Adware.Gexin.12563

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) m.babyz####.net:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

c####.g####.ig####.com
c-h####.g####.com
m.babyz####.net
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/1536x2048.png
/data/data/####/36x36.png
/data/data/####/Adexpand.html
/data/data/####/AspNetPager.dll
/data/data/####/Authentic.png
/data/data/####/BrandDbHome.html
/data/data/####/BrandRanking.html
/data/data/####/Brandsearch.html
/data/data/####/ICSharpCode.SharpZipLib.dll
/data/data/####/LitJSON.dll
/data/data/####/NPOI.OOXML.dll
/data/data/####/NPOI.OpenXml4Net.dll
/data/data/####/NPOI.OpenXmlFormats.dll
/data/data/####/NPOI.dll
/data/data/####/Stock.png
/data/data/####/TopSdk.dll
/data/data/####/TopSdk.dll.refresh
/data/data/####/ZADS.API.dll
/data/data/####/ZADS.API.pdb
/data/data/####/ZADS.BLL.dll
/data/data/####/ZADS.BLL.pdb
/data/data/####/ZADS.Common.dll
/data/data/####/ZADS.Common.pdb
/data/data/####/ZADS.CustomControls.dll
/data/data/####/ZADS.CustomControls.pdb
/data/data/####/ZADS.DALFactory.dll
/data/data/####/ZADS.DALFactory.pdb
/data/data/####/ZADS.DBUtility.dll
/data/data/####/ZADS.DBUtility.pdb
/data/data/####/ZADS.IDAL.dll
/data/data/####/ZADS.IDAL.pdb
/data/data/####/ZADS.Model.dll
/data/data/####/ZADS.Model.pdb
/data/data/####/ZADS.SQLServerDAL.dll
/data/data/####/ZADS.SQLServerDAL.pdb
/data/data/####/ZADS.ViewModel.dll
/data/data/####/ZADS.ViewModel.pdb
/data/data/####/ZADS.Web.UI.dll
/data/data/####/ZADS.Web.UI.pdb
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about.html
/data/data/####/accountlist.html
/data/data/####/addr.png
/data/data/####/address.html
/data/data/####/addresslist.html
/data/data/####/agreement.html
/data/data/####/ajax.js
/data/data/####/alert.png
/data/data/####/antui-all.css
/data/data/####/app.js
/data/data/####/appwxlogo.png
/data/data/####/babyzhiai108.png
/data/data/####/banner_bg.jpg
/data/data/####/barcode_scan.html
/data/data/####/bgPlaceHolder.png
/data/data/####/bgblack.png
/data/data/####/bgload.jpg
/data/data/####/brand-list.html
/data/data/####/brandDbindex.html
/data/data/####/brand_guide_head_bg.png
/data/data/####/branddb-detail.html
/data/data/####/branddbhomelist.js
/data/data/####/branddblist.html
/data/data/####/branddbproductlist.html
/data/data/####/branddetail.html
/data/data/####/brandsaleranking.html
/data/data/####/canvassbusiness.html
/data/data/####/canvassbusinessline.html
/data/data/####/cart.html
/data/data/####/category.html
/data/data/####/categoryhomelist.js
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/changepsd-needtem.html
/data/data/####/choose.png
/data/data/####/city.data-3.js
/data/data/####/clientid_igexin.xml
/data/data/####/clock.js
/data/data/####/collection.png
/data/data/####/collectiongoods.html
/data/data/####/com.babyzhiai.m.xml
/data/data/####/common.html
/data/data/####/cx.png
/data/data/####/cz.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dbcategory.html
/data/data/####/dc_ad_type_key.xml
/data/data/####/ddbg.png
/data/data/####/ddfh.png
/data/data/####/default.css
/data/data/####/dividedintoorder.html
/data/data/####/easemob.im-1.0.5.js
/data/data/####/echarts-all.js
/data/data/####/eje3cnc
/data/data/####/express.png
/data/data/####/fail.png
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback.css
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/feedbackDetail.html
/data/data/####/feedbackList.html
/data/data/####/forget_password.html
/data/data/####/fx.jpg
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gfwx.jpg
/data/data/####/guide.html
/data/data/####/gzh.png
/data/data/####/home.html
/data/data/####/homelist.css
/data/data/####/homelist.js
/data/data/####/hotline.png
/data/data/####/html5Geo.xml
/data/data/####/ico1-b765ed158a.png
/data/data/####/ico2-7734e30b67.png
/data/data/####/ico3-c531f7a559.png
/data/data/####/ico4-d7620604a0.png
/data/data/####/icon32_appwx_logo.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/icons-extra.css
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/info.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inventory.html
/data/data/####/ipad-iOS2048x1536.png
/data/data/####/iphone-x.png
/data/data/####/iphoneXH.png
/data/data/####/item.js
/data/data/####/jquery-1.11.1.js
/data/data/####/jquery-1.8.2.min.js
/data/data/####/jquery.i18n.properties-min-1.0.9.js
/data/data/####/json2.js
/data/data/####/kc.png
/data/data/####/kefu.png
/data/data/####/kiss.png
/data/data/####/language.extensions.js
/data/data/####/language.extensions2.js
/data/data/####/libjiagu1761412161.so
/data/data/####/loading.png
/data/data/####/login.html
/data/data/####/loginlogo.png
/data/data/####/logo.png
/data/data/####/m.babyzhiai.net.pubxml
/data/data/####/manifest.json
/data/data/####/mark_nofind.png
/data/data/####/md5.js
/data/data/####/mergepay.html
/data/data/####/mescroll-empty.png
/data/data/####/mescroll-totop.png
/data/data/####/mescroll.min.css
/data/data/####/mescroll.min.js
/data/data/####/message.html
/data/data/####/messagedetail.html
/data/data/####/messagelist.html
/data/data/####/minebg.jpg
/data/data/####/mineline.html
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.enterfocus.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/myrepair_report.html
/data/data/####/new_brand_sprites.png
/data/data/####/newpage.html
/data/data/####/noticeline.html
/data/data/####/orderareareport.html
/data/data/####/orderdetail.html
/data/data/####/orderdone.html
/data/data/####/orderexpress.html
/data/data/####/orderexpressquery.html
/data/data/####/orderinfo.html
/data/data/####/orderlist.html
/data/data/####/orderlistsearch.html
/data/data/####/orderliststock.html
/data/data/####/orderproductdetail.html
/data/data/####/orderreport.html
/data/data/####/own.css
/data/data/####/payment.js
/data/data/####/pdr.xml
/data/data/####/pf.jpg
/data/data/####/pointlist.html
/data/data/####/pp.png
/data/data/####/pptj.png
/data/data/####/product-detail.html
/data/data/####/productlist.html
/data/data/####/productqueryview.html
/data/data/####/productsaleranking.html
/data/data/####/promotiondetail.html
/data/data/####/promotionslist.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.png
/data/data/####/qytj.png
/data/data/####/reg.html
/data/data/####/renling.html
/data/data/####/repair.html
/data/data/####/repairorderdetail.html
/data/data/####/run.pid
/data/data/####/rz.png
/data/data/####/sc.png
/data/data/####/search.html
/data/data/####/searchbar.css
/data/data/####/security.html
/data/data/####/securityline.html
/data/data/####/selectusercoupon.html
/data/data/####/service.png
/data/data/####/serviceorderlist.html
/data/data/####/setting.html
/data/data/####/shop.html
/data/data/####/shop.png
/data/data/####/shoplist.html
/data/data/####/shopmy1.png
/data/data/####/shopmy2.png
/data/data/####/shopmy3.png
/data/data/####/shopmy4.png
/data/data/####/sort.png
/data/data/####/sortdown.png
/data/data/####/sortup.png
/data/data/####/splash01.jpg
/data/data/####/splash02.jpg
/data/data/####/splash03.jpg
/data/data/####/spph.png
/data/data/####/stars_flat_less_space.png
/data/data/####/start_statistics_data.xml
/data/data/####/stockSkuHistory.html
/data/data/####/stockorderdetail.html
/data/data/####/stockorderinfo.html
/data/data/####/stockorderlist.html
/data/data/####/stream_permission.xml
/data/data/####/strings_en.properties
/data/data/####/strings_zh.properties
/data/data/####/strophe-custom-2.0.0.js
/data/data/####/success.png
/data/data/####/suppliersenlist.html
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/sx_b1.jpg
/data/data/####/sx_b5.jpg
/data/data/####/sx_b6.jpg
/data/data/####/sx_b7.jpg
/data/data/####/test_app
/data/data/####/umeng_general_config.xml
/data/data/####/update.js
/data/data/####/useramountdetail.html
/data/data/####/useramountrecharge.html
/data/data/####/usercoupon.html
/data/data/####/userinfo.html
/data/data/####/userinfoview.html
/data/data/####/userinventory.html
/data/data/####/userinventorydetail.html
/data/data/####/util.js
/data/data/####/vd.png
/data/data/####/video.png
/data/data/####/videoplayer.html
/data/data/####/videoplayerdetail.html
/data/data/####/website.publishproj
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.html
/data/data/####/weixin.png
/data/data/####/wl.png
/data/data/####/wl_ajax.js
/data/data/####/ygq.png
/data/data/####/ysy.png
/data/data/####/zalogo.png
/data/data/####/zs.png
/data/data/####/zy.png
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.babyzhiai.m.bin
/data/media/####/com.babyzhiai.m.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24467 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1761412161.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24467 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu1761412161

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней