Adware.Gexin.12336

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) f.pai####.net:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 2####.58.211.110:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

aexcep####.b####.qq.com
and####.b####.qq.com
api.map.b####.com
app.pai####.net
c####.g####.ig####.com
c-h####.g####.com
f.pai####.net
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

f.pai####.net/activity/3d0444f37b994b029057b04847ff285d.jpg
f.pai####.net/activity/561af5a60228470e88e6f439e11e8df4.jpg
f.pai####.net/activity/65651553333f437c87b5d6ae9ce59ef2.jpg
f.pai####.net/activity/937a538c6c834d32afc5baf67f4127c8.jpg
f.pai####.net/appimg/46201453_5.gif
f.pai####.net/appimg/allproducts/tab1.png
f.pai####.net/appimg/allproducts/tab3.png
f.pai####.net/appimg/allproducts/tab4.png
f.pai####.net/appimg/allproducts/tab5.png
f.pai####.net/appimg/an1.png
f.pai####.net/appimg/an2.png
f.pai####.net/appimg/an3.png
f.pai####.net/appimg/back.png
f.pai####.net/appimg/bg/bg1.png
f.pai####.net/appimg/detailimg/agree.png
f.pai####.net/appimg/diannao.png
f.pai####.net/appimg/fire.png
f.pai####.net/appimg/help.png
f.pai####.net/appimg/loadding.gif
f.pai####.net/appimg/moneybag.png
f.pai####.net/appimg/mycenter/QQ.png
f.pai####.net/appimg/mycenter/weixin1.png
f.pai####.net/appimg/pencil.png
f.pai####.net/appimg/sunburn.png
f.pai####.net/appimg/yifu.png
f.pai####.net/appimg/zhizhou.png
f.pai####.net/commodity/12008/0.jpg
f.pai####.net/commodity/12011/0.jpg
f.pai####.net/commodity/12028/0.jpg
f.pai####.net/commodity/2001/0.jpg
f.pai####.net/commodity/2006/0.jpg
f.pai####.net/commodity/2007/0.jpg
f.pai####.net/commodity/2009/0.jpg
f.pai####.net/commodity/2010/0.jpg
f.pai####.net/commodity/2017/0.jpg
f.pai####.net/commodity/2018/0.jpg
f.pai####.net/commodity/4045/0.jpg
f.pai####.net/commodity/6039/0.jpg
f.pai####.net/commodity/7004/0.jpg
f.pai####.net/commodity/8005/0.jpg
f.pai####.net/service/activity/homeindex?appid=####&version=####
f.pai####.net/service/collect/list?maxresult=####&currentpage=####&appid...
f.pai####.net/service/commodity/indexList?maxresult=####&novices=####&ui...
qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
f.pai####.net/service/goods/list
sdk-ope####.g####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/1080-1882.png
/data/data/####/1080188.png
/data/data/####/2048-1096.png
/data/data/####/480-762.png
/data/data/####/6P-1242-2208.png
/data/data/####/6P-h.png
/data/data/####/720-1242.png
/data/data/####/GoodsType.js
/data/data/####/H5C4FDE44.xml
/data/data/####/Logisticsinfo.html
/data/data/####/MD5.js
/data/data/####/Myshare.html
/data/data/####/PingFangMedium.ttf
/data/data/####/SignIn.html
/data/data/####/TileHeadPic.js
/data/data/####/URL.js
/data/data/####/WXQQ.js
/data/data/####/WXQQios.js
/data/data/####/X-1125-2436.png
/data/data/####/X-h.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about.html
/data/data/####/aboutme.html
/data/data/####/aboutus.css
/data/data/####/activity.html
/data/data/####/address.css
/data/data/####/address.html
/data/data/####/afterList.js
/data/data/####/afterservice.css
/data/data/####/afterservice.html
/data/data/####/allproducts.css
/data/data/####/allproducts.html
/data/data/####/allproducts.js
/data/data/####/and.png
/data/data/####/app.js
/data/data/####/appLogin.js
/data/data/####/applyafter.css
/data/data/####/applyafter.html
/data/data/####/authStatus_io.dcloud.H5460E66A.xml
/data/data/####/b25735519591
/data/data/####/base64.js
/data/data/####/bgg.png
/data/data/####/bmqd.css
/data/data/####/bmqd.html
/data/data/####/bmqdSearch.css
/data/data/####/bmqdSearch.html
/data/data/####/bootstrap.min.css
/data/data/####/bugly_db_legu-journal
/data/data/####/chat.css
/data/data/####/chat.html
/data/data/####/clientid_igexin.xml
/data/data/####/commentproblem.css
/data/data/####/commentproblem.html
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/cropper.min.js
/data/data/####/data.city.js
/data/data/####/dataCitymap.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/detail.css
/data/data/####/detail.html
/data/data/####/detailcomment.html
/data/data/####/detailimg.html
/data/data/####/detailinfo.css
/data/data/####/detailrule.html
/data/data/####/editaddress.html
/data/data/####/eje3cnc
/data/data/####/exif.js
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/faxian.css
/data/data/####/faxian.html
/data/data/####/feedback.css
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/flexible.js
/data/data/####/fx.html
/data/data/####/gdaemon_20161017
/data/data/####/getpassword.css
/data/data/####/getpassword.html
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/headHeight.js
/data/data/####/height.js
/data/data/####/html5Geo.xml
/data/data/####/hwpt.css
/data/data/####/hwpt.html
/data/data/####/hwptSearch.css
/data/data/####/hwptSearch.html
/data/data/####/i4-640-960.png
/data/data/####/i5-640-1136.png
/data/data/####/i6-750-1334.png
/data/data/####/iPad-1536-2008.png
/data/data/####/icon.png
/data/data/####/img.js
/data/data/####/imgUpdate.js
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/indeximg.css
/data/data/####/indeximg.html
/data/data/####/indexios.html
/data/data/####/indexios.js
/data/data/####/init.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/invitation.css
/data/data/####/invitation.html
/data/data/####/inviteregister.css
/data/data/####/inviteregister.html
/data/data/####/ios.png
/data/data/####/ipad-1024-748.png
/data/data/####/ipad-1024-768.png
/data/data/####/ipad-1536-2048.png
/data/data/####/ipad-768-1004.png
/data/data/####/ipad-768-1024.png
/data/data/####/ipad2048-1536.png
/data/data/####/jQueryRotate.2.2.js
/data/data/####/jquery.base64.js
/data/data/####/jquery.easing.min.js
/data/data/####/jquery.min.js
/data/data/####/jquery.validate.min.js
/data/data/####/kxjl.css
/data/data/####/kxjl.html
/data/data/####/kxjlSearch.css
/data/data/####/kxjlSearch.html
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/loginios.html
/data/data/####/logistics.css
/data/data/####/logistics.html
/data/data/####/logisticsinfo.css
/data/data/####/logisticsinfo.js
/data/data/####/logo.png
/data/data/####/lottery.css
/data/data/####/lottery.html
/data/data/####/manifest.json
/data/data/####/math.js
/data/data/####/mix.dex
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/myafter.js
/data/data/####/mycenter.css
/data/data/####/mycenter.html
/data/data/####/mycenterios.html
/data/data/####/mygoubi.css
/data/data/####/mygoubi.html
/data/data/####/myinfo.css
/data/data/####/myinfo.html
/data/data/####/myjifen.css
/data/data/####/myjifen.html
/data/data/####/myorder.css
/data/data/####/myorder.html
/data/data/####/myorder.js
/data/data/####/mypaibi.css
/data/data/####/mypaibi.html
/data/data/####/mypaiorder.html
/data/data/####/mypaiorder.js
/data/data/####/myredbag.css
/data/data/####/myredbag.html
/data/data/####/myzengbi.css
/data/data/####/myzengbi.html
/data/data/####/native_record_lock
/data/data/####/navigation.js
/data/data/####/navigationios.js
/data/data/####/new.css
/data/data/####/new.html
/data/data/####/new.js
/data/data/####/new_file.html
/data/data/####/newaddress.css
/data/data/####/newaddress.html
/data/data/####/newlast.css
/data/data/####/newlast.html
/data/data/####/newlast.js
/data/data/####/newlastios.html
/data/data/####/newlastios.js
/data/data/####/newscenter.css
/data/data/####/newscenter.html
/data/data/####/noviceguide.css
/data/data/####/noviceguide.html
/data/data/####/pattern.css
/data/data/####/pattern.html
/data/data/####/pattern.js
/data/data/####/patternios.html
/data/data/####/patternios.js
/data/data/####/pay.html
/data/data/####/payRecords.html
/data/data/####/payhas.css
/data/data/####/payhas.html
/data/data/####/payment.css
/data/data/####/pdr.xml
/data/data/####/privacyservices.css
/data/data/####/privacyservices.html
/data/data/####/problem.html
/data/data/####/ptg.css
/data/data/####/ptg.html
/data/data/####/ptg.js
/data/data/####/ptgSearch.css
/data/data/####/ptgSearch.html
/data/data/####/ptgcomment.html
/data/data/####/ptgdetail.css
/data/data/####/ptgdetail.html
/data/data/####/ptgdetail.js
/data/data/####/ptgimg.html
/data/data/####/ptginfo.css
/data/data/####/ptgrule.html
/data/data/####/publish.css
/data/data/####/publish.html
/data/data/####/publish.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/putforward.css
/data/data/####/putforward.html
/data/data/####/qiandao.css
/data/data/####/qiandao.html
/data/data/####/receipt.css
/data/data/####/receipt.html
/data/data/####/receivedred.css
/data/data/####/receivedred.html
/data/data/####/recharge.css
/data/data/####/recharge.html
/data/data/####/refund.css
/data/data/####/refund.html
/data/data/####/register.css
/data/data/####/register.html
/data/data/####/reset.css
/data/data/####/reset_phone.css
/data/data/####/run.pid
/data/data/####/searchGoods.css
/data/data/####/searchGoods.html
/data/data/####/searchHisorty.js
/data/data/####/security_info
/data/data/####/seemore.css
/data/data/####/seemore.html
/data/data/####/set.css
/data/data/####/set.html
/data/data/####/setios.html
/data/data/####/share.html
/data/data/####/shareAll.css
/data/data/####/shareregister.css
/data/data/####/shareregister.html
/data/data/####/showLoading.css
/data/data/####/showLoading.js
/data/data/####/signIn.css
/data/data/####/sizes.js
/data/data/####/splash.html
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/suggest.css
/data/data/####/suggest.html
/data/data/####/swiper-3.2.7.min.css
/data/data/####/swiper-3.4.0.jquery.min.js
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/test.html
/data/data/####/test_app
/data/data/####/textall.css
/data/data/####/timecountdown.js
/data/data/####/touchslider.js
/data/data/####/transaction.css
/data/data/####/transaction.html
/data/data/####/update.js
/data/data/####/updateUserData.js
/data/data/####/useragree.css
/data/data/####/useragree.html
/data/data/####/useragreement.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xsgcomment.html
/data/data/####/xsgdetail.css
/data/data/####/xsgdetail.html
/data/data/####/xsgimg.html
/data/data/####/xsginfo.css
/data/data/####/ys.js
/data/data/####/zepto_min.js
/data/data/####/zhigou.css
/data/data/####/zhigou.html
/data/data/####/zhigoucomment.html
/data/data/####/zhigouimg.html
/data/data/####/zhigouinfo.css
/data/data/####/zxcj.html
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H5460E66A.bin
/data/media/####/io.dcloud.H5460E66A.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24464 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24464 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
Bugly
getuiext2
libnfix
libshella-3.0.0.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней