Adware.Gexin.13151

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
loc.map.b####.com
o####.map.b####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
ssl.gst####.com
st####.dc####.net.cn
www.go####.com
www.gst####.com

Запросы HTTP GET:

t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0.gif
/data/data/####/1.gif
/data/data/####/10.gif
/data/data/####/1017676282729435136.html
/data/data/####/1024171421733920768.html
/data/data/####/11.gif
/data/data/####/12.gif
/data/data/####/13.gif
/data/data/####/14.gif
/data/data/####/15.gif
/data/data/####/16.gif
/data/data/####/17.gif
/data/data/####/18.gif
/data/data/####/19.gif
/data/data/####/2.gif
/data/data/####/20.gif
/data/data/####/21.gif
/data/data/####/22.gif
/data/data/####/23.gif
/data/data/####/24.gif
/data/data/####/25.gif
/data/data/####/26.gif
/data/data/####/27.gif
/data/data/####/28.gif
/data/data/####/29.gif
/data/data/####/3.gif
/data/data/####/30.gif
/data/data/####/31.gif
/data/data/####/32.gif
/data/data/####/33.gif
/data/data/####/34.gif
/data/data/####/35.gif
/data/data/####/36.gif
/data/data/####/37.gif
/data/data/####/38.gif
/data/data/####/39.gif
/data/data/####/4.gif
/data/data/####/40.gif
/data/data/####/41.gif
/data/data/####/42.gif
/data/data/####/43.gif
/data/data/####/44.gif
/data/data/####/45.gif
/data/data/####/46.gif
/data/data/####/47.gif
/data/data/####/48.gif
/data/data/####/49.gif
/data/data/####/5.gif
/data/data/####/50.gif
/data/data/####/51.gif
/data/data/####/52.gif
/data/data/####/53.gif
/data/data/####/54.gif
/data/data/####/55.gif
/data/data/####/56.gif
/data/data/####/57.gif
/data/data/####/58.gif
/data/data/####/59.gif
/data/data/####/6.gif
/data/data/####/60.gif
/data/data/####/61.gif
/data/data/####/62.gif
/data/data/####/63.gif
/data/data/####/64.gif
/data/data/####/65.gif
/data/data/####/66.gif
/data/data/####/67.gif
/data/data/####/68.gif
/data/data/####/69.gif
/data/data/####/7.gif
/data/data/####/70.gif
/data/data/####/71.gif
/data/data/####/8.gif
/data/data/####/884312584524660736.html
/data/data/####/884312667316027392.html
/data/data/####/884312717014335488.html
/data/data/####/884312763235565568.html
/data/data/####/9.gif
/data/data/####/AccountInfo.html
/data/data/####/Answer.html
/data/data/####/ApplyBusiness.html
/data/data/####/AssessResume.html
/data/data/####/AttendanceHandle.html
/data/data/####/AttendanceInfo.html
/data/data/####/ChangePassword.html
/data/data/####/CheckMoneyInfo.html
/data/data/####/CheckPlan.html
/data/data/####/CheckResume.html
/data/data/####/DataAnalysis.html
/data/data/####/DataAnalysisResult.html
/data/data/####/DataTableConfig.js
/data/data/####/DateUtil.js
/data/data/####/EditMyInfo.html
/data/data/####/EditNotice.html
/data/data/####/EditSubsetInformation.html
/data/data/####/ExaminationInfo.html
/data/data/####/Feedback.html
/data/data/####/FieldAssembly.js
/data/data/####/H50576884.xml
/data/data/####/HandleScanning.html
/data/data/####/IMSearchPerson.html
/data/data/####/ImSelectPerson.html
/data/data/####/LCalendar.css
/data/data/####/LCalendar.js
/data/data/####/MessageInfo.html
/data/data/####/MoneyHandle.html
/data/data/####/MyAttendance.html
/data/data/####/MyAttendanceInfo.html
/data/data/####/MyBusiness.html
/data/data/####/MyDayAttendanceInfo.html
/data/data/####/MyMoney.html
/data/data/####/MyMonthRecord.html
/data/data/####/MyQuestion.html
/data/data/####/MyRegulations.html
/data/data/####/ParsingForm.js
/data/data/####/PeopleList.html
/data/data/####/Performance.html
/data/data/####/RecruitHandle.html
/data/data/####/RegulationsInfo.html
/data/data/####/Score.html
/data/data/####/SelectJob.html
/data/data/####/SelectOrg.html
/data/data/####/SelectPerson.html
/data/data/####/SubsetInformation.html
/data/data/####/Supplementary.html
/data/data/####/SystemSetting.html
/data/data/####/TeamAttendance.html
/data/data/####/TeamAttendanceInfo.html
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/action.png
/data/data/####/arttmpl.js
/data/data/####/authStatus_io.dcloud.H50576884.xml
/data/data/####/authStatus_io.dcloud.H50576884;remote.xml
/data/data/####/autograph.html
/data/data/####/bbfx.png
/data/data/####/btn_calendar_selected.png
/data/data/####/btn_huangli.png
/data/data/####/calendar_arrow_right.png
/data/data/####/calendar_bottom.png
/data/data/####/calendar_img_relax.png
/data/data/####/calendar_img_work.png
/data/data/####/chart_bar.js
/data/data/####/chart_bar_line.js
/data/data/####/chart_bar_more.js
/data/data/####/chart_line.js
/data/data/####/chart_line_more.js
/data/data/####/chart_map.js
/data/data/####/chart_pie.js
/data/data/####/cities.js
/data/data/####/clientid_igexin.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/cotrl-bottom.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/default-skin.png
/data/data/####/default-skin.svg
/data/data/####/default.mp3
/data/data/####/dingwei.png
/data/data/####/each.png
/data/data/####/echarts-all.js
/data/data/####/edinfo.png
/data/data/####/eje3cnc
/data/data/####/firll.dat
/data/data/####/font_234130_nem7eskcrkpdgqfr.css
/data/data/####/footer-logo2.png
/data/data/####/formParsing.js
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gjjtq.png
/data/data/####/gx_sp.xml
/data/data/####/gzcl.png
/data/data/####/gzt.png
/data/data/####/gzzd.png
/data/data/####/gzzm.png
/data/data/####/home.html
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html5Geo.xml
/data/data/####/hui-accordion.js
/data/data/####/hui-form.js
/data/data/####/hui-image-cuter.js
/data/data/####/hui-picker.js
/data/data/####/hui-popover-msg.js
/data/data/####/hui-refresh-load-more.js
/data/data/####/hui-select-beautify.js
/data/data/####/hui-star.js
/data/data/####/hui-swipe.js
/data/data/####/hui-tab.js
/data/data/####/hui-touch-pwd.js
/data/data/####/hui-water-fall.js
/data/data/####/hui.css
/data/data/####/hui.js
/data/data/####/iconfont.eot
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/im.js
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jbsq.png
/data/data/####/kqhs.png
/data/data/####/kqjl.png
/data/data/####/libcuid.so
/data/data/####/libjiagu-2081405678.so
/data/data/####/link.png
/data/data/####/loading.png
/data/data/####/login.js
/data/data/####/login_back1.png
/data/data/####/login_bg.png
/data/data/####/logo.png
/data/data/####/lzsq.png
/data/data/####/lzzm.png
/data/data/####/man.png
/data/data/####/manifest.json
/data/data/####/message.css
/data/data/####/message.js
/data/data/####/message_talk_info.html
/data/data/####/message_talk_info.js
/data/data/####/multidex.version.xml
/data/data/####/no_pro.png
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pdr.xml
/data/data/####/photoswipe-ui-default.min.js
/data/data/####/photoswipe.css
/data/data/####/photoswipe.min.js
/data/data/####/preloader.gif
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qjsq.png
/data/data/####/question.jpg
/data/data/####/request.js
/data/data/####/run.pid
/data/data/####/sao.png
/data/data/####/schedule.css
/data/data/####/schedule.js
/data/data/####/select.png
/data/data/####/serverMessage.js
/data/data/####/srzm.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/swiper-3.3.1.min.css
/data/data/####/swiper-3.3.1.min.js
/data/data/####/systemMessage.html
/data/data/####/tdkq.png
/data/data/####/test_app
/data/data/####/tgsq.png
/data/data/####/title.png
/data/data/####/unam.png
/data/data/####/upsd.png
/data/data/####/urls.png
/data/data/####/wcsq.png
/data/data/####/wdsb.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/welcome.png
/data/data/####/wjdc.png
/data/data/####/woman.png
/data/data/####/workcenter.js
/data/data/####/xiuxi.png
/data/data/####/ywsq.png
/data/data/####/zzsq.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/io.dcloud.H50576884.bin
/data/media/####/io.dcloud.H50576884.db
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24442 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24442 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-2081405678
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней