Adware.Gexin.14477

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_SzD730
t####.c####.q####.####.com/tdata_ZCi456
t####.c####.q####.####.com/tdata_aBz764

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/H5E9FE3A3.xml
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/gdaemon_20161017
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_aBz764
/data/data/####/tdata_aBz764.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/Common.js
/data/media/####/FontAwesome.otf
/data/media/####/Main.html
/data/media/####/addaddress.html
/data/media/####/addbank.html
/data/media/####/agreement.html
/data/media/####/alipaypc_ico.png
/data/media/####/animate.min.css
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/applogo.png
/data/media/####/article_show.html
/data/media/####/balance_checksms.html
/data/media/####/balance_ico.png
/data/media/####/balance_index.html
/data/media/####/barcode.html
/data/media/####/bawanggou_ico1.png
/data/media/####/bawanggou_ico2.png
/data/media/####/bawanggou_ico3.png
/data/media/####/bawanggou_ico4.png
/data/media/####/bawanggou_ico5.png
/data/media/####/bill.html
/data/media/####/bill_sub.html
/data/media/####/bwg_logo.png
/data/media/####/bwg_ts1.png
/data/media/####/bwg_ts2.png
/data/media/####/bwg_ts3.png
/data/media/####/bwg_ts4.png
/data/media/####/bwg_ts5.png
/data/media/####/carddetail.html
/data/media/####/cart.js
/data/media/####/carts.html
/data/media/####/chat.css
/data/media/####/checkUpdate.js
/data/media/####/city.data-3.js
/data/media/####/city.data.js
/data/media/####/codepay.html
/data/media/####/com.bawanggou.www.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/confirm_topbg.png
/data/media/####/cropper.html
/data/media/####/cropper.min.css
/data/media/####/cropper.min.js
/data/media/####/default_goods_img.png
/data/media/####/error.html
/data/media/####/feedback.css
/data/media/####/font-awesome.min.css
/data/media/####/fontawesome-webfont.eot
/data/media/####/fontawesome-webfont.svg
/data/media/####/fontawesome-webfont.ttf
/data/media/####/fontawesome-webfont.woff
/data/media/####/fontawesome-webfont.woff2
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/goods.html
/data/media/####/goods.js
/data/media/####/goodsdetail.html
/data/media/####/goodsdetail.js
/data/media/####/headline_bg.png
/data/media/####/icon.png
/data/media/####/icons-extra.css
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/index_nav_ico1.png
/data/media/####/index_nav_ico2.png
/data/media/####/index_nav_ico3.png
/data/media/####/index_nav_ico4.png
/data/media/####/index_nav_ico5.png
/data/media/####/index_nav_ico6.png
/data/media/####/index_nav_ico7.png
/data/media/####/index_nav_ico8.png
/data/media/####/json2.js
/data/media/####/loader.css
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/logistics.html
/data/media/####/manageaddress.html
/data/media/####/manifest.json
/data/media/####/message.html
/data/media/####/message.js
/data/media/####/message_sub.html
/data/media/####/modifyaddress.html
/data/media/####/modifyloginpwd.html
/data/media/####/modifypaypwd.html
/data/media/####/modifysecurity.html
/data/media/####/modifyuserinfo.html
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.css
/data/media/####/mui.dtpicker.css
/data/media/####/mui.dtpicker.js
/data/media/####/mui.imageviewer.css
/data/media/####/mui.indexedlist.css
/data/media/####/mui.js
/data/media/####/mui.listpicker.css
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.all.css
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui.zoom.js
/data/media/####/mybank.html
/data/media/####/mypromotion.html
/data/media/####/nav_cart.png
/data/media/####/nav_cart_hover.png
/data/media/####/nav_gift.png
/data/media/####/nav_gift_hover.png
/data/media/####/order.html
/data/media/####/order.js
/data/media/####/order_detail.html
/data/media/####/own.css
/data/media/####/pay_codebg.png
/data/media/####/payment.html
/data/media/####/paymentorder.js
/data/media/####/person.html
/data/media/####/person.js
/data/media/####/pluspayment.js
/data/media/####/profit_msg.html
/data/media/####/promotion_bg.png
/data/media/####/qr_code.png
/data/media/####/qr_result.html
/data/media/####/recharge.html
/data/media/####/register.html
/data/media/####/repsd.html
/data/media/####/safetycheck.html
/data/media/####/saftycenter.html
/data/media/####/scanIco.png
/data/media/####/scroll_bg.png
/data/media/####/search.html
/data/media/####/selectaddress.html
/data/media/####/setting.css
/data/media/####/setting.html
/data/media/####/setting.js
/data/media/####/setting_copy.html
/data/media/####/sliderloading.png
/data/media/####/step_wait.gif
/data/media/####/storage.js
/data/media/####/submitorder.html
/data/media/####/success.html
/data/media/####/successulRegister.html
/data/media/####/system_msg.html
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/tdata_aBz764
/data/media/####/test.log
/data/media/####/tran_msg.html
/data/media/####/user.css
/data/media/####/user_default_avatar.png
/data/media/####/user_groups_grade_1.png
/data/media/####/user_groups_grade_2.png
/data/media/####/user_groups_grade_3.png
/data/media/####/user_groups_grade_4.png
/data/media/####/user_groups_grade_5.png
/data/media/####/usercenter.html
/data/media/####/usercenter222.html
/data/media/####/usercenter_sub.html
/data/media/####/utils.css
/data/media/####/utils.js
/data/media/####/wallet.html
/data/media/####/wallet_bg.png
/data/media/####/wallet_sub.html
/data/media/####/weixin_ico.png
/data/media/####/weui.min2.css
/data/media/####/withdrawal.html
/data/media/####/wlLine.png
/data/media/####/wlLine_first.png
/data/media/####/wlLinecur.png
/data/media/####/wxpay_ico.png
/data/media/####/ye_ico.png
/data/media/####/yeepay_ico.png
/data/media/####/zfb_ico.png
/data/media/####/zgggyh.png
/data/media/####/zgyh_logo.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24723 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней