Adware.Gexin.13324

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 2####.58.208.110:443
TCP(TLS/1.0) at.al####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

and####.b####.qq.com
at.al####.com
c####.g####.ig####.com
c-h####.g####.com
mt####.go####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/H5D224316.xml
/data/data/####/MultiDex.lock
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/f_000001
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.imei.txt
/data/media/####/20190509.log
/data/media/####/95516.js
/data/media/####/AdEnable.dat
/data/media/####/about.css
/data/media/####/about.html
/data/media/####/about.js
/data/media/####/about_bg.jpg
/data/media/####/about_wishes.jpg
/data/media/####/action.js
/data/media/####/active-banner.png
/data/media/####/active-bg.png
/data/media/####/active-icon.png
/data/media/####/address-bg.png
/data/media/####/address-parse.js
/data/media/####/address.css
/data/media/####/address.html
/data/media/####/address.js
/data/media/####/address.json
/data/media/####/addressData.js
/data/media/####/addressPicker.js
/data/media/####/addressView.js
/data/media/####/afterLogistics.html
/data/media/####/afterLogistics.js
/data/media/####/afterSalesRecord.html
/data/media/####/afterSalesRecord.js
/data/media/####/afteraslesDetail.html
/data/media/####/afteraslesDetail.js
/data/media/####/aftersale.css
/data/media/####/aftersale.html
/data/media/####/aftersale.js
/data/media/####/agreement.css
/data/media/####/agreement.html
/data/media/####/agreement.js
/data/media/####/allShare.css
/data/media/####/allShare.html
/data/media/####/allShare.js
/data/media/####/allShareBar.js
/data/media/####/alldic.js
/data/media/####/alldic.json
/data/media/####/apifix.js
/data/media/####/app.db
/data/media/####/applyStatus.js
/data/media/####/applyafter.css
/data/media/####/applyafter.html
/data/media/####/applyafter.js
/data/media/####/applyafterBar.js
/data/media/####/applyafterNavBar.js
/data/media/####/applyform.html
/data/media/####/applyform.js
/data/media/####/area-list.js
/data/media/####/arttmpl.js
/data/media/####/backTop.js
/data/media/####/banner.js
/data/media/####/batch-save-btn.png
/data/media/####/batch-share-btn.png
/data/media/####/beecloud.js
/data/media/####/bill.html
/data/media/####/bill.js
/data/media/####/bindinvitecode.css
/data/media/####/bindinvitecode.html
/data/media/####/bindinvitecode.js
/data/media/####/bindphone.html
/data/media/####/bindphone.js
/data/media/####/bottomBar.js
/data/media/####/boxBanner.js
/data/media/####/cart.js
/data/media/####/checked.html
/data/media/####/checked.js
/data/media/####/city.data-3.js
/data/media/####/city.data.js
/data/media/####/clear-banner.png
/data/media/####/clear-icon.png
/data/media/####/code.jpg
/data/media/####/com.haxiha.app.bin
/data/media/####/com.haxiha.app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/config.js
/data/media/####/content.html
/data/media/####/content.js
/data/media/####/coupon.css
/data/media/####/coupon.html
/data/media/####/coupon.js
/data/media/####/couponBar.js
/data/media/####/couponpop.css
/data/media/####/couponpop.html
/data/media/####/couponpop.js
/data/media/####/customer.js
/data/media/####/customerBar.js
/data/media/####/customerService.css
/data/media/####/customerService.html
/data/media/####/customerService.js
/data/media/####/default-icon.png
/data/media/####/defaultArea.js
/data/media/####/detail.css
/data/media/####/detail.html
/data/media/####/detail.js
/data/media/####/detailImg.js
/data/media/####/dicCode.js
/data/media/####/dicConfigPicker.js
/data/media/####/dom-to-image.min.js
/data/media/####/downloadBg.png
/data/media/####/editAddress.html
/data/media/####/editAddress.js
/data/media/####/editPassword.css
/data/media/####/editPassword.html
/data/media/####/editPassword.js
/data/media/####/editPersonal.css
/data/media/####/editPersonal.html
/data/media/####/editPersonal.js
/data/media/####/eje3cnc
/data/media/####/empty.png
/data/media/####/empty@2x.png
/data/media/####/empty@3x.png
/data/media/####/env.js
/data/media/####/error.css
/data/media/####/error.html
/data/media/####/error.jpg
/data/media/####/error.js
/data/media/####/error.png
/data/media/####/error@2x.png
/data/media/####/error@3x.png
/data/media/####/explain.html
/data/media/####/explain.js
/data/media/####/express.css
/data/media/####/express.js
/data/media/####/feedback.js
/data/media/####/file__0.localstorage-journal
/data/media/####/finance.js
/data/media/####/fl1.png
/data/media/####/fl1@2x.png
/data/media/####/fl1@3x.png
/data/media/####/fl2.png
/data/media/####/fl2@2x.png
/data/media/####/fl2@3x.png
/data/media/####/fl3.png
/data/media/####/fl3@2x.png
/data/media/####/fl3@3x.png
/data/media/####/forget.css
/data/media/####/forget.html
/data/media/####/forget.js
/data/media/####/form.html
/data/media/####/form.js
/data/media/####/forwarding.html
/data/media/####/forwarding.js
/data/media/####/forwardingList.css
/data/media/####/forwardingList.html
/data/media/####/forwardingList.js
/data/media/####/forwardingSetting.css
/data/media/####/forwardingSetting.html
/data/media/####/forwardingSetting.js
/data/media/####/friend.css
/data/media/####/friend.html
/data/media/####/friend.js
/data/media/####/getqrcode.html
/data/media/####/getqrcode.js
/data/media/####/global.css
/data/media/####/global.js
/data/media/####/goods.js
/data/media/####/goodsCommon.css
/data/media/####/goodsCoupon.html
/data/media/####/goodsCoupon.js
/data/media/####/goodsDefaultImg.jpg
/data/media/####/goodsDetailBar.js
/data/media/####/goods_default.jpg
/data/media/####/group.html
/data/media/####/group.js
/data/media/####/groupAllShare.html
/data/media/####/groupAllShare.js
/data/media/####/groupAllShare2.html
/data/media/####/groupAllShare3.html
/data/media/####/groupAllShare4.html
/data/media/####/groupAllShare5.html
/data/media/####/groupAllShareList.html
/data/media/####/groupAllShareList.js
/data/media/####/groupList.css
/data/media/####/groupList.html
/data/media/####/groupList.js
/data/media/####/groupPreview.html
/data/media/####/groupPreview.js
/data/media/####/groupShare.html
/data/media/####/groupShare.js
/data/media/####/groupShareList.html
/data/media/####/groupShareList.js
/data/media/####/guide-logo.png
/data/media/####/guide.png
/data/media/####/guide1.jpg
/data/media/####/haxiha-code.png
/data/media/####/haxiha.js
/data/media/####/hdpay.css
/data/media/####/hdpayView.js
/data/media/####/headers.js
/data/media/####/help.css
/data/media/####/help.html
/data/media/####/help.js
/data/media/####/helpContent.html
/data/media/####/helpContent.js
/data/media/####/home-icon1.png
/data/media/####/home-icon2.png
/data/media/####/home-icon3.png
/data/media/####/homeSearch.js
/data/media/####/hot-goods.png
/data/media/####/hot-icon.png
/data/media/####/hot.png
/data/media/####/hot@2x.png
/data/media/####/hot@3x.png
/data/media/####/hrefBg.png
/data/media/####/html2canvas.js
/data/media/####/iPhone5_iphone5s.png
/data/media/####/identification.css
/data/media/####/identification.html
/data/media/####/identification.js
/data/media/####/identity.js
/data/media/####/igexin.js
/data/media/####/imageBg.png
/data/media/####/img01.jpg
/data/media/####/img02.jpg
/data/media/####/imgdefault.png
/data/media/####/imgdefault2.png
/data/media/####/index-bg.png
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/invitation-bg.png
/data/media/####/invitation-bg2.png
/data/media/####/invitation.css
/data/media/####/invitation.html
/data/media/####/invitation.js
/data/media/####/invitationList.js
/data/media/####/invitationPreview.html
/data/media/####/invitationPreview.js
/data/media/####/invitationQrcode.css
/data/media/####/invitationQrcode.html
/data/media/####/invitationQrcode.js
/data/media/####/item-pic.png
/data/media/####/jumaoe.js
/data/media/####/link.js
/data/media/####/list.css
/data/media/####/list.html
/data/media/####/list.js
/data/media/####/listTab.html
/data/media/####/listTab.js
/data/media/####/login-logo.png
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/login.js
/data/media/####/loginCommon.css
/data/media/####/logistics.css
/data/media/####/logistics.html
/data/media/####/logistics.js
/data/media/####/logo-haxiha.png
/data/media/####/logo-hxh.png
/data/media/####/logo-share.png
/data/media/####/logo.png
/data/media/####/logo@2x-hxh.png
/data/media/####/logo@2x.png
/data/media/####/logo@3x-hxh.png
/data/media/####/logo@3x.png
/data/media/####/main.js
/data/media/####/manifest.json
/data/media/####/mask_side.js
/data/media/####/material.css
/data/media/####/material.html
/data/media/####/material.js
/data/media/####/materialSelect.css
/data/media/####/materialSelect.html
/data/media/####/materialSelect.js
/data/media/####/md5.js
/data/media/####/minebill.css
/data/media/####/minebill.html
/data/media/####/minebill.js
/data/media/####/mui.css
/data/media/####/mui.dtpicker.js
/data/media/####/mui.imageViewer.js
/data/media/####/mui.indexedlist.js
/data/media/####/mui.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.listpicker.js
/data/media/####/mui.locker.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.all.css
/data/media/####/mui.picker.all.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui.zoom.js
/data/media/####/navBar.js
/data/media/####/newAfterSales.html
/data/media/####/newAfterSales.js
/data/media/####/newapplyafter.html
/data/media/####/newapplyafter.js
/data/media/####/newapplyafterSelect.html
/data/media/####/newapplyafterSelect.js
/data/media/####/no-material.png
/data/media/####/nocoupon.png
/data/media/####/nocoupon@2x.png
/data/media/####/nocoupon@3x.png
/data/media/####/noviceCoupon.css
/data/media/####/noviceCoupon.html
/data/media/####/noviceCoupon.js
/data/media/####/online.html
/data/media/####/online.js
/data/media/####/order.js
/data/media/####/orderAction.js
/data/media/####/orderBar.js
/data/media/####/orderItemAction.js
/data/media/####/pastRecord.html
/data/media/####/pastRecord.js
/data/media/####/pay.css
/data/media/####/pay.html
/data/media/####/pay.js
/data/media/####/payChannel.js
/data/media/####/payInfo.js
/data/media/####/payPopover.js
/data/media/####/payRequest.js
/data/media/####/pay_alipay.png
/data/media/####/pay_alipay@2x.png
/data/media/####/pay_wxpay.png
/data/media/####/pay_wxpay@2x.png
/data/media/####/personal.css
/data/media/####/personal.html
/data/media/####/personal.js
/data/media/####/phoneLogin.css
/data/media/####/phonelogin.html
/data/media/####/phonelogin.js
/data/media/####/popoverAdd.js
/data/media/####/qrcode.js
/data/media/####/qrcode.min.js
/data/media/####/receive.png
/data/media/####/register-step.css
/data/media/####/register.css
/data/media/####/register.html
/data/media/####/register.js
/data/media/####/registerBar.js
/data/media/####/remark.css
/data/media/####/remark.js
/data/media/####/require.min.js
/data/media/####/reset.css
/data/media/####/responsible.css
/data/media/####/responsible.html
/data/media/####/responsible.js
/data/media/####/results.css
/data/media/####/results.html
/data/media/####/results.js
/data/media/####/resultsBar.js
/data/media/####/return.css
/data/media/####/return.html
/data/media/####/return.js
/data/media/####/router.js
/data/media/####/rule-bg.png
/data/media/####/rule-btn.png
/data/media/####/salesInfo.html
/data/media/####/salesInfo.js
/data/media/####/scrollBy.js
/data/media/####/scrollX.js
/data/media/####/search.html
/data/media/####/search.js
/data/media/####/searchDetail.js
/data/media/####/see-all.png
/data/media/####/setting.css
/data/media/####/setting.html
/data/media/####/setting.js
/data/media/####/share.css
/data/media/####/share.html
/data/media/####/share.js
/data/media/####/shareDetail.html
/data/media/####/shareDetail.js
/data/media/####/shareDetail2.html
/data/media/####/shareDetail3.html
/data/media/####/shareDetail4.html
/data/media/####/shareDetail5.html
/data/media/####/sharePopover.js
/data/media/####/shareServices.js
/data/media/####/share_icon.png
/data/media/####/share_icon@2x.png
/data/media/####/share_icon@3x.png
/data/media/####/shareregister.css
/data/media/####/shareregister.html
/data/media/####/shareregister.js
/data/media/####/shareregister2.html
/data/media/####/shareregister3.html
/data/media/####/shareregister4.html
/data/media/####/shareregister4.js
/data/media/####/shareregister5.html
/data/media/####/shareregister5.js
/data/media/####/shareregistermember.js
/data/media/####/sheetAdd.js
/data/media/####/sheetDetail.js
/data/media/####/skin.css
/data/media/####/skuSelect.js
/data/media/####/sold-out-big.png
/data/media/####/sold-out.png
/data/media/####/statement.css
/data/media/####/statement.html
/data/media/####/statement.js
/data/media/####/step.css
/data/media/####/storage.js
/data/media/####/store.html
/data/media/####/store.js
/data/media/####/style.css
/data/media/####/subAfterSalesRecoed.html
/data/media/####/subAfterSalesRecoed.js
/data/media/####/subGoodsCoupon.html
/data/media/####/subGoodsCoupon.js
/data/media/####/subNewAfterSales.html
/data/media/####/subNewAfterSales.js
/data/media/####/subNoviceCoupon.html
/data/media/####/subNoviceCoupon.js
/data/media/####/subPastRecord.html
/data/media/####/subPastRecord.js
/data/media/####/subSalesInfo.html
/data/media/####/subSalesInfo.js
/data/media/####/subSubmitCoupon.html
/data/media/####/subSubmitCoupon.js
/data/media/####/subTotalReward.html
/data/media/####/subTotalReward.js
/data/media/####/subaddress.html
/data/media/####/subaddress.js
/data/media/####/subcart.html
/data/media/####/subcart.js
/data/media/####/subcoupon.html
/data/media/####/subcoupon.js
/data/media/####/subcustomer.html
/data/media/####/subcustomer.js
/data/media/####/subfinance.html
/data/media/####/subfinance.js
/data/media/####/subfriend.html
/data/media/####/subfriend.js
/data/media/####/subhome.html
/data/media/####/subhome.js
/data/media/####/submine.html
/data/media/####/submine.js
/data/media/####/subminebill.html
/data/media/####/subminebill.js
/data/media/####/submit.css
/data/media/####/submit.html
/data/media/####/submit.js
/data/media/####/submitAction.js
/data/media/####/submitCoupon.html
/data/media/####/submitCoupon.js
/data/media/####/suborder.html
/data/media/####/suborder.js
/data/media/####/subresults.html
/data/media/####/subresults.js
/data/media/####/subsource.html
/data/media/####/subsource.js
/data/media/####/subteam.html
/data/media/####/subteam.js
/data/media/####/success.css
/data/media/####/success.html
/data/media/####/success.js
/data/media/####/success.png
/data/media/####/success@2x.png
/data/media/####/success@3x.png
/data/media/####/success_bg.png
/data/media/####/swiper.min.css
/data/media/####/swiper.min.js
/data/media/####/tabBar.js
/data/media/####/team.css
/data/media/####/team.html
/data/media/####/team.js
/data/media/####/teamRules.html
/data/media/####/teamRules.js
/data/media/####/test.log
/data/media/####/totalReward.html
/data/media/####/totalReward.js
/data/media/####/update.js
/data/media/####/upload.js
/data/media/####/uploadLocation.js
/data/media/####/user.png
/data/media/####/user@2x.png
/data/media/####/user@3x.png
/data/media/####/userBalance.js
/data/media/####/userDaigouFee.js
/data/media/####/userinfo.js
/data/media/####/utils.js
/data/media/####/verify.js
/data/media/####/vmui.js
/data/media/####/vue-lazyload.js
/data/media/####/vue-photo-preview.js
/data/media/####/vue-scrollto.js
/data/media/####/vue.min.js
/data/media/####/webviewGroup.js
/data/media/####/widgetLoading.js
/data/media/####/withdraw.css
/data/media/####/withdraw.html
/data/media/####/withdraw.js
/data/media/####/yarn.lock

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24359 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24359 300 0

Загружает динамические библиотеки:

Bugly
getuiext3
libnfix
libshella-3.0.0.0
libufix
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней