Adware.Gexin.11336

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) www.y####.net:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) al####.u####.pp.####.cn:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 2####.58.212.142:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

al####.u####.pp.####.cn
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.y####.net

Запросы HTTP GET:

ti####.c####.l####.####.com/config/hz-hzv3.conf
www.y####.net/fangchan/app/ajax.php?action=####&_=####
www.y####.net/fangchan/app/index.php?_=####
www.y####.net/fangchan/images/guke.png

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location
www.y####.net/fangchan/appUpdate.php?act=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.buildPropertiesMD5.data
/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/1.chunk.js
/data/data/####/1.jpg
/data/data/####/16.png
/data/data/####/186054072323755025.png
/data/data/####/2.chunk.js
/data/data/####/2.jpg
/data/data/####/3.jpg
/data/data/####/4.jpg
/data/data/####/5.jpg
/data/data/####/500787204123536794.png
/data/data/####/CNMap.png
/data/data/####/H5058E8C6.xml
/data/data/####/H5058E8C6_download_dcloud.xml
/data/data/####/H5058E8C6_storages.xml
/data/data/####/H5058E8C6_storages.xml.bak (deleted)
/data/data/####/Jquery.autocomplete.js
/data/data/####/NEW.png
/data/data/####/RongIMLib-2.3.0.min.js
/data/data/####/YFIMLib.js
/data/data/####/ZeptoEmoji.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about.html
/data/data/####/about.png
/data/data/####/aboutus.png
/data/data/####/add.png
/data/data/####/aes.js
/data/data/####/agent-detail.html
/data/data/####/agent-list.html
/data/data/####/agent-list.js
/data/data/####/android.png
/data/data/####/api.js
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/appeal.html
/data/data/####/appeal_1.html
/data/data/####/appeal_2.html
/data/data/####/appeallist.html
/data/data/####/arecord.png
/data/data/####/arro.png
/data/data/####/arttmpl.js
/data/data/####/astop.png
/data/data/####/athenacore.js
/data/data/####/aui-actionsheet.js
/data/data/####/aui-collapse.js
/data/data/####/aui-dialog.js
/data/data/####/aui-iconfont.ttf
/data/data/####/aui-lazyload.js
/data/data/####/aui-list-swipe-backup.js
/data/data/####/aui-list-swipe.js
/data/data/####/aui-popup-area.js
/data/data/####/aui-popup-new.js
/data/data/####/aui-popup.js
/data/data/####/aui-pull-refresh.css
/data/data/####/aui-pull-refresh.js
/data/data/####/aui-range.js
/data/data/####/aui-scroll.js
/data/data/####/aui-sharebox.js
/data/data/####/aui-skin.js
/data/data/####/aui-slide.css
/data/data/####/aui-slide.js
/data/data/####/aui-tab.js
/data/data/####/aui-toast.js
/data/data/####/aui.css
/data/data/####/aui.min.js
/data/data/####/authStatus_io.dcloud.H5058E8C6.xml
/data/data/####/bMap.html
/data/data/####/back.png
/data/data/####/banner01.jpg
/data/data/####/banner02.jpg
/data/data/####/banner03.jpg
/data/data/####/barcode.js
/data/data/####/barcode.png
/data/data/####/barcode_scan.html
/data/data/####/bg.jpg
/data/data/####/bgAn.jpg
/data/data/####/bgDoor.jpg
/data/data/####/bgHeader.jpg
/data/data/####/bgInfo.jpg
/data/data/####/bgList.jpg
/data/data/####/bgLogin.jpg
/data/data/####/bgMap.jpg
/data/data/####/bgPic.jpg
/data/data/####/bgRent.jpg
/data/data/####/bgSale.jpg
/data/data/####/bike.png
/data/data/####/bikeios.png
/data/data/####/button-1.png
/data/data/####/button-2.png
/data/data/####/button-3.png
/data/data/####/cache.js
/data/data/####/camera.js
/data/data/####/canvas-view.html
/data/data/####/canvas.js
/data/data/####/cityList.html
/data/data/####/cityc.png
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/commons.js
/data/data/####/crypto-js.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/default-skin.css
/data/data/####/default-skin.png
/data/data/####/default-skin.svg
/data/data/####/default.png
/data/data/####/defaultAvatar.png
/data/data/####/defaulthouse.png
/data/data/####/del.jpg
/data/data/####/demoPhoto.jpg
/data/data/####/device.js
/data/data/####/district-detail.html
/data/data/####/district-list.html
/data/data/####/district-list.js
/data/data/####/dot.jpg
/data/data/####/down.png
/data/data/####/download.js
/data/data/####/editor.jpg
/data/data/####/editor.png
/data/data/####/eje3cnc
/data/data/####/emptyimg.png
/data/data/####/entrust.png
/data/data/####/entrustment-rent.html
/data/data/####/entrustment-sale.html
/data/data/####/entrustment.html
/data/data/####/events.js
/data/data/####/exif.js
/data/data/####/fabu.html
/data/data/####/fangdaijisuanqi.html
/data/data/####/fangdaijisuanqi2.html
/data/data/####/fdck.jpg
/data/data/####/fdck1.jpg
/data/data/####/fdck2.jpg
/data/data/####/fdck3.png
/data/data/####/fdir.png
/data/data/####/fdisk.png
/data/data/####/feedback-field.js
/data/data/####/feedback-naming.js
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback-punch.js
/data/data/####/feedback.js
/data/data/####/ffile.png
/data/data/####/fieldcheck.html
/data/data/####/fieldlist.html
/data/data/####/fieldview.html
/data/data/####/fieldwork.html
/data/data/####/fileSystemDev.js
/data/data/####/file__0.localstorage-journal
/data/data/####/focus.js
/data/data/####/friendship.mp3
/data/data/####/func.js
/data/data/####/fup.png
/data/data/####/fz.jpg
/data/data/####/g1.jpg
/data/data/####/g2.jpg
/data/data/####/g3.jpg
/data/data/####/gallery.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/guide.html
/data/data/####/guke.png
/data/data/####/gx_sp.xml
/data/data/####/h5p.jpg
/data/data/####/helloh5.jpg
/data/data/####/html5Geo.xml
/data/data/####/icoBack.png
/data/data/####/icoHome.png
/data/data/####/icoUser.png
/data/data/####/icon-1.png
/data/data/####/icon-2.png
/data/data/####/icon-3.png
/data/data/####/icon-4.png
/data/data/####/icon-5.png
/data/data/####/icon-6.png
/data/data/####/icon-7.png
/data/data/####/icon.png
/data/data/####/iconfont-tianjia.png
/data/data/####/icons-extra.css
/data/data/####/im-conversation-window.html
/data/data/####/img.css
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index-bmap.html
/data/data/####/index-content1.html
/data/data/####/index-content2.html
/data/data/####/index-content3.html
/data/data/####/index.html
/data/data/####/index01.png
/data/data/####/index02.png
/data/data/####/index03.png
/data/data/####/index04.png
/data/data/####/index05.png
/data/data/####/index06.png
/data/data/####/index07.png
/data/data/####/index08.png
/data/data/####/indexNewhouse.png
/data/data/####/indexRent.png
/data/data/####/indexSale.png
/data/data/####/information-detail.html
/data/data/####/information-list.html
/data/data/####/information-list.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/io.js
/data/data/####/ios.png
/data/data/####/jquery.migrate.js
/data/data/####/jquery.min.js
/data/data/####/json3.min.js
/data/data/####/jt.jpg
/data/data/####/kcuser.html
/data/data/####/kefu.png
/data/data/####/leave.html
/data/data/####/leave_1.html
/data/data/####/leavelist.html
/data/data/####/libcuid.so
/data/data/####/libjiagu1941668489.so
/data/data/####/line.png
/data/data/####/login.gif
/data/data/####/login.html
/data/data/####/login.png
/data/data/####/logo.png
/data/data/####/logos.png
/data/data/####/logout.png
/data/data/####/lrz.all.bundle.js
/data/data/####/lrz.bundle.js
/data/data/####/lrz.js
/data/data/####/main.html
/data/data/####/manifest.json
/data/data/####/map.js
/data/data/####/mapjuxing.jpg
/data/data/####/md5.js
/data/data/####/message.png
/data/data/####/messaging.js
/data/data/####/miaosu.png
/data/data/####/mobile.png
/data/data/####/mobileFix.mini.js
/data/data/####/more.html
/data/data/####/msg.jpg
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.arttmpl.js
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/namingadd.html
/data/data/####/naminglist.html
/data/data/####/namingseach.html
/data/data/####/namingview.html
/data/data/####/namingwork.html
/data/data/####/nav.png
/data/data/####/navigator.js
/data/data/####/net.js
/data/data/####/netloading.gif
/data/data/####/newhouse-detail.html
/data/data/####/newhouse-list.html
/data/data/####/newhouse-list.js
/data/data/####/newhousepublish.html
/data/data/####/newhousepublishmanage-content-edit.html
/data/data/####/newhousepublishmanage.html
/data/data/####/newhousepublishmanage.js
/data/data/####/notfound.png
/data/data/####/oauth.js
/data/data/####/orientationa.png
/data/data/####/orientationb.png
/data/data/####/orientationbg.png
/data/data/####/orientationc.png
/data/data/####/orientationl.png
/data/data/####/pad-zeropadding.js
/data/data/####/pagerr.png
/data/data/####/password.png
/data/data/####/pdr.xml
/data/data/####/phone.jpg
/data/data/####/photoswipe-ui-default.js
/data/data/####/photoswipe-ui-default.min.js
/data/data/####/photoswipe.css
/data/data/####/photoswipe.js
/data/data/####/photoswipe.min.js
/data/data/####/pic01.png
/data/data/####/pic02.png
/data/data/####/pic03.png
/data/data/####/plist.js
/data/data/####/position.jpg
/data/data/####/preloader.gif
/data/data/####/pricesearch.html
/data/data/####/pull_arrow.png
/data/data/####/pull_fresh.png
/data/data/####/punch.html
/data/data/####/push.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq-friend.png
/data/data/####/qq-weibo.png
/data/data/####/qq.png
/data/data/####/qr.png
/data/data/####/querycomlist.html
/data/data/####/queryuser.html
/data/data/####/queryuserlist.html
/data/data/####/quit.png
/data/data/####/qzone.png
/data/data/####/rand1.jpg
/data/data/####/rand2.jpg
/data/data/####/rand3.jpg
/data/data/####/rand4.jpg
/data/data/####/rand5.jpg
/data/data/####/rand6.jpg
/data/data/####/rand7.jpg
/data/data/####/refresh.jpg
/data/data/####/rent-detail.html
/data/data/####/rent-list.html
/data/data/####/rent-list.js
/data/data/####/rent.png
/data/data/####/rentCollectionManage.html
/data/data/####/rentCollectionManage.js
/data/data/####/rentpublish.html
/data/data/####/rentpublishmanage-content-edit.html
/data/data/####/rentpublishmanage.html
/data/data/####/rentpublishmanage.js
/data/data/####/rong.js
/data/data/####/run.pid
/data/data/####/runtime.js
/data/data/####/sa.png
/data/data/####/sa@2x.png
/data/data/####/sa@3x.png
/data/data/####/sale.png
/data/data/####/scan.html
/data/data/####/scan.png
/data/data/####/scanning.html
/data/data/####/schedule.html
/data/data/####/search.png
/data/data/####/searchbg.png
/data/data/####/searchmap.png
/data/data/####/searchprice.png
/data/data/####/searchtype.html
/data/data/####/sell-detail.html
/data/data/####/sell-list.html
/data/data/####/sell-list.js
/data/data/####/sell.png
/data/data/####/sellCollectionManage.html
/data/data/####/sellCollectionManage.js
/data/data/####/sellpublish.html
/data/data/####/sellpublishmanage-content-edit.html
/data/data/####/sellpublishmanage.html
/data/data/####/sellpublishmanage.js
/data/data/####/setcomlist.html
/data/data/####/setcommap.html
/data/data/####/setpassword.html
/data/data/####/shake.wav
/data/data/####/shakedown.png
/data/data/####/shakeup.png
/data/data/####/share.js
/data/data/####/shelves.jpg
/data/data/####/shelvesup.png
/data/data/####/shortcut.js
/data/data/####/sina-weibo.png
/data/data/####/socket.io.js
/data/data/####/stars.png
/data/data/####/start_statistics_data.xml
/data/data/####/status0.png
/data/data/####/status1.png
/data/data/####/status2.png
/data/data/####/status3.png
/data/data/####/store.min.js
/data/data/####/stream_permission.xml
/data/data/####/tel.png
/data/data/####/test_app
/data/data/####/tuijian.html
/data/data/####/tuijian.png
/data/data/####/type.png
/data/data/####/ui.png
/data/data/####/up.png
/data/data/####/update.js
/data/data/####/upload.js
/data/data/####/userEditer.html
/data/data/####/username.png
/data/data/####/v_calendar.css
/data/data/####/v_calendar.js
/data/data/####/wait01.gif
/data/data/####/wait02.gif
/data/data/####/waiting.png
/data/data/####/webchat.jpg
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal (deleted)
/data/data/####/widget.js
/data/data/####/wx-circle.png
/data/data/####/wx.png
/data/data/####/xiala.png
/data/data/####/xl.jpg
/data/data/####/xl.png
/data/data/####/xm.png
/data/data/####/yin.png
/data/data/####/zepto.min.js
/data/data/####/zip.js
/data/data/####/zong.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/110_ea7c58b59e45d6891617b019a174ff85.apk
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/dt191553964276573.download
/data/media/####/io.dcloud.H5058E8C6.bin
/data/media/####/io.dcloud.H5058E8C6.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24471 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1941668489.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24471 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu1941668489

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней