Adware.Gexin.14403

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) oship-i####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) 4####.99.77.44:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 2####.58.208.110:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
oship-i####.oss-cn-####.aliy####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

oship-i####.oss-cn-####.aliy####.com/image/1557453012665.png?x-oss-proce...
oship-i####.oss-cn-####.aliy####.com/image/1558600408988.png?x-oss-proce...
oship-i####.oss-cn-####.aliy####.com/image/1558600422899.png?x-oss-proce...
qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv6.conf

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0001.png
/data/data/####/001.png
/data/data/####/002.png
/data/data/####/003.png
/data/data/####/004.png
/data/data/####/005.png
/data/data/####/006.png
/data/data/####/007.png
/data/data/####/008.png
/data/data/####/01.png
/data/data/####/02.png
/data/data/####/03.png
/data/data/####/1.jpg
/data/data/####/11.jpg
/data/data/####/2.jpg
/data/data/####/3.jpg
/data/data/####/Authentication.css
/data/data/####/Current trading1.png
/data/data/####/CurrentTransaction.png
/data/data/####/CurrentTransactionGray.png
/data/data/####/Currenttrading.png
/data/data/####/ExtendedService.png
/data/data/####/ExtendedServiceGray.png
/data/data/####/FE3F81FA-2468-4ea1-A81C-046DE6D28050.png
/data/data/####/FontAwesome.otf
/data/data/####/H52512A98.xml
/data/data/####/HELP-US-OUT.txt
/data/data/####/IMG_3189.JPG
/data/data/####/IMG_3190.JPG
/data/data/####/IMG_3191.JPG
/data/data/####/IMG_3192.JPG
/data/data/####/IMG_3193.JPG
/data/data/####/IMG_3194.JPG
/data/data/####/IMG_3195.JPG
/data/data/####/IMG_3196.JPG
/data/data/####/IMG_3197.JPG
/data/data/####/JIA.png
/data/data/####/JIA2.png
/data/data/####/MultiDex.lock
/data/data/####/MyTransaction.png
/data/data/####/MyTransactionGray.png
/data/data/####/PersonalCenter.css
/data/data/####/PersonalCenter.html
/data/data/####/PersonalCenter.png
/data/data/####/PersonalCenterGray.png
/data/data/####/QQMta.js
/data/data/####/RecommendingShips.png
/data/data/####/RecommendingShipsGray.png
/data/data/####/SFZF.jpg
/data/data/####/SFZF1.jpg
/data/data/####/SFZZ.jpg
/data/data/####/SFZZ1.jpg
/data/data/####/YYZZ.jpg
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/_animated.scss
/data/data/####/_bordered-pulled.scss
/data/data/####/_core.scss
/data/data/####/_fixed-width.scss
/data/data/####/_icons.scss
/data/data/####/_larger.scss
/data/data/####/_list.scss
/data/data/####/_mixins.scss
/data/data/####/_path.scss
/data/data/####/_rotated-flipped.scss
/data/data/####/_screen-reader.scss
/data/data/####/_stacked.scss
/data/data/####/_variables.scss
/data/data/####/aboutUs.html
/data/data/####/active.jpg
/data/data/####/active.png
/data/data/####/add.png
/data/data/####/addShipOne.html
/data/data/####/addShipThree.html
/data/data/####/addShipTwo.html
/data/data/####/address.html
/data/data/####/address.png
/data/data/####/addressNow.html
/data/data/####/addressNowSecond.html
/data/data/####/allmap.html
/data/data/####/animated.less
/data/data/####/app.js
/data/data/####/appeal.html
/data/data/####/arrows.png
/data/data/####/aui-icon-info.png
/data/data/####/authStatus_ourship.com.cn.xml
/data/data/####/bordered-pulled.less
/data/data/####/c.png
/data/data/####/cargoInformation.html
/data/data/####/checked.png
/data/data/####/city.data-3.js
/data/data/####/city.data-4.js
/data/data/####/city.data-now.js
/data/data/####/clientid_igexin.xml
/data/data/####/cloudy-sunnyMin.png
/data/data/####/cloudy.png
/data/data/####/cloudyMin.png
/data/data/####/commontJS.js
/data/data/####/companyAuthentication.html
/data/data/####/copy.png
/data/data/####/core.less
/data/data/####/credentials_icon.png
/data/data/####/ctb2.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/editPassword.html
/data/data/####/eje3cnc
/data/data/####/evaluateGoods.html
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/fa5ddacb8227
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/fingerprint.html
/data/data/####/fingerprint.png
/data/data/####/fixed-width.less
/data/data/####/fog.png
/data/data/####/fogMin.png
/data/data/####/font-awesome.css
/data/data/####/font-awesome.less
/data/data/####/font-awesome.min.css
/data/data/####/font-awesome.scss
/data/data/####/fontawesome-webfont.eot
/data/data/####/fontawesome-webfont.svg
/data/data/####/fontawesome-webfont.ttf
/data/data/####/fontawesome-webfont.woff
/data/data/####/fontawesome-webfont.woff2
/data/data/####/forget.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/goods.png
/data/data/####/goodsOrder.png
/data/data/####/goodsadd.html
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/header.css
/data/data/####/heavyRain.png
/data/data/####/heavyRainIndex.png
/data/data/####/home.html
/data/data/####/home_page2_03.png
/data/data/####/home_page2_05.png
/data/data/####/home_page2_05.png.png
/data/data/####/home_page2_05.png2_12.png
/data/data/####/hourlyNews.html
/data/data/####/html5Geo.xml
/data/data/####/icon-1.png
/data/data/####/icon-2.png
/data/data/####/icon-3.png
/data/data/####/icon-4.png
/data/data/####/icon11.png
/data/data/####/icon3.jpg
/data/data/####/icon4.jpg
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/iconfont.woff2
/data/data/####/iconfont2.svg
/data/data/####/iconfont2.ttf
/data/data/####/iconfont2.woff
/data/data/####/iconfont2.woff2
/data/data/####/icons.less
/data/data/####/identification2.png
/data/data/####/identityAuthentication.html
/data/data/####/index
/data/data/####/index.html
/data/data/####/index_02.jpg
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jin.png
/data/data/####/jquery-1.11.3.min.js
/data/data/####/jy.png
/data/data/####/larger.less
/data/data/####/left.png
/data/data/####/libcuid.so
/data/data/####/libjiagu23536868.so
/data/data/####/lightRain.png
/data/data/####/lightRainIndex.png
/data/data/####/line.jpg
/data/data/####/list.less
/data/data/####/listMenu.css
/data/data/####/login-bg.png
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/manifest.json
/data/data/####/map.js
/data/data/####/mes_03.png
/data/data/####/mes_05.png
/data/data/####/mes_07.png
/data/data/####/message.html
/data/data/####/mixins.less
/data/data/####/mui.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.js
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/myRelease.html
/data/data/####/myS.png
/data/data/####/news.jpg
/data/data/####/newsInformation.html
/data/data/####/next.png
/data/data/####/order.html
/data/data/####/overcast.png
/data/data/####/path.less
/data/data/####/pdr.xml
/data/data/####/personalBg.jpg
/data/data/####/personalCenter1.png
/data/data/####/personalCenter10.png
/data/data/####/personalCenter2.png
/data/data/####/personalCenter3.png
/data/data/####/personalCenter4.png
/data/data/####/personalCenter5.png
/data/data/####/personalCenter6.png
/data/data/####/personalCenter7.png
/data/data/####/personalCenter8.png
/data/data/####/personalCenter9.png
/data/data/####/personalT.gif
/data/data/####/phone.png
/data/data/####/publicFun.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qi.png
/data/data/####/qihoo.png
/data/data/####/qq.png
/data/data/####/qrcode_1537153076.png
/data/data/####/rain-heavy.png
/data/data/####/rain-light.png
/data/data/####/rain-storm.png
/data/data/####/rain.png
/data/data/####/rainMin.png
/data/data/####/recommend.html
/data/data/####/reg.html
/data/data/####/register_03.png
/data/data/####/register_06.png
/data/data/####/register_08.png
/data/data/####/release.png
/data/data/####/releaseGoods.html
/data/data/####/releaseInformation.html
/data/data/####/right.png
/data/data/####/rotated-flipped.less
/data/data/####/run.pid
/data/data/####/screen-reader.less
/data/data/####/search.png
/data/data/####/searchContent.html
/data/data/####/searchInformation.html
/data/data/####/security.css
/data/data/####/security.html
/data/data/####/shenfenzhengfanmian.png
/data/data/####/ship.png
/data/data/####/shipIcon.png
/data/data/####/shipInformation.html
/data/data/####/shipInformation.png
/data/data/####/shipManagement.html
/data/data/####/shipMap.png
/data/data/####/shipOrder.png
/data/data/####/shipowner.png
/data/data/####/shipper.png
/data/data/####/sinaweibo.png
/data/data/####/sleet.png
/data/data/####/sleetMin.png
/data/data/####/slideshowInfor.html
/data/data/####/snow.png
/data/data/####/snowMin.png
/data/data/####/stacked.less
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/submit.png
/data/data/####/sunnyMin.png
/data/data/####/sunshine.png
/data/data/####/tb2.png
/data/data/####/test_app
/data/data/####/thunder-showerMin.png
/data/data/####/thunderstorm.png
/data/data/####/tidaTable.html
/data/data/####/transport.html
/data/data/####/transportShip.html
/data/data/####/tz.png
/data/data/####/unicode.js
/data/data/####/user-photo.png
/data/data/####/userComment.html
/data/data/####/userInformation.png
/data/data/####/util.js
/data/data/####/variables.less
/data/data/####/waterLevel.html
/data/data/####/weather.html
/data/data/####/weatherCity.html
/data/data/####/weatherCity.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/x.png
/data/data/####/ylyNo.png
/data/data/####/ylyOk.png
/data/data/####/zhong.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/ourship.com.cn.bin
/data/media/####/ourship.com.cn.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24398 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24398 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
getuiext3
libjiagu23536868

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней