Adware.Gexin.11490

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_siA393
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/15-2.png
/data/data/####/18946.png
/data/data/####/2-2.png
/data/data/####/AddBankId.html
/data/data/####/AddEquipment.html
/data/data/####/AddPicture.html
/data/data/####/AddProduct.html
/data/data/####/AddShopAssistant.html
/data/data/####/BankIdInfo.html
/data/data/####/Business-fourth.html
/data/data/####/Business-second.html
/data/data/####/Business-third.html
/data/data/####/BusinessInfo.html
/data/data/####/ComplainMerchant.html
/data/data/####/Complaint.png
/data/data/####/DesignTemplate1.html
/data/data/####/DesignTemplate2.html
/data/data/####/EditTemplateOne.html
/data/data/####/EditTemplateTwo.html
/data/data/####/ModifyPicture.html
/data/data/####/MyComplainCustomer.html
/data/data/####/Myrecentcontacts.html
/data/data/####/OrderMaker.html
/data/data/####/PersonSaleNum.html
/data/data/####/SaleStatistics.html
/data/data/####/ScanCode.html
/data/data/####/ShopPropaganda.html
/data/data/####/SuccessPay.html
/data/data/####/Template.png
/data/data/####/aboutQuestion.html
/data/data/####/aboutSoftware.html
/data/data/####/account.css
/data/data/####/addDistributionInfo.html
/data/data/####/addDistributionInfo2.html
/data/data/####/addProduct.html
/data/data/####/aes.min.js
/data/data/####/app.js
/data/data/####/backvideo.png
/data/data/####/bankInfo.html
/data/data/####/beijing.png
/data/data/####/bg.png
/data/data/####/bindingUU.html
/data/data/####/category.html
/data/data/####/changeIDCard.html
/data/data/####/changeLocation.html
/data/data/####/changeName.html
/data/data/####/changeNickName.html
/data/data/####/changePassword.html
/data/data/####/changePhone.html
/data/data/####/changeScenario.html
/data/data/####/clientid_igexin.xml
/data/data/####/complain.html
/data/data/####/coupon.html
/data/data/####/distributionInfo.html
/data/data/####/echarts-all.js
/data/data/####/echarts.js
/data/data/####/evaluate.css
/data/data/####/failPay.html
/data/data/####/failYZ.html
/data/data/####/fb2a17b31dc6
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/findPassword-first.html
/data/data/####/findPassword-second.html
/data/data/####/findPassword-third.html
/data/data/####/flexible.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gps.svg
/data/data/####/gpsButton.png
/data/data/####/gpsButton1.png
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/indexMain.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery-2.1.1.min.js
/data/data/####/juxing.png
/data/data/####/leadOne.png
/data/data/####/leadThree.png
/data/data/####/leadTwo.png
/data/data/####/libjiagu.so
/data/data/####/liveEquipment.html
/data/data/####/login.html
/data/data/####/logo2.png
/data/data/####/loseWifi.html
/data/data/####/manifest.json
/data/data/####/md5.min.js
/data/data/####/merchantData.html
/data/data/####/merchantQrCode.html
/data/data/####/mersearch.html
/data/data/####/mmgj.css
/data/data/####/mmgj.map.css
/data/data/####/mmgj.map.js
/data/data/####/mmgj.map.marker.js
/data/data/####/mmgj.png
/data/data/####/mmgj1.png
/data/data/####/mobileb.xml
/data/data/####/muban1.png
/data/data/####/muban2.png
/data/data/####/mui.css
/data/data/####/mui.dtpicker.css
/data/data/####/mui.dtpicker.js
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage1.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/my.css
/data/data/####/mySettlement.html
/data/data/####/newTemplate.html
/data/data/####/newUser-first.html
/data/data/####/newUser-second.html
/data/data/####/noJiang.png
/data/data/####/oldindexMain.html
/data/data/####/order.html
/data/data/####/orderDetails.html
/data/data/####/orderreply.html
/data/data/####/pack.png
/data/data/####/pdr.xml
/data/data/####/picturelarge.css
/data/data/####/productChoose.html
/data/data/####/productList.html
/data/data/####/pull.png
/data/data/####/pullsh.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/px.png
/data/data/####/qrcode.js
/data/data/####/refund.html
/data/data/####/renewal.html
/data/data/####/run.pid
/data/data/####/scanCode.html
/data/data/####/search.html
/data/data/####/setUp.html
/data/data/####/shexiang.png
/data/data/####/shopAssistant.html
/data/data/####/shopBasicInfo.html
/data/data/####/shopCompanyInfo.html
/data/data/####/shopIndex.html
/data/data/####/shopLocation.html
/data/data/####/shopPropaganda.html
/data/data/####/shopServerMoney.html
/data/data/####/stream_permission.xml
/data/data/####/successYZ.html
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_siA393
/data/data/####/tdata_siA393.jar
/data/data/####/textare.js
/data/data/####/useing.png
/data/data/####/userProtocol.html
/data/data/####/validate.html
/data/data/####/validationHistory.html
/data/data/####/video-old.html
/data/data/####/video.html
/data/data/####/walk.svg
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weishiyong.png
/data/data/####/weixin.mp3
/data/data/####/winningInfoNo.html
/data/data/####/winningInfoYes.html
/data/data/####/yesJiang.png
/data/data/####/yinlian.png
/data/data/####/yixiajia.png
/data/data/####/zhaoshang.png
/data/data/####/zhaoshangtou.png
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.ssguangjie.mobileb.bin
/data/media/####/com.ssguangjie.mobileb.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_siA393
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25213 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней