.c37f2cb.png
/data/data/####/emoji_98.3170dee.png
/data/data/####/emoji_99.5495372.png
/data/data/####/enterprise.ef4b6f4.png
/data/data/####/f_000001
/data/data/####/file__0.localstorage-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/icon_loading.2deebd3.png
/data/data/####/iconfont.2f56124.ttf
/data/data/####/iconfont.516c487.svg
/data/data/####/iconfont.c290231.svg
/data/data/####/iconfont.ttf
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inte.fd027d0.png
/data/data/####/jinbi.f393358.svg
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/loading.2d9d6c7.svg
/data/data/####/loading.eaa19c2.png
/data/data/####/local_crash_lock
/data/data/####/lock.31c4ed8.svg
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/mix.dex
/data/data/####/mp3.d64efed.svg
/data/data/####/mp4.5ed1d8c.svg
/data/data/####/native_record_lock
/data/data/####/new_emoji_01.5a5920f.png
/data/data/####/new_emoji_02.76e1e9c.png
/data/data/####/new_emoji_03.301d3b1.png
/data/data/####/new_emoji_05.ee96c76.png
/data/data/####/new_emoji_06.8704cb1.png
/data/data/####/new_emoji_07.a5c0c8b.png
/data/data/####/new_emoji_08.716c66b.png
/data/data/####/new_emoji_09.1c73f2a.png
/data/data/####/new_emoji_10.008b4db.png
/data/data/####/new_emoji_11.ec7cc1b.png
/data/data/####/new_emoji_13.e84dc35.png
/data/data/####/new_emoji_18.cabcc9a.png
/data/data/####/new_emoji_19.21f1b33.png
/data/data/####/new_emoji_20.f7b5c0d.png
/data/data/####/new_emoji_21.478b67d.png
/data/data/####/new_emoji_22.3d71bb3.png
/data/data/####/new_emoji_23.75a53b7.png
/data/data/####/new_emoji_24.12a71f9.png
/data/data/####/new_emoji_25.352f0a9.png
/data/data/####/new_emoji_28.79152ef.png
/data/data/####/new_emoji_30.1fa61c6.png
/data/data/####/no_pic_300_240.3714a55.jpg
/data/data/####/pause.a9c256f.svg
/data/data/####/pdf.5189421.svg
/data/data/####/pdr.xml
/data/data/####/pengyouquan.747f484.svg
/data/data/####/personal.0d9c56f.png
/data/data/####/play-2.c32d37b.png
/data/data/####/play.f2152a0.svg
/data/data/####/pop-down.c1b6611.png
/data/data/####/pop-up.591de35.png
/data/data/####/portrait_bg.d8ab821.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rar.9ee3309.svg
/data/data/####/replay.7a81e90.png
/data/data/####/rotate_img.27afec8.png
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/signin.fb1461a.svg
/data/data/####/signin_done.886dc14.svg
/data/data/####/sku_star10.e2db9f7.png
/data/data/####/sku_star20.3cf900f.png
/data/data/####/sku_star30.e78c96d.png
/data/data/####/sku_star35.1dd9954.png
/data/data/####/sku_star40.7c784ea.png
/data/data/####/sku_star45.05b9020.png
/data/data/####/sku_star50.ee390ac.png
/data/data/####/starfull.22745f6.png
/data/data/####/starhalf.e2cb955.png
/data/data/####/starnone.cad0f61.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/swiper.494a86.js
/data/data/####/test_app
/data/data/####/touchui-api.f368ee.js
/data/data/####/triangle.745cb24.png
/data/data/####/vendor.093cf0.js
/data/data/####/vue.af231e.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xls.ed22566.svg
/data/data/####/xlsx.0d660d4.svg
/data/data/####/yiweitong.xml
/data/data/####/zip.4c12f4f.svg
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yiweitong.android.bin
/data/media/####/com.yiweitong.android.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25139 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25139 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней