Adware.Gexin.13200

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.jia####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

and####.cli####.go####.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
hm.b####.com
loc.map.b####.com
o####.map.b####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.jia####.com

Запросы HTTP GET:

api.map.b####.com/geocoder/v2/?output=json&ak=BFd9490df8a776482552006c53...
t####.c####.q####.####.com/config/hz-hzv6.conf
www.jia####.com/addons/ewei_shopv2/static/images/nogoods.png

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location
www.jia####.com/think/index.php/Home/Goods/getgwc
www.jia####.com/think/index.php/Home/Index/category
www.jia####.com/think/index.php/Home/Index/checkgx
www.jia####.com/think/index.php/Home/Index/get_hot
www.jia####.com/think/index.php/Home/Index/get_lbt
www.jia####.com/think/index.php/Home/Login/setMap
www.jia####.com/think/index.php/Home/Shop/fenlei

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.buildPropertiesMD5.data
/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/1.png
/data/data/####/3.png
/data/data/####/6.png
/data/data/####/9gg.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/addaddress.html
/data/data/####/address.css
/data/data/####/address.html
/data/data/####/agree.html
/data/data/####/agreement.html
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/authStatus_com.jbb.www.xml
/data/data/####/authStatus_com.jbb.www;remote.xml
/data/data/####/avatar-red.png
/data/data/####/avatar-red2.png
/data/data/####/avatar.png
/data/data/####/bargain.html
/data/data/####/bargain_bg.png
/data/data/####/bargain_detail.html
/data/data/####/bargain_kj.html
/data/data/####/bargained.html
/data/data/####/bargained_gz.html
/data/data/####/bargaining.html
/data/data/####/bdwx.html
/data/data/####/bg.jpg
/data/data/####/bg.png
/data/data/####/bg1.jpg
/data/data/####/bind_mobile.html
/data/data/####/bind_wechat.html
/data/data/####/bj.png
/data/data/####/bootstrap.min.css
/data/data/####/bootstrap.min.js
/data/data/####/bottomMenu.html
/data/data/####/cart.css
/data/data/####/cart.html
/data/data/####/cartstep.css
/data/data/####/castapp.js
/data/data/####/changes.png
/data/data/####/chat.css
/data/data/####/chat.js
/data/data/####/chat_cont.html
/data/data/####/chat_list.html
/data/data/####/chatpage.html
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/ck-top-fenxiao-1.html
/data/data/####/ck-top-fenxiao-2.html
/data/data/####/ck-top-fenxiao-3.html
/data/data/####/ck.css
/data/data/####/ck.html
/data/data/####/ck_fans.html
/data/data/####/ck_fxcash.html
/data/data/####/ck_fxtx.html
/data/data/####/ck_tgm.html
/data/data/####/ck_txmx.html
/data/data/####/ck_yjmx.html
/data/data/####/clientid_igexin.xml
/data/data/####/closer.gif
/data/data/####/colour.png
/data/data/####/commission.css
/data/data/####/commission.html
/data/data/####/commission_detail.html
/data/data/####/commission_down.html
/data/data/####/commission_log.html
/data/data/####/commission_order.html
/data/data/####/commission_qrcode.html
/data/data/####/commission_tixian.html
/data/data/####/commission_withdraw.html
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/coupons.css
/data/data/####/credit_address_post.html
/data/data/####/credit_create.html
/data/data/####/credit_detail.html
/data/data/####/credit_lists.html
/data/data/####/credit_log.html
/data/data/####/credit_logdetail.html
/data/data/####/credit_paycg.html
/data/data/####/credit_selector.html
/data/data/####/credit_shop.html
/data/data/####/creditlog.html
/data/data/####/creditshop_payts.html
/data/data/####/cropper.css
/data/data/####/cropper.js
/data/data/####/cs.css
/data/data/####/ct.css
/data/data/####/custom.png
/data/data/####/cut.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/ddxq.css
/data/data/####/dh.html
/data/data/####/dingdan.html
/data/data/####/distribution.css
/data/data/####/editDz.html
/data/data/####/eje3cnc
/data/data/####/emo_01.gif
/data/data/####/emo_02.gif
/data/data/####/emo_03.gif
/data/data/####/emo_04.gif
/data/data/####/emo_05.gif
/data/data/####/emo_06.gif
/data/data/####/emo_07.gif
/data/data/####/emo_08.gif
/data/data/####/emo_09.gif
/data/data/####/emo_10.gif
/data/data/####/emo_11.gif
/data/data/####/emo_12.gif
/data/data/####/emo_13.gif
/data/data/####/emo_14.gif
/data/data/####/emo_15.gif
/data/data/####/emo_16.gif
/data/data/####/emo_17.gif
/data/data/####/emo_18.gif
/data/data/####/emo_19.gif
/data/data/####/emo_20.gif
/data/data/####/emo_21.gif
/data/data/####/emo_22.gif
/data/data/####/emo_23.gif
/data/data/####/emo_24.gif
/data/data/####/emo_25.gif
/data/data/####/emo_26.gif
/data/data/####/emo_27.gif
/data/data/####/emo_28.gif
/data/data/####/emo_29.gif
/data/data/####/emo_30.gif
/data/data/####/emo_31.gif
/data/data/####/emo_32.gif
/data/data/####/emo_33.gif
/data/data/####/emo_34.gif
/data/data/####/emo_35.gif
/data/data/####/emo_36.gif
/data/data/####/emo_37.gif
/data/data/####/emo_38.gif
/data/data/####/emo_39.gif
/data/data/####/emo_40.gif
/data/data/####/emo_41.gif
/data/data/####/emo_42.gif
/data/data/####/emo_43.gif
/data/data/####/emo_44.gif
/data/data/####/emo_45.gif
/data/data/####/emo_46.gif
/data/data/####/emo_47.gif
/data/data/####/emo_48.gif
/data/data/####/emo_49.gif
/data/data/####/emo_50.gif
/data/data/####/emo_51.gif
/data/data/####/emo_52.gif
/data/data/####/emo_53.gif
/data/data/####/emo_54.gif
/data/data/####/emo_55.gif
/data/data/####/emo_56.gif
/data/data/####/emo_57.gif
/data/data/####/emo_58.gif
/data/data/####/emo_59.gif
/data/data/####/emo_60.gif
/data/data/####/exif.js
/data/data/####/fail.png
/data/data/####/fail1.png
/data/data/####/fans.css
/data/data/####/feedback-page.css
/data/data/####/feedback.css
/data/data/####/fenlei.css
/data/data/####/fenlei.html
/data/data/####/fensi.html
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/font-awesome.min.css
/data/data/####/footprint.css
/data/data/####/four.png
/data/data/####/foxui.css
/data/data/####/foxui.min.css
/data/data/####/foxui.min.js
/data/data/####/fxcash.css
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/ggk.css
/data/data/####/gift.html
/data/data/####/gongsijianjie.html
/data/data/####/goods_detail_comment.html
/data/data/####/goodsdetail.css
/data/data/####/goodslist.css
/data/data/####/group.css
/data/data/####/groups-search.html
/data/data/####/groups_ team.css
/data/data/####/guanzhu.css
/data/data/####/gudong.html
/data/data/####/guest.png
/data/data/####/gx_sp.xml
/data/data/####/gz.html
/data/data/####/hint.png
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html5Geo.xml
/data/data/####/icon_radio3.png
/data/data/####/icon_radio4.png
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.eot
/data/data/####/iconfont.js
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/iconfont1.css
/data/data/####/iconfont2.css
/data/data/####/iconfont_1.css
/data/data/####/iconfont_1.ttf
/data/data/####/icons-extra.css
/data/data/####/icons.png
/data/data/####/im.png
/data/data/####/imageviewer.html
/data/data/####/immersed.js
/data/data/####/indetail.css
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index18.jpg
/data/data/####/index20.jpg
/data/data/####/index21.png
/data/data/####/index_me.css
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/intergral.css
/data/data/####/jbb.xml
/data/data/####/jiangjin.png
/data/data/####/jifen.html
/data/data/####/jifen.png
/data/data/####/jquery-1.11.1.min.js
/data/data/####/jquery-1.8.3.min.js
/data/data/####/jquery-3.2.1.min.js
/data/data/####/jquery.cookie.js
/data/data/####/jquery.eraser.js
/data/data/####/jquery.form.min.js
/data/data/####/jquery.min.js
/data/data/####/jquery.slideunlock.js
/data/data/####/kefu_online.js
/data/data/####/kj.html
/data/data/####/ktcg.css
/data/data/####/layer.css
/data/data/####/layer.js
/data/data/####/layer.png
/data/data/####/layui.css
/data/data/####/layui.js
/data/data/####/libcuid.so
/data/data/####/libjiagu1143582874.so
/data/data/####/lingdang.png
/data/data/####/loading.gif
/data/data/####/login.html
/data/data/####/login1.css
/data/data/####/logo.jpg
/data/data/####/logo1.jpg
/data/data/####/lottery.html
/data/data/####/lottery_mygoods.html
/data/data/####/manifest.json
/data/data/####/map.png
/data/data/####/maps_map.html
/data/data/####/maps_map_sub.html
/data/data/####/meiyou.jpg
/data/data/####/member.css
/data/data/####/member.html
/data/data/####/member_coupons.html
/data/data/####/member_cz.html
/data/data/####/member_dzp.html
/data/data/####/member_feedback.html
/data/data/####/member_footprint.html
/data/data/####/member_ggk.html
/data/data/####/member_groups.html
/data/data/####/member_groups_confirm.html
/data/data/####/member_groups_ct.html
/data/data/####/member_groups_ddxq.html
/data/data/####/member_groups_ktcg.html
/data/data/####/member_groups_list.html
/data/data/####/member_groups_order.html
/data/data/####/member_groups_ordercontent.html
/data/data/####/member_groups_orderdetail.html
/data/data/####/member_groups_orderxq.html
/data/data/####/member_groups_pt.html
/data/data/####/member_groups_team.html
/data/data/####/member_groups_tgcg.html
/data/data/####/member_groups_tksb.html
/data/data/####/member_groups_tksq.html
/data/data/####/member_groups_tkxq.html
/data/data/####/member_groups_tuan.html
/data/data/####/member_groups_txq.html
/data/data/####/member_groups_wechatpay.html
/data/data/####/member_groups_wf.html
/data/data/####/member_groups_wyct.html
/data/data/####/member_guanzhu.html
/data/data/####/member_hqjf.html
/data/data/####/member_integral.html
/data/data/####/member_integral_goodsdetail.html
/data/data/####/member_integral_result.html
/data/data/####/member_jf.html
/data/data/####/member_jgg.html
/data/data/####/member_jlsm.html
/data/data/####/member_merchant.html
/data/data/####/member_mycollect.html
/data/data/####/member_order.html
/data/data/####/member_order_tk.html
/data/data/####/member_orderck.html
/data/data/####/member_orderck_tc.html
/data/data/####/member_personal.html
/data/data/####/member_problem.html
/data/data/####/member_repassword.html
/data/data/####/member_setting.html
/data/data/####/member_setting_about.html
/data/data/####/member_setting_flsm.html
/data/data/####/member_setting_jg.html
/data/data/####/member_setting_shfw.html
/data/data/####/member_setting_xieyi.html
/data/data/####/member_setting_ys.html
/data/data/####/member_shop.html
/data/data/####/member_shop_camera.html
/data/data/####/member_shop_pj.html
/data/data/####/memberorder.css
/data/data/####/membertuan.css
/data/data/####/menu.html
/data/data/####/menu_cartstep.html
/data/data/####/menu_fenlei.html
/data/data/####/menu_goodsdetail.html
/data/data/####/menu_goodsdetail1.html
/data/data/####/menu_goodsdetail2.html
/data/data/####/menu_goodslist.html
/data/data/####/menu_goodslist1.html
/data/data/####/menu_lantern.html
/data/data/####/menu_message.html
/data/data/####/menu_messagedetail.html
/data/data/####/menu_near.html
/data/data/####/menu_search.html
/data/data/####/menu_shop.html
/data/data/####/menu_shop_goodslist.html
/data/data/####/menu_style.css
/data/data/####/merch.html
/data/data/####/merchant-json.js
/data/data/####/merchant.css
/data/data/####/merchlist.html
/data/data/####/message.css
/data/data/####/messagedetail.css
/data/data/####/mobile.css
/data/data/####/mobilelogin.html
/data/data/####/mochat.js
/data/data/####/mores.png
/data/data/####/ms.html
/data/data/####/msg.png
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.enterfocus.js
/data/data/####/mui.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/myCrop.css
/data/data/####/myCrops.js
/data/data/####/mycollect.css
/data/data/####/myreward.html
/data/data/####/near.css
/data/data/####/ni.js
/data/data/####/noface.png
/data/data/####/nomeb.png
/data/data/####/nopage.png
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/one.png
/data/data/####/online.js
/data/data/####/order.css
/data/data/####/order.html
/data/data/####/order_fw.html
/data/data/####/order_line.png
/data/data/####/order_pj.css
/data/data/####/order_pj.html
/data/data/####/order_refund.html
/data/data/####/orderck.css
/data/data/####/orderdetail.html
/data/data/####/package.html
/data/data/####/package_cont.html
/data/data/####/panicon.png
/data/data/####/pay.css
/data/data/####/pay.html
/data/data/####/pay_success.html
/data/data/####/pdr.xml
/data/data/####/personal.css
/data/data/####/problem.css
/data/data/####/pt.css
/data/data/####/public.css
/data/data/####/push.pid
/data/data/####/pusher.min.js
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo.png
/data/data/####/qq.png
/data/data/####/quan.png
/data/data/####/quanmin.html
/data/data/####/quyu.html
/data/data/####/red-wrap.png
/data/data/####/run.pid
/data/data/####/search.html
/data/data/####/shangpin.png
/data/data/####/shdz.html
/data/data/####/shop.css
/data/data/####/shopping.js
/data/data/####/shoppj.css
/data/data/####/sign.html
/data/data/####/sinaweibo.png
/data/data/####/sj.png
/data/data/####/slide-unlock.css
/data/data/####/sousuo.html
/data/data/####/start.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/success.png
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/target.html
/data/data/####/test_app
/data/data/####/tgm.css
/data/data/####/third.png
/data/data/####/timg (1).jpg
/data/data/####/timg.gif
/data/data/####/turntable.js
/data/data/####/two.png
/data/data/####/txmx.css
/data/data/####/unlogin.png
/data/data/####/update.png
/data/data/####/user-photo.png
/data/data/####/v5.png
/data/data/####/verification.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewGroup.js
/data/data/####/wechatpay.html
/data/data/####/wechatpaytc.html
/data/data/####/weixin.png
/data/data/####/workerman_logo.png
/data/data/####/wyct.css
/data/data/####/xiaolian.png
/data/data/####/xt.jpg
/data/data/####/yjmx.css
/data/data/####/yx.html
/data/data/####/zb.html
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/20190507.log
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jbb.www.bin
/data/media/####/com.jbb.www.db
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24070 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1143582874.so
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24070 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu1143582874
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней