Adware.Gexin.17402

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) 1####.10.176.225:82
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) 27.1####.66.244:81
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) lhzz####.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 1####.7.32.87:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5227

Запросы DNS:

c-h####.g####.com
cm-1####.ig####.com
lhzz####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

lhzz####.com//updatefiles/zz6dl/v4.0.3/402-403.wgtu
lhzz####.com//updatefiles/zz6dl/v4.0.4/403-404.wgtu
lhzz####.com/liuhe/images/adinfo/20170830/1504022801385.jpg
lhzz####.com/liuhe/images/adinfo/20180424/1524558238967.jpg
q####.c####.l####.####.com/config/hz-hzv6.conf
qin####.com.www.####.com/tdata_EDT356

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/._expert_forum.html
/data/data/####/._expert_forum_search.html
/data/data/####/._expert_forum_search_sub.html
/data/data/####/._expert_forum_sub.html
/data/data/####/._forum_comment.png
/data/data/####/._guide_pic.html
/data/data/####/._html
/data/data/####/._index.html
/data/data/####/._manifest.json
/data/data/####/._menu.html
/data/data/####/._station.html
/data/data/####/._update.xml
/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0000000000000001.db
/data/data/####/0000000000000001.db-journal
/data/data/####/1.jpg
/data/data/####/10.jpg
/data/data/####/11.jpg
/data/data/####/12.jpg
/data/data/####/123.jpg
/data/data/####/13.jpg
/data/data/####/14.jpg
/data/data/####/15.jpg
/data/data/####/16.jpg
/data/data/####/17.jpg
/data/data/####/2.jpg
/data/data/####/3.jpg
/data/data/####/4.jpg
/data/data/####/456.jpg
/data/data/####/5.jpg
/data/data/####/6.jpg
/data/data/####/7.jpg
/data/data/####/8.jpg
/data/data/####/9.jpg
/data/data/####/ApplicationCache.db-journal
/data/data/####/ApplicationCache.db-journal (deleted)
/data/data/####/Databases.db-journal
/data/data/####/H5E146104.xml
/data/data/####/H5E146104_download_dcloud.xml
/data/data/####/LTUnivers-BasicBold.otf
/data/data/####/MultiDex.lock
/data/data/####/RongEmoji-2.2.4.min.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a1.png
/data/data/####/a2.png
/data/data/####/a3.png
/data/data/####/a4.png
/data/data/####/a5.png
/data/data/####/a6.png
/data/data/####/a7.png
/data/data/####/a8.png
/data/data/####/about.html
/data/data/####/activity_invite.html
/data/data/####/activity_invite_count_record.html
/data/data/####/activity_invite_money_record.html
/data/data/####/activity_invite_money_withdraw.html
/data/data/####/activity_invite_money_withdraw_detail.html
/data/data/####/activity_invite_record.html
/data/data/####/ad.html
/data/data/####/adPlatform.html
/data/data/####/ad_wv.html
/data/data/####/add.png
/data/data/####/ads.js
/data/data/####/almanac.html
/data/data/####/app_recommend.html
/data/data/####/apps.js
/data/data/####/arttmpl.js
/data/data/####/b1.png
/data/data/####/b10.png
/data/data/####/b11.png
/data/data/####/b12.png
/data/data/####/b2.png
/data/data/####/b3.png
/data/data/####/b4.png
/data/data/####/b5.png
/data/data/####/b6.png
/data/data/####/b7.png
/data/data/####/b8.png
/data/data/####/b9.png
/data/data/####/base64.js
/data/data/####/bg1.jpg
/data/data/####/bind_invitees.html
/data/data/####/blackbg.png
/data/data/####/blueball.png
/data/data/####/blueball1.png
/data/data/####/bose_normal.png
/data/data/####/bose_select.png
/data/data/####/cai_normal.png
/data/data/####/cai_selected.png
/data/data/####/calendar.css
/data/data/####/calendar.html
/data/data/####/calendar.js
/data/data/####/cell_festival_red.png
/data/data/####/cell_normal_yellow.png
/data/data/####/chat_code_room.html
/data/data/####/chat_code_room2.html
/data/data/####/chat_hongbao.html
/data/data/####/chat_hongbao.png
/data/data/####/chat_hongbao0.png
/data/data/####/chat_hongbao1.png
/data/data/####/chat_hongbao2.png
/data/data/####/chat_hongbao_release.html
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/closebutton.png
/data/data/####/coin_record.html
/data/data/####/com.png
/data/data/####/common.js
/data/data/####/count_attr.html
/data/data/####/count_bs.html
/data/data/####/count_ds.html
/data/data/####/count_dx.html
/data/data/####/count_hm.html
/data/data/####/count_sx.html
/data/data/####/count_ws.html
/data/data/####/count_zz.html
/data/data/####/counts.html
/data/data/####/counts_dialog.html
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/daxiao_normal.png
/data/data/####/daxiao_select.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/default.png
/data/data/####/dialog_gua.html
/data/data/####/dialog_gua_bg.png
/data/data/####/dialog_gua_close.png
/data/data/####/disclaimer.html
/data/data/####/echarts.min.js
/data/data/####/edit1.png
/data/data/####/eje3cnc
/data/data/####/emojiFactory.js
/data/data/####/encryption.js
/data/data/####/end.mp3
/data/data/####/envelope_record.html
/data/data/####/exchange_colormoney.html
/data/data/####/exchange_edit.html
/data/data/####/exchange_mall.html
/data/data/####/exchange_prize.html
/data/data/####/exchange_records.html
/data/data/####/expert_forum.html
/data/data/####/expert_forum_detail.html
/data/data/####/expert_forum_detail_comment.html
/data/data/####/expert_forum_detail_comment_reply.html
/data/data/####/expert_forum_history.html
/data/data/####/expert_forum_history_detail.html
/data/data/####/expert_forum_history_sub.html
/data/data/####/expert_forum_launch.html
/data/data/####/expert_forum_search.html
/data/data/####/expert_forum_search_sub.html
/data/data/####/expert_forum_sub.html
/data/data/####/expert_interface.html
/data/data/####/expert_interface_heart_detail.html
/data/data/####/expert_interface_heart_detail_sub.html
/data/data/####/expert_interface_sub.html
/data/data/####/experts_concerned.html
/data/data/####/experts_pass.html
/data/data/####/experts_pass_sub.html
/data/data/####/experts_search.html
/data/data/####/experts_search_sub.html
/data/data/####/fahongbao.png
/data/data/####/faq.html
/data/data/####/feedback.html
/data/data/####/file__0.localstorage-journal
/data/data/####/forget_password.html
/data/data/####/forget_password_validate.html
/data/data/####/formula.css
/data/data/####/formula.html
/data/data/####/formula_content.html
/data/data/####/formula_sub.html
/data/data/####/forum_comment.png
/data/data/####/forum_eye.png
/data/data/####/forum_zan.png
/data/data/####/fresh.gif
/data/data/####/gallery.html
/data/data/####/gallery_self.html
/data/data/####/gallery_self_item_list.html
/data/data/####/gallery_self_item_list_item.html
/data/data/####/gallery_self_item_list_sub.html
/data/data/####/gallery_wv.html
/data/data/####/game1.png
/data/data/####/game_list.html
/data/data/####/game_turntable.html
/data/data/####/game_yaoyiyao.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gif-6-2.png
/data/data/####/gif-6-3.png
/data/data/####/gif-6-4.png
/data/data/####/gif-6-5.png
/data/data/####/gif-6-6.png
/data/data/####/gif-6-7.png
/data/data/####/gif-6-8.png
/data/data/####/gold.mp3
/data/data/####/greenball.png
/data/data/####/greenball1.png
/data/data/####/gua_bg.png
/data/data/####/guide_pic.html
/data/data/####/gx_sp.xml
/data/data/####/handlebars-v4.0.5.js
/data/data/####/haoma_normal.png
/data/data/####/haoma_select.png
/data/data/####/hb.jpg
/data/data/####/heart_detail.html
/data/data/####/hearts_list.html
/data/data/####/hearts_list_sub.html
/data/data/####/hearts_published.html
/data/data/####/hearts_viewed.html
/data/data/####/help_center.html
/data/data/####/hgtx.png
/data/data/####/home_live.png
/data/data/####/hong.mp3
/data/data/####/hongbao1.png
/data/data/####/hongbao2.png
/data/data/####/hongbao3.png
/data/data/####/hongbao4.png
/data/data/####/horn_close.png
/data/data/####/horn_open.png
/data/data/####/html5Geo.xml
/data/data/####/ic_more.png
/data/data/####/iconfont.ttf
/data/data/####/iconfont2.ttf
/data/data/####/iconfont3.ttf
/data/data/####/img_loading.gif
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/info.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/interact.html
/data/data/####/interact_list.html
/data/data/####/interact_sub.html
/data/data/####/intro_dialog.html
/data/data/####/invited_people.html
/data/data/####/ipad_bg1.jpg
/data/data/####/jinbi.png
/data/data/####/jquery.eraser.js
/data/data/####/jquery.min.js
/data/data/####/k1.png
/data/data/####/kefu.png
/data/data/####/laba.png
/data/data/####/lan.mp3
/data/data/####/launch_choose.html
/data/data/####/launch_common.html
/data/data/####/launch_expert.html
/data/data/####/lazyimg.js
/data/data/####/left.png
/data/data/####/libjiagu282722243.so
/data/data/####/like.png
/data/data/####/like1.png
/data/data/####/like2.png
/data/data/####/like3.png
/data/data/####/like4.png
/data/data/####/live_video.gif
/data/data/####/live_video.html
/data/data/####/load_url.html
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/look.png
/data/data/####/lotteryList.html
/data/data/####/lotteryList_sub.html
/data/data/####/lottery_bjkl8_detail.html
/data/data/####/lottery_bjkl8_detail_sub.html
/data/data/####/lottery_detail.html
/data/data/####/lottery_detail_sub.html
/data/data/####/lottery_gd11x5_detail.html
/data/data/####/lottery_gd11x5_detail_sub.html
/data/data/####/lottery_gdklsf_detail.html
/data/data/####/lottery_gdklsf_detail_sub.html
/data/data/####/lottery_jsk3_detail.html
/data/data/####/lottery_jsk3_detail_sub.html
/data/data/####/lottery_pcdd_detail.html
/data/data/####/lottery_pcdd_detail_sub.html
/data/data/####/lottery_ssc_detail.html
/data/data/####/lottery_ssc_detail_sub.html
/data/data/####/lv.mp3
/data/data/####/manifest.json
/data/data/####/menu.html
/data/data/####/menu_chat.png
/data/data/####/menu_data.png
/data/data/####/menu_normal.png
/data/data/####/menu_select.png
/data/data/####/mi_close.png
/data/data/####/mi_open.png
/data/data/####/modify_bank.html
/data/data/####/modify_name.html
/data/data/####/modify_password.html
/data/data/####/modify_secure_code.html
/data/data/####/modify_secure_code_first.html
/data/data/####/moneybg.png
/data/data/####/more.html
/data/data/####/more_normal.png
/data/data/####/more_select.png
/data/data/####/mores_normal.png
/data/data/####/mores_select.png
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.min1.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.mins.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/mystery.html
/data/data/####/mystery1.html
/data/data/####/mystery2.html
/data/data/####/mystery_content.html
/data/data/####/mystery_sub.html
/data/data/####/mystery_year.html
/data/data/####/mystery_year_sub.html
/data/data/####/num1.mp3
/data/data/####/num2.mp3
/data/data/####/num3.mp3
/data/data/####/num4.mp3
/data/data/####/num5.mp3
/data/data/####/num6.mp3
/data/data/####/num7.mp3
/data/data/####/openbefore.png
/data/data/####/paihang1.png
/data/data/####/pdr.xml
/data/data/####/personal_information.html
/data/data/####/phone.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwd.png
/data/data/####/query_ballot_date.html
/data/data/####/query_helper_common_sense.html
/data/data/####/query_helper_condition.html
/data/data/####/query_helper_hc_numbers.html
/data/data/####/query_helper_list.html
/data/data/####/query_helper_lottery.html
/data/data/####/rank.html
/data/data/####/rank1.png
/data/data/####/rank2.png
/data/data/####/rank3.png
/data/data/####/rank_rewards.html
/data/data/####/rank_rewards_sub.html
/data/data/####/rank_sub.html
/data/data/####/red_envelopes.html
/data/data/####/redball.png
/data/data/####/redball1.png
/data/data/####/redbg.png
/data/data/####/redpot.png
/data/data/####/register.html
/data/data/####/register_validate.html
/data/data/####/reload.png
/data/data/####/renrenliao.html
/data/data/####/renrenliao_past_heart_detail.html
/data/data/####/renrenliao_sub.html
/data/data/####/reset_password.html
/data/data/####/reward_money.html
/data/data/####/right.png
/data/data/####/rightrow.png
/data/data/####/rong_im_lib-2.2.3.min.js
/data/data/####/run.pid
/data/data/####/search1.png
/data/data/####/setting.ttf
/data/data/####/shake.wav
/data/data/####/shakedown.png
/data/data/####/shakeup.png
/data/data/####/shengxiao_normal.png
/data/data/####/shengxiao_select.png
/data/data/####/shxiaogou.mp3
/data/data/####/shxiaohou.mp3
/data/data/####/shxiaohu.mp3
/data/data/####/shxiaoji.mp3
/data/data/####/shxiaolong.mp3
/data/data/####/shxiaoma.mp3
/data/data/####/shxiaoniu.mp3
/data/data/####/shxiaoshe.mp3
/data/data/####/shxiaoshu.mp3
/data/data/####/shxiaotu.mp3
/data/data/####/shxiaoyang.mp3
/data/data/####/shxiaozhu.mp3
/data/data/####/sound.png
/data/data/####/sound.ttf
/data/data/####/sound01.mp3
/data/data/####/sound02.mp3
/data/data/####/sound03.mp3
/data/data/####/sound04.mp3
/data/data/####/sound05.mp3
/data/data/####/sound06.mp3
/data/data/####/sound07.mp3
/data/data/####/sound08.mp3
/data/data/####/sound09.mp3
/data/data/####/sound1.wav
/data/data/####/sound10.mp3
/data/data/####/sound11.mp3
/data/data/####/sound12.mp3
/data/data/####/sound13.mp3
/data/data/####/sound14.mp3
/data/data/####/sound15.mp3
/data/data/####/sound16.mp3
/data/data/####/sound17.mp3
/data/data/####/sound18.mp3
/data/data/####/sound19.mp3
/data/data/####/sound20.mp3
/data/data/####/sound21.mp3
/data/data/####/sound22.mp3
/data/data/####/sound23.mp3
/data/data/####/sound24.mp3
/data/data/####/sound25.mp3
/data/data/####/sound26.mp3
/data/data/####/sound27.mp3
/data/data/####/sound28.mp3
/data/data/####/sound29.mp3
/data/data/####/sound30.mp3
/data/data/####/sound31.mp3
/data/data/####/sound32.mp3
/data/data/####/sound33.mp3
/data/data/####/sound34.mp3
/data/data/####/sound35.mp3
/data/data/####/sound36.mp3
/data/data/####/sound37.mp3
/data/data/####/sound38.mp3
/data/data/####/sound39.mp3
/data/data/####/sound40.mp3
/data/data/####/sound41.mp3
/data/data/####/sound42.mp3
/data/data/####/sound43.mp3
/data/data/####/sound44.mp3
/data/data/####/sound45.mp3
/data/data/####/sound46.mp3
/data/data/####/sound47.mp3
/data/data/####/sound48.mp3
/data/data/####/sound49.mp3
/data/data/####/start.mp3
/data/data/####/start_cj.png
/data/data/####/start_statistics_data.xml
/data/data/####/station.html
/data/data/####/station_news.html
/data/data/####/station_news_sub.html
/data/data/####/stream_permission.xml
/data/data/####/switch_push.html
/data/data/####/test_app
/data/data/####/textbg.png
/data/data/####/tongji.png
/data/data/####/tongji_gray.png
/data/data/####/touxiang.png
/data/data/####/touxiang4.png
/data/data/####/update.xml
/data/data/####/user.png
/data/data/####/waiting.png
/data/data/####/waiting1.png
/data/data/####/website_kefu.html
/data/data/####/websql.js
/data/data/####/websql2.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wenhao.png
/data/data/####/whitebg.png
/data/data/####/write.png
/data/data/####/yanzhengma.png
/data/data/####/yaoqingma.png
/data/data/####/yjg.mp3
/data/data/####/yuan.png
/data/data/####/yuan1.png
/data/data/####/yuan2.png
/data/data/####/zan.png
/data/data/####/zhuanchu.wav
/data/data/####/zhuanjialuntang.png
/data/data/####/zhuanjiatag.png
/data/data/####/zhuanjiatag2.png
/data/data/####/zhuanpan.mp3
/data/data/####/zhuanpan.png
/data/data/####/zone.html
/data/data/####/zone_normal.png
/data/data/####/zone_select.png
/data/data/####/zpbg.png
/data/media/####/.imei.txt
/data/media/####/1504022801385.jpg
/data/media/####/1524558238967.jpg
/data/media/####/1556968958006.jpg
/data/media/####/402-403.wgtu
/data/media/####/403-404.wgtu
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xrossover.liuhePush.bin
/data/media/####/com.xrossover.liuhePush.db
/data/media/####/dt181566564125419.download
/data/media/####/dt241566564125206.download
/data/media/####/dt261566564126626.download
/data/media/####/dt281566564127371.download
/data/media/####/dt31566564140947.download
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25381 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25381 300 0

Загружает динамические библиотеки:

getuiext3
libjiagu282722243

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней