Adware.Gexin.12060

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) www.zx####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

and####.b####.qq.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.zx####.com

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/0.gif
/data/data/####/0.png
/data/data/####/1.gif
/data/data/####/1.mp3
/data/data/####/1.png
/data/data/####/10.png
/data/data/####/11.png
/data/data/####/12.png
/data/data/####/13.png
/data/data/####/14.png
/data/data/####/15.png
/data/data/####/2.gif
/data/data/####/2.mp3
/data/data/####/2.png
/data/data/####/3.mp3
/data/data/####/3.png
/data/data/####/4.mp3
/data/data/####/4.png
/data/data/####/5.mp3
/data/data/####/5.png
/data/data/####/6.mp3
/data/data/####/6.png
/data/data/####/7.png
/data/data/####/8.png
/data/data/####/9.png
/data/data/####/NO.png
/data/data/####/XNSY.xml
/data/data/####/YES.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/al0.png
/data/data/####/al1.png
/data/data/####/al2.png
/data/data/####/al3.png
/data/data/####/al4.png
/data/data/####/al5.png
/data/data/####/al6.png
/data/data/####/alcolholBurner.png
/data/data/####/alf0.png
/data/data/####/alf1.png
/data/data/####/alf2.png
/data/data/####/alf3.png
/data/data/####/alf4.png
/data/data/####/alf5.png
/data/data/####/alf6.png
/data/data/####/alf7.png
/data/data/####/angular.min.js
/data/data/####/animate.min.css
/data/data/####/arrowDown.png
/data/data/####/arrowUp.png
/data/data/####/async.min.js
/data/data/####/award.css
/data/data/####/award.js
/data/data/####/awardRotate.js
/data/data/####/b0_1.mp3
/data/data/####/b0_2.mp3
/data/data/####/b0_3.mp3
/data/data/####/back.png
/data/data/####/back1.png
/data/data/####/bangzhu.png
/data/data/####/bee2367e498e
/data/data/####/biaoti.png
/data/data/####/biaoti3.png
/data/data/####/bj.gif
/data/data/####/bj.png
/data/data/####/bj2.png
/data/data/####/bjjf.png
/data/data/####/bjzjt.png
/data/data/####/bjztj.png
/data/data/####/bjzwsz.png
/data/data/####/blinkImg.gif
/data/data/####/blue.png
/data/data/####/board.png
/data/data/####/bootstrap.min.css
/data/data/####/bootstrap.min.js
/data/data/####/bottom_shadow.png
/data/data/####/bugly_db_legu-journal
/data/data/####/cjfj.png
/data/data/####/ckxq.png
/data/data/####/clientid_igexin.xml
/data/data/####/cloud1.png
/data/data/####/cloud2.png
/data/data/####/cloud3.gif
/data/data/####/component.css
/data/data/####/cztb.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/dianji.png
/data/data/####/dianjijx.png
/data/data/####/dr1.png
/data/data/####/dr2.png
/data/data/####/draw.html
/data/data/####/draw2.html
/data/data/####/drawimg.png
/data/data/####/duiliezhong.png
/data/data/####/dzxxzhuxx.png
/data/data/####/e1_1.mp3
/data/data/####/edit.png
/data/data/####/eje3cnc
/data/data/####/end.mp3
/data/data/####/exitanniu.png
/data/data/####/exitanniuIcon.png
/data/data/####/fangzhu.png
/data/data/####/fanhui.png
/data/data/####/fanhui2.png
/data/data/####/fasong.png
/data/data/####/fastclick.js
/data/data/####/find.html
/data/data/####/fwanjia.png
/data/data/####/fwjbj.png
/data/data/####/fwjjb.png
/data/data/####/g1_1.mp3
/data/data/####/g1_2.mp3
/data/data/####/g1_3.mp3
/data/data/####/g1_4.mp3
/data/data/####/g1_5.mp3
/data/data/####/g1_6.mp3
/data/data/####/gbanniu.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gif0.png
/data/data/####/gif1.png
/data/data/####/gif10.png
/data/data/####/gif11.png
/data/data/####/gif12.png
/data/data/####/gif13.png
/data/data/####/gif14.png
/data/data/####/gif15.png
/data/data/####/gif16.png
/data/data/####/gif17.png
/data/data/####/gif18.png
/data/data/####/gif19.png
/data/data/####/gif2.png
/data/data/####/gif20.png
/data/data/####/gif21.png
/data/data/####/gif22.png
/data/data/####/gif23.png
/data/data/####/gif24.png
/data/data/####/gif25.png
/data/data/####/gif26.png
/data/data/####/gif27.png
/data/data/####/gif28.png
/data/data/####/gif29.png
/data/data/####/gif3.png
/data/data/####/gif30.png
/data/data/####/gif31.png
/data/data/####/gif32.png
/data/data/####/gif33.png
/data/data/####/gif34.png
/data/data/####/gif35.png
/data/data/####/gif36.png
/data/data/####/gif37.png
/data/data/####/gif38.png
/data/data/####/gif39.png
/data/data/####/gif4.png
/data/data/####/gif5.png
/data/data/####/gif6.png
/data/data/####/gif7.png
/data/data/####/gif8.png
/data/data/####/gif9.png
/data/data/####/goback.png
/data/data/####/goldEgg.png
/data/data/####/gou.png
/data/data/####/grbj.png
/data/data/####/grxx.png
/data/data/####/grzjf.png
/data/data/####/guanbi.png
/data/data/####/gx_sp.xml
/data/data/####/haoyou.png
/data/data/####/haoyouplus.png
/data/data/####/haoyoutg.png
/data/data/####/helppaper.png
/data/data/####/html5Geo.xml
/data/data/####/huakuai.png
/data/data/####/huaxue.png
/data/data/####/huishouye.png
/data/data/####/hx.png
/data/data/####/hxtb.png
/data/data/####/hybj1.png
/data/data/####/hybj2.png
/data/data/####/hybj3.png
/data/data/####/hylb.png
/data/data/####/hyssk.png
/data/data/####/img_01.png
/data/data/####/img_02.png
/data/data/####/img_03.png
/data/data/####/img_1.png
/data/data/####/img_2.png
/data/data/####/index
/data/data/####/index.html
/data/data/####/index0.html
/data/data/####/index1.css
/data/data/####/index1.js
/data/data/####/index2.css
/data/data/####/index2.js
/data/data/####/index3.css
/data/data/####/index3.html
/data/data/####/index3.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inviteRemind.gif
/data/data/####/jQueryRotate.2.2.js
/data/data/####/jQueryRotate.js
/data/data/####/jiahaoyou.png
/data/data/####/jiantou1.png
/data/data/####/jiaosebj.png
/data/data/####/jieshou.png
/data/data/####/jinbi.png
/data/data/####/jingyinanniu.png
/data/data/####/jizhumima.png
/data/data/####/jjyq.png
/data/data/####/jquery-3.0.0.min.js
/data/data/####/jquery.easing.1.3.min.js
/data/data/####/jquery.easing.min.js
/data/data/####/jquery.min.js
/data/data/####/jsxx.png
/data/data/####/jt.png
/data/data/####/jujue.png
/data/data/####/jzmm1.png
/data/data/####/jzmm2.png
/data/data/####/jzmmwz.png
/data/data/####/kspp.png
/data/data/####/ksyx.png
/data/data/####/ksyx2.png
/data/data/####/laba.png
/data/data/####/left.png
/data/data/####/left2.png
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.5.so
/data/data/####/libufix.so
/data/data/####/loadLink.png
/data/data/####/loadLink2.png
/data/data/####/loadWaiting.gif
/data/data/####/loadWaitingbak.gif
/data/data/####/loading.gif
/data/data/####/loadwaiting.html
/data/data/####/loadwaiting.js
/data/data/####/local_crash_lock
/data/data/####/lock.png
/data/data/####/ly-plate.png
/data/data/####/m0.png
/data/data/####/m1.png
/data/data/####/m2.png
/data/data/####/m3.png
/data/data/####/m4.png
/data/data/####/m5.png
/data/data/####/m6.png
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/matchBar.png
/data/data/####/mimaqueren.png
/data/data/####/mix.dex
/data/data/####/mmwenzi.png
/data/data/####/mmxg.png
/data/data/####/mmxgbj.png
/data/data/####/mmxgtg.png
/data/data/####/msgRemind.png
/data/data/####/msjt.png
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/next.gif
/data/data/####/no.gif
/data/data/####/no.mp3
/data/data/####/okgreen.png
/data/data/####/panduan1.png
/data/data/####/panduan2.png
/data/data/####/pdr.xml
/data/data/####/phbtb.png
/data/data/####/pipei1.png
/data/data/####/pipei2.png
/data/data/####/pipei3.png
/data/data/####/pkyq.png
/data/data/####/playerGuide.css
/data/data/####/playerGuide.html
/data/data/####/point.png
/data/data/####/public.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qhzh.png
/data/data/####/qkhysq.png
/data/data/####/quan.png
/data/data/####/quxiaotb.png
/data/data/####/qxxz.png
/data/data/####/redCanmera.png
/data/data/####/redFork.png
/data/data/####/register.html
/data/data/####/register.js
/data/data/####/right.png
/data/data/####/right2.png
/data/data/####/rotaryDraw.js
/data/data/####/rotate-static.png
/data/data/####/rule_title.png
/data/data/####/run.pid
/data/data/####/sdhybk.png
/data/data/####/security_info
/data/data/####/shangcheng.png
/data/data/####/shangyib.png
/data/data/####/shangyibu.png
/data/data/####/shezhi.png
/data/data/####/shezhijiu.png
/data/data/####/shijing.png
/data/data/####/shiyanshi.jpg
/data/data/####/shizhong.mp3
/data/data/####/shizhong.png
/data/data/####/shizhong2.mp3
/data/data/####/simkai.ttf
/data/data/####/sldwz.png
/data/data/####/sn1.png
/data/data/####/sn2.png
/data/data/####/sn3.png
/data/data/####/sn4.png
/data/data/####/sousuo.png
/data/data/####/srk.png
/data/data/####/srmc.png
/data/data/####/sstb.png
/data/data/####/start.css
/data/data/####/start.gif
/data/data/####/start.js
/data/data/####/start.mp3
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/sykaiqi.png
/data/data/####/tcyx.png
/data/data/####/teach.css
/data/data/####/teach.js
/data/data/####/teachBgMusic.mp3
/data/data/####/teachBgMusic.ogg
/data/data/####/teachGuide.js
/data/data/####/test.jpg
/data/data/####/test_app
/data/data/####/threecycle.png
/data/data/####/tianjia.png
/data/data/####/tianjiahy.png
/data/data/####/tianjiazu.png
/data/data/####/tijiao.png
/data/data/####/tishi.gif
/data/data/####/tjhy.png
/data/data/####/tjlxrzbj.png
/data/data/####/tjtb.png
/data/data/####/touming.png
/data/data/####/tp1.png
/data/data/####/tp2.png
/data/data/####/tp4.png
/data/data/####/turnplate-bg_2.png
/data/data/####/turnplate-pointer_2.png
/data/data/####/unlock.png
/data/data/####/update.js
/data/data/####/updateBg.jpg
/data/data/####/update_v1.js
/data/data/####/userAccountPhotoBg.png
/data/data/####/userInfo.css
/data/data/####/userInfo.js
/data/data/####/vs.png
/data/data/####/wancheng.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/whiteplus.png
/data/data/####/wxz.png
/data/data/####/xiaoJieBG.png
/data/data/####/xiazai.png
/data/data/####/xieyiwenzi.png
/data/data/####/xinxin.png
/data/data/####/xinxin2.png
/data/data/####/xlbsbj.png
/data/data/####/xuanzhuang.gif
/data/data/####/yanzhengmakuang.png
/data/data/####/yaoqingzhong.png
/data/data/####/yes.mp3
/data/data/####/youxizhong.png
/data/data/####/yxz.png
/data/data/####/zc1.png
/data/data/####/zc2.PNG
/data/data/####/zhanghao.png
/data/data/####/zhkuang.png
/data/data/####/zhutubiao.png
/data/data/####/zhwenzi.png
/data/data/####/zp.js
/data/data/####/zsldwz.png
/data/data/####/zszdj.png
/data/data/####/zushezhi.png
/data/data/####/zusz.png
/data/data/####/zutb.png
/data/data/####/zutb1.png
/data/data/####/zutb1xin.png
/data/data/####/zutb2.png
/data/data/####/zutb2jiu.png
/data/data/####/zwjjb.png
/data/data/####/zy1.jpg
/data/data/####/zzbdz.js
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.zmkj.xnsy.bin
/data/media/####/com.zmkj.xnsy.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24321 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.5.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24321 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.5
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней