Adware.Gexin.12708

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) app####.jajxs####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 1####.217.20.78:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
and####.b####.qq.com
app####.jajxs####.com
c####.g####.ig####.com
c-h####.g####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

app####.jajxs####.com/jajxstockapp/clientextend.css
app####.jajxs####.com/jajxstockapp/update/updateall.php?osname=####&appi...
t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
app####.jajxs####.com/jajxstockapp/newsforshare/showuserids.php
app####.jajxs####.com/jajxstockapp/sfc.php
app####.jajxs####.com/jajxstockapp/userpopmsg/userpopmsgcheck.php
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/01.jpg
/data/data/####/01.png
/data/data/####/02.jpg
/data/data/####/02.png
/data/data/####/03.jpg
/data/data/####/03.png
/data/data/####/04.png
/data/data/####/05.png
/data/data/####/06.png
/data/data/####/07.png
/data/data/####/08.png
/data/data/####/1024748.png
/data/data/####/1024768.png
/data/data/####/11252436.png
/data/data/####/12422208.png
/data/data/####/15362008.png
/data/data/####/15362048.png
/data/data/####/15362208.png
/data/data/####/20481496.png
/data/data/####/20481536.png
/data/data/####/22081242.png
/data/data/####/24361125.png
/data/data/####/60x60.gif
/data/data/####/6401136.png
/data/data/####/640960.png
/data/data/####/7681004.png
/data/data/####/7681024.png
/data/data/####/H59D2088E.xml
/data/data/####/H59D2088E_storages.xml
/data/data/####/MultiDex.lock
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/_contactus.html
/data/data/####/_messagepush.js
/data/data/####/about01.html
/data/data/####/about02.html
/data/data/####/aboutUs.png
/data/data/####/agreement.html
/data/data/####/agreementWX.html
/data/data/####/agreement_show.html
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/app_1.css
/data/data/####/app_1.min.css
/data/data/####/array1.png
/data/data/####/array2.png
/data/data/####/arrow.png
/data/data/####/arrow01.png
/data/data/####/arrow02.png
/data/data/####/arrow03.png
/data/data/####/arrow03_1.png
/data/data/####/arrow04.png
/data/data/####/arrow04_1.png
/data/data/####/arttmpl.js
/data/data/####/baota.js
/data/data/####/baotatu.png
/data/data/####/basicInfo.png
/data/data/####/bg.png
/data/data/####/bgt.js
/data/data/####/bindwx.png
/data/data/####/black.html
/data/data/####/black.png
/data/data/####/blackList.png
/data/data/####/blackstocks.html
/data/data/####/bodybg.jpg
/data/data/####/bootstrap.min.css
/data/data/####/bt01.png
/data/data/####/bt02.PNG
/data/data/####/bt03.png
/data/data/####/bt04.png
/data/data/####/bt05.png
/data/data/####/bt06.png
/data/data/####/bt07.png
/data/data/####/bt08.png
/data/data/####/bt09.png
/data/data/####/bugly_db_legu-journal
/data/data/####/chartdaykline.js
/data/data/####/chartdaykline_small.js
/data/data/####/chartdaymingxi.js
/data/data/####/chartdaynewfenbi.js
/data/data/####/chartmuniteline.js
/data/data/####/chartmuniteline_small.js
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/collection.png
/data/data/####/contactus.html
/data/data/####/cropper.min.css
/data/data/####/cropper.min.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_1 (deleted)
/data/data/####/data_2
/data/data/####/data_2 (deleted)
/data/data/####/data_3
/data/data/####/data_3 (deleted)
/data/data/####/dc_ad_type_key.xml
/data/data/####/dengji01.png
/data/data/####/dengji02.png
/data/data/####/dengji03.png
/data/data/####/dengji04.png
/data/data/####/dengji05.png
/data/data/####/detail.css
/data/data/####/detail.html
/data/data/####/detailforshare.html
/data/data/####/echarts.min.js
/data/data/####/editpass.css
/data/data/####/editpass.html
/data/data/####/editpass.html.js
/data/data/####/editpassChange.html
/data/data/####/edituserinfo.css
/data/data/####/edituserinfo.html
/data/data/####/eje3cnc
/data/data/####/error.html
/data/data/####/exit.png
/data/data/####/feedback.css
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/fenlei.png
/data/data/####/flash.png
/data/data/####/floatwin.html
/data/data/####/flow.png
/data/data/####/forgotpass.html
/data/data/####/friends.png
/data/data/####/fullchart.css
/data/data/####/fullchart.html
/data/data/####/fullchartindex.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/goodLuck.png
/data/data/####/goodStocks.html
/data/data/####/goodStocks_OLD.html
/data/data/####/gpsloc.js
/data/data/####/grade.png
/data/data/####/gt.js
/data/data/####/gtinc.js
/data/data/####/guide.html
/data/data/####/guide2.html
/data/data/####/html5Geo.xml
/data/data/####/hydt.png
/data/data/####/icon-ps.png
/data/data/####/iconfont.css
/data/data/####/iconfont.eot
/data/data/####/iconfont.js
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/imageresize.js
/data/data/####/index
/data/data/####/index-active.png
/data/data/####/index.html
/data/data/####/index.png
/data/data/####/info.png
/data/data/####/infoNo.png
/data/data/####/information.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/investor.png
/data/data/####/jajx.png
/data/data/####/jajx01.png
/data/data/####/jajx02.png
/data/data/####/jajx_s.png
/data/data/####/jquery-1.11.1.min.js
/data/data/####/jquery-3.1.1.slim.min.js
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/list-active.png
/data/data/####/list.png
/data/data/####/loading.gif
/data/data/####/loading2x1.gif
/data/data/####/loading4x1.gif
/data/data/####/local_crash_lock
/data/data/####/logo.png
/data/data/####/logo0.png
/data/data/####/manifest.json
/data/data/####/market.png
/data/data/####/marketNo.png
/data/data/####/md5.min.js
/data/data/####/messagedetail.css
/data/data/####/messagepush.js
/data/data/####/minirefresh-totop.png
/data/data/####/minirefresh.min.css
/data/data/####/minirefresh.min.js
/data/data/####/minirefresh.theme.applet.min.css
/data/data/####/minirefresh.theme.applet.min.js
/data/data/####/minirefresh.theme.default.min.css
/data/data/####/minirefresh.theme.default.min.js
/data/data/####/minirefresh.theme.drawer3d.min.css
/data/data/####/minirefresh.theme.drawer3d.min.js
/data/data/####/minirefresh.theme.drawerslider.min.css
/data/data/####/minirefresh.theme.drawerslider.min.js
/data/data/####/minirefresh.theme.taobao.min.css
/data/data/####/minirefresh.theme.taobao.min.js
/data/data/####/mix.dex
/data/data/####/modifyCode.png
/data/data/####/msgdetail.html
/data/data/####/msglist.html
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.imageViewer.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.pullToRefresh.app.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/my.html
/data/data/####/my.png
/data/data/####/myNews.html
/data/data/####/myNews.png
/data/data/####/myNo.png
/data/data/####/myStorage.js
/data/data/####/mystocks.css
/data/data/####/mystocks.html
/data/data/####/mystocksedit.html
/data/data/####/native_record_lock
/data/data/####/neican.png
/data/data/####/news.css
/data/data/####/news.html
/data/data/####/newsCollection.html
/data/data/####/newsOld.html
/data/data/####/news_new.html
/data/data/####/news_old.html
/data/data/####/newsforshare.html
/data/data/####/newsneican.html
/data/data/####/noSelect.png
/data/data/####/page.js
/data/data/####/payment.css
/data/data/####/paymentIOS.html
/data/data/####/paymentOther.html
/data/data/####/paymentOtherUnderline.html
/data/data/####/paymentagreement.html
/data/data/####/paymenthelp.html
/data/data/####/pdr.xml
/data/data/####/pullrefresh.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/red.png
/data/data/####/redList.png
/data/data/####/redorblack.css
/data/data/####/redstocks.html
/data/data/####/refresh.png
/data/data/####/register.html
/data/data/####/register.html.js
/data/data/####/registerWeiXin.html
/data/data/####/remote.html
/data/data/####/rulecheck.js
/data/data/####/run.pid
/data/data/####/search.png
/data/data/####/security_info
/data/data/####/select.png
/data/data/####/selected.png
/data/data/####/selectedNo.png
/data/data/####/serviceHotline.png
/data/data/####/share.js
/data/data/####/share.png
/data/data/####/shareChange.js
/data/data/####/share_weixin.html
/data/data/####/sharestock.js
/data/data/####/sign_in.css
/data/data/####/sign_in.html
/data/data/####/sign_in.html.js
/data/data/####/signinWeixinbind.html
/data/data/####/slidermenu.js
/data/data/####/spflash1024748.png
/data/data/####/spflash1024768.png
/data/data/####/spflash10801882.png
/data/data/####/spflash11252436.png
/data/data/####/spflash1136640.png
/data/data/####/spflash12422208.png
/data/data/####/spflash12422688.png
/data/data/####/spflash1334750.png
/data/data/####/spflash15362008.png
/data/data/####/spflash15362048.png
/data/data/####/spflash15362208.png
/data/data/####/spflash16682224.png
/data/data/####/spflash16682388.png
/data/data/####/spflash1792828.png
/data/data/####/spflash20182732.png
/data/data/####/spflash20481496.png
/data/data/####/spflash20481536.png
/data/data/####/spflash20482732.png
/data/data/####/spflash22081242.png
/data/data/####/spflash22241668.png
/data/data/####/spflash23881668.png
/data/data/####/spflash24361125.png
/data/data/####/spflash26881242.png
/data/data/####/spflash27322018.png
/data/data/####/spflash480762.png
/data/data/####/spflash6401136.png
/data/data/####/spflash640960.png
/data/data/####/spflash7201242.png
/data/data/####/spflash7501334.png
/data/data/####/spflash7681004.png
/data/data/####/spflash7681024.png
/data/data/####/spflash8281792.png
/data/data/####/star0.png
/data/data/####/star1.png
/data/data/####/star2.png
/data/data/####/star3.png
/data/data/####/star4.png
/data/data/####/star5.png
/data/data/####/start_statistics_data.xml
/data/data/####/stock.css
/data/data/####/stockcategory-plus-menu.html
/data/data/####/stockindex.html
/data/data/####/stockresearch_index.html
/data/data/####/stockresearch_index.html.js
/data/data/####/stocksearch.html
/data/data/####/stockznzd.css
/data/data/####/stockznzd.html
/data/data/####/stockznzd.html.js
/data/data/####/stockznzd_i6.css
/data/data/####/stream_permission.xml
/data/data/####/ta100.css
/data/data/####/ta100.html
/data/data/####/ta100.linechart.js
/data/data/####/ta100_title.png
/data/data/####/ta100newsdetail.html
/data/data/####/taobao-bg.jpg
/data/data/####/taobao-moon.png
/data/data/####/test_app
/data/data/####/thorderbg.png
/data/data/####/tmk.png
/data/data/####/topbar_bg.png
/data/data/####/topico2.png
/data/data/####/translate.png
/data/data/####/tzpj.css
/data/data/####/tzpj1.png
/data/data/####/tzpj2.png
/data/data/####/tzpj3.png
/data/data/####/tzpj4.png
/data/data/####/tzpj5.png
/data/data/####/up.html
/data/data/####/update.html
/data/data/####/update.js
/data/data/####/update.png
/data/data/####/updateANDROID.html
/data/data/####/updateIOS.html
/data/data/####/updatebg.png
/data/data/####/uploadpic.js
/data/data/####/user-photo.png
/data/data/####/user.js
/data/data/####/usercenterface.png
/data/data/####/userface.css
/data/data/####/userface.html
/data/data/####/userface001.png
/data/data/####/userinfo.css
/data/data/####/userinfo.html
/data/data/####/voice.css
/data/data/####/voice.js
/data/data/####/voice10.png
/data/data/####/voice6.png
/data/data/####/voice7.png
/data/data/####/voicebt.png
/data/data/####/voicebt2.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weibosdk_notification_icon.png
/data/data/####/weixin.png
/data/data/####/weixin6.png
/data/data/####/xiaolaba.png
/data/data/####/xy000.png
/data/data/####/zepto.js
/data/data/####/zhengu-active.png
/data/data/####/zhengu.png
/data/data/####/znzdkline.html
/data/data/####/znzdkline_big.js
/data/data/####/znzdkline_small.js
/data/data/####/zxg.png
/data/data/####/zxg_add.png
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/jajxapp.jajx.com.bin
/data/media/####/jajxapp.jajx.com.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24590 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24590 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-2.9.1.2
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней