Adware.Gexin.17629

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) we####.icbig####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 2####.58.208.110:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5224

Запросы DNS:

c-h####.g####.com
cm-1####.ig####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
we####.icbig####.com

Запросы HTTP GET:

q####.c####.l####.####.com/config/hz-hzv6.conf
qin####.com.www.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/cc3b60ee0471
/data/data/####/clientid_igexin.xml
/data/data/####/com.icbi.zsgd.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu-803876182.so
/data/data/####/multidex.version.xml
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromium.db-journal (deleted)
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/20190904.log
/data/media/####/32px.png
/data/media/####/40px.png
/data/media/####/AdEnable.dat
/data/media/####/AdnPropsPanel.js
/data/media/####/AdnStructurePanel.js
/data/media/####/AdnTreePanel.js
/data/media/####/ApplicationAcceptance.css
/data/media/####/ApplicationAcceptance.html
/data/media/####/ApplicationAcceptance.js
/data/media/####/BimWalk.css
/data/media/####/BimWalk.js
/data/media/####/BimWalk.min.css
/data/media/####/BimWalk.min.js
/data/media/####/BindPhoneNum.html
/data/media/####/ChangePassword.css
/data/media/####/ChangePassword.html
/data/media/####/ChildGeneralDetail.css
/data/media/####/ChildGeneralDetail.html
/data/media/####/ChildGeneralDetail.js
/data/media/####/ChildSubcontrsctingDetail.css
/data/media/####/ChildSubcontrsctingDetail.html
/data/media/####/ChildSubcontrsctingDetail.js
/data/media/####/ChildSupervisionDetail.css
/data/media/####/ChildSupervisionDetail.html
/data/media/####/ChildSupervisionDetail.js
/data/media/####/CoolLight_irr.logluv.dds
/data/media/####/CoolLight_mipdrop.logluv.dds
/data/media/####/CustomToolExtension.js
/data/media/####/DarkSky_irr.logluv.dds
/data/media/####/DarkSky_mipdrop.logluv.dds
/data/media/####/FirstPerson.js
/data/media/####/FirstPerson.min.js
/data/media/####/GeneralAcceDetails.css
/data/media/####/GeneralAcceDetails.html
/data/media/####/GeneralAcceDetails.js
/data/media/####/GeneralAcceptanceDetails.css
/data/media/####/GeneralAcceptanceDetails.html
/data/media/####/GeneralAcceptanceDetails.js
/data/media/####/GeneralDealwith.css
/data/media/####/GeneralDealwith.html
/data/media/####/GeneralDealwith.js
/data/media/####/GeneralPackage.css
/data/media/####/GeneralPackage.html
/data/media/####/GeneralPackage.js
/data/media/####/GeneralPackageAcceptance.css
/data/media/####/GeneralPackageAcceptance.html
/data/media/####/GeneralPackageAcceptance.js
/data/media/####/GeneralPackageDetail.css
/data/media/####/GeneralPackageDetail.html
/data/media/####/GeneralPackageDetail.js
/data/media/####/GreyRoom_irr.logluv.dds
/data/media/####/GreyRoom_mipdrop.logluv.dds
/data/media/####/GridLight_irr.logluv.dds
/data/media/####/GridLight_mipdrop.logluv.dds
/data/media/####/IDViz_irr.logluv.dds
/data/media/####/IDViz_mipdrop.logluv.dds
/data/media/####/InViewerSearch.css
/data/media/####/InViewerSearch.js
/data/media/####/InViewerSearch.min.css
/data/media/####/InViewerSearch.min.js
/data/media/####/InfinityPool_irr.logluv.dds
/data/media/####/InfinityPool_mipdrop.logluv.dds
/data/media/####/Markups.js
/data/media/####/Markups.min.js
/data/media/####/MarkupsGui.css
/data/media/####/MarkupsGui.js
/data/media/####/MarkupsGui.min.js
/data/media/####/ModifyPhone.css
/data/media/####/ModifyPhone.html
/data/media/####/MyAwesomeExtension.js
/data/media/####/PersonalInformation.css
/data/media/####/PersonalInformation.html
/data/media/####/PhotoBooth_irr.logluv.dds
/data/media/####/PhotoBooth_mipdrop.logluv.dds
/data/media/####/Plaza_irr.logluv.dds
/data/media/####/Plaza_mipdrop.logluv.dds
/data/media/####/ProjectOverview.html
/data/media/####/Reflection_irr.logluv.dds
/data/media/####/Reflection_mipdrop.logluv.dds
/data/media/####/ResetPassword.css
/data/media/####/ResetPassword.html
/data/media/####/RimHighlights_irr.logluv.dds
/data/media/####/RimHighlights_mipdrop.logluv.dds
/data/media/####/SelectProcessor.css
/data/media/####/SelectProcessor.html
/data/media/####/SelectProcessor.js
/data/media/####/SelectUnit.css
/data/media/####/SelectUnit.html
/data/media/####/SelectUnit.js
/data/media/####/SharpHighlights_irr.logluv.dds
/data/media/####/SharpHighlights_mipdrop.logluv.dds
/data/media/####/SnowField_irr.logluv.dds
/data/media/####/SnowField_mipdrop.logluv.dds
/data/media/####/SoftLight_irr.logluv.dds
/data/media/####/SoftLight_mipdrop.logluv.dds
/data/media/####/SubAcceDetails.css
/data/media/####/SubAcceDetails.html
/data/media/####/SubAcceDetails.js
/data/media/####/SubAcceptanceDetails.css
/data/media/####/SubAcceptanceDetails.html
/data/media/####/SubAcceptanceDetails.js
/data/media/####/SubTaskDetails.css
/data/media/####/SubTaskDetails.html
/data/media/####/SubTaskDetails.js
/data/media/####/SubcontractAcceptance.css
/data/media/####/SubcontractAcceptance.html
/data/media/####/SubcontractAcceptance.js
/data/media/####/Subcontracting.css
/data/media/####/Subcontracting.html
/data/media/####/Subcontracting.js
/data/media/####/SubcontractingDetail.css
/data/media/####/SubcontractingDetail.html
/data/media/####/SubcontractingDetail.js
/data/media/####/SubcontractingOrder.css
/data/media/####/SubcontractingOrder.js
/data/media/####/SubcontractingOrderl.html
/data/media/####/SupervisioAcceDetails.css
/data/media/####/SupervisioAcceDetails.html
/data/media/####/SupervisioAcceDetails.js
/data/media/####/SupervisionAcceptance.css
/data/media/####/SupervisionAcceptance.html
/data/media/####/SupervisionAcceptance.js
/data/media/####/SupervisionAcceptanceDetails.css
/data/media/####/SupervisionAcceptanceDetails.html
/data/media/####/SupervisionAcceptanceDetails.js
/data/media/####/Tab_icon_back_blue.svg
/data/media/####/TaskDetails.css
/data/media/####/TaskDetails.html
/data/media/####/TaskDetails.js
/data/media/####/TeamLeaderWorkOrderAcceptance.css
/data/media/####/TeamLeaderWorkOrderAcceptance.html
/data/media/####/TeamLeaderWorkOrderAcceptance.js
/data/media/####/TeamLeaderWorkOrderDetails.css
/data/media/####/TeamLeaderWorkOrderDetails.html
/data/media/####/TeamLeaderWorkOrderDetails.js
/data/media/####/TeamLeaderWorkOrderLargeDetails.css
/data/media/####/TeamLeaderWorkOrderLargeDetails.html
/data/media/####/TeamLeaderWorkOrderLargeDetails.js
/data/media/####/TeamLeaderWorkOrderReport.css
/data/media/####/TeamLeaderWorkOrderReport.html
/data/media/####/TeamLeaderWorkOrderReport.js
/data/media/####/TranquilityBlue_irr.logluv.dds
/data/media/####/TranquilityBlue_mipdrop.logluv.dds
/data/media/####/VCarrows.png
/data/media/####/VCarrowsS0.png
/data/media/####/VCarrowsS1.png
/data/media/####/VCcontext.png
/data/media/####/VCcontextS.png
/data/media/####/VCcrossRGBA8small.dds
/data/media/####/VCedge1.png
/data/media/####/VChome.png
/data/media/####/VChomeS.png
/data/media/####/WarmLight_irr.logluv.dds
/data/media/####/WarmLight_mipdrop.logluv.dds
/data/media/####/WebVR.css
/data/media/####/WebVR.js
/data/media/####/addmember.css
/data/media/####/addmember.html
/data/media/####/addmember.js
/data/media/####/allstrings.json
/data/media/####/api.js
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/application_icon_document.svg
/data/media/####/application_icon_projectInvitation.svg
/data/media/####/application_icon_quality.svg
/data/media/####/application_icon_qualityStatistics.svg
/data/media/####/application_icon_qualityType.svg
/data/media/####/application_icon_safety.svg
/data/media/####/application_icon_safetyStatistics.svg
/data/media/####/application_icon_safetyType.svg
/data/media/####/argeeinvite.css
/data/media/####/argeeinvite.html
/data/media/####/argeeinvite.js
/data/media/####/avatar_pic_default.svg
/data/media/####/baishan.js
/data/media/####/bgpic_companyInformation.png
/data/media/####/bindphone.png
/data/media/####/boardwalk_irr.logluv.dds
/data/media/####/boardwalk_mipdrop.logluv.dds
/data/media/####/cardinalPoint.png
/data/media/####/centerMarker_X.png
/data/media/####/check.png
/data/media/####/checked.png
/data/media/####/ckplayer.js
/data/media/####/ckplayer.swf
/data/media/####/ckplayer.xml
/data/media/####/com.icbi.zsgd.bin
/data/media/####/com.icbi.zsgd.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/constructionReport.css
/data/media/####/constructionReport.html
/data/media/####/constructionReport.js
/data/media/####/constructionReportDetails.css
/data/media/####/constructionReportDetails.html
/data/media/####/constructionReportDetails.js
/data/media/####/constructionReportLargeDetails.css
/data/media/####/constructionReportLargeDetails.html
/data/media/####/constructionReportLargeDetails.js
/data/media/####/contactdetails.css
/data/media/####/contactdetails.html
/data/media/####/contactdetails.js
/data/media/####/crossroads_irr.logluv.dds
/data/media/####/crossroads_mipdrop.logluv.dds
/data/media/####/defaltphoto.png
/data/media/####/default_avatar.png
/data/media/####/demo.html
/data/media/####/echarts.min.js
/data/media/####/eje3cnc
/data/media/####/entdetail.css
/data/media/####/entdetail.html
/data/media/####/entframe.html
/data/media/####/enthome.css
/data/media/####/enthome.html
/data/media/####/enthome.js
/data/media/####/entinformation.css
/data/media/####/entinformation.html
/data/media/####/entinformation.js
/data/media/####/entme.css
/data/media/####/entme.html
/data/media/####/entme.js
/data/media/####/entworkbench.css
/data/media/####/entworkbench.html
/data/media/####/entworkbench.js
/data/media/####/es6-promise.min.js
/data/media/####/ezuikit.js
/data/media/####/feixin.png
/data/media/####/field_irr.logluv.dds
/data/media/####/field_mipdrop.logluv.dds
/data/media/####/file_list_one.css
/data/media/####/file_list_one.html
/data/media/####/file_list_one.js
/data/media/####/file_name_util.js
/data/media/####/file_sort.css
/data/media/####/file_sort.html
/data/media/####/file_sort.js
/data/media/####/firefly.js
/data/media/####/firefly.min.js
/data/media/####/glacier_irr.logluv.dds
/data/media/####/glacier_mipdrop.logluv.dds
/data/media/####/google.png
/data/media/####/guide.html
/data/media/####/handle.css
/data/media/####/handle.html
/data/media/####/handle.js
/data/media/####/hazard_3d.html
/data/media/####/hiddentypes.css
/data/media/####/hiddentypes.html
/data/media/####/hiddentypes.js
/data/media/####/hls.light.min.js
/data/media/####/home_project_pic.png
/data/media/####/icbi.css
/data/media/####/icbi.less
/data/media/####/icon-information.svg
/data/media/####/icon-spinner-sm.svg
/data/media/####/icon_female.svg
/data/media/####/icon_filter.svg
/data/media/####/icon_man.svg
/data/media/####/icon_more.svg
/data/media/####/icon_picAdd.png
/data/media/####/icon_select_choosed.svg
/data/media/####/icon_select_unchoosed.svg
/data/media/####/icon_sort.svg
/data/media/####/iconfont.css
/data/media/####/iconfont.js
/data/media/####/iconfont.svg
/data/media/####/iconfont.ttf
/data/media/####/iconfont.woff
/data/media/####/image_upload.js
/data/media/####/index_icon_projectOverview.svg
/data/media/####/index_icon_weather_cloudy.svg
/data/media/####/jquery-1.12.4.min.js
/data/media/####/jstree.js
/data/media/####/jstree.min.js
/data/media/####/kaixin001.png
/data/media/####/labourServices.css
/data/media/####/labourServices.html
/data/media/####/labourServices.js
/data/media/####/language.xml
/data/media/####/launchingSafetyRectification.css
/data/media/####/launchingSafetyRectification.html
/data/media/####/launchingSafetyRectification.js
/data/media/####/list_icon_arrow_down_gray.svg
/data/media/####/list_icon_arrow_right_gray.svg
/data/media/####/list_icon_arrow_right_white.svg
/data/media/####/list_icon_arrow_up_gray.svg
/data/media/####/lmvworker.js
/data/media/####/lmvworker.min.js
/data/media/####/login.html
/data/media/####/login_icon_companyID.svg
/data/media/####/login_icon_invisible.svg
/data/media/####/login_icon_phone.svg
/data/media/####/login_icon_visible.svg
/data/media/####/m3u8.swf
/data/media/####/manifest.json
/data/media/####/markupExt.js
/data/media/####/memberSearch.js
/data/media/####/menu.js
/data/media/####/menu_icon_addressBook_choosed.svg
/data/media/####/menu_icon_addressBook_default.svg
/data/media/####/menu_icon_home_choosed.svg
/data/media/####/menu_icon_home_default.svg
/data/media/####/menu_icon_message_choosed.svg
/data/media/####/menu_icon_message_default.svg
/data/media/####/menu_icon_workbench_choosed.svg
/data/media/####/menu_icon_workbench_default.svg
/data/media/####/menu_mine_icon_choosed.svg
/data/media/####/menu_mine_icon_default.svg
/data/media/####/message_icon_system.svg
/data/media/####/message_icon_upcoming.svg
/data/media/####/msn.png
/data/media/####/mui.indexedlist.css
/data/media/####/mui.indexedlist.js
/data/media/####/mui.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/multipleModel.js
/data/media/####/news.css
/data/media/####/news.html
/data/media/####/news.js
/data/media/####/no_data.png
/data/media/####/pages.js
/data/media/####/password_icon_SMS.svg
/data/media/####/password_icon_password.svg
/data/media/####/password_icon_prompt.svg
/data/media/####/password_plate_phone.png
/data/media/####/password_plate_success.svg
/data/media/####/password_step1_selected.svg
/data/media/####/password_step2_default.svg
/data/media/####/password_step2_selected.svg
/data/media/####/permissions.js
/data/media/####/pic_project1.png
/data/media/####/positioning.js
/data/media/####/previewimage.css
/data/media/####/prjcontact.css
/data/media/####/prjcontact.html
/data/media/####/prjcontact.js
/data/media/####/prjcontact_sort.css
/data/media/####/prjcontact_sort.html
/data/media/####/prjcontact_sort.js
/data/media/####/prjframe.html
/data/media/####/prjhome.css
/data/media/####/prjhome.html
/data/media/####/prjhome.js
/data/media/####/prjinformation.css
/data/media/####/prjinformation.html
/data/media/####/prjinformation.js
/data/media/####/prjinvitemanage.css
/data/media/####/prjinvitemanage.html
/data/media/####/prjinvitemanage.js
/data/media/####/prjme.css
/data/media/####/prjme.html
/data/media/####/prjme.js
/data/media/####/prjworkbench.css
/data/media/####/prjworkbench.html
/data/media/####/prjworkbench.js
/data/media/####/projectinfo.html
/data/media/####/projectinfomation.css
/data/media/####/projectinfomation.html
/data/media/####/projectmember.css
/data/media/####/projectmember.html
/data/media/####/projectmember.js
/data/media/####/push.js
/data/media/####/qq.png
/data/media/####/qq2.png
/data/media/####/qualityList.css
/data/media/####/qualityList.html
/data/media/####/qualityList.js
/data/media/####/qualityNotice.css
/data/media/####/qualityNotice.html
/data/media/####/qualityNotice.js
/data/media/####/qualityRectification.css
/data/media/####/qualityRectification.html
/data/media/####/qualityRectification.js
/data/media/####/qualityhandle.css
/data/media/####/qualityhandle.html
/data/media/####/qualityhandle.js
/data/media/####/qualityhazard_3d.html
/data/media/####/qualityhiddentypes.css
/data/media/####/qualityhiddentypes.html
/data/media/####/qualityhiddentypes.js
/data/media/####/qualityrectifydetail.css
/data/media/####/qualityrectifydetail.html
/data/media/####/qualityrectifydetail.js
/data/media/####/qualityrectifyopera.css
/data/media/####/qualityrectifyopera.html
/data/media/####/qualityrectifyopera.js
/data/media/####/qzone.png
/data/media/####/radial-fade-grid.png
/data/media/####/rc.html
/data/media/####/rc.js
/data/media/####/rc.min.js
/data/media/####/refuseinvite.html
/data/media/####/related.xml
/data/media/####/riverbank_irr.logluv.dds
/data/media/####/riverbank_mipdrop.logluv.dds
/data/media/####/rr.png
/data/media/####/seaport_irr.logluv.dds
/data/media/####/seaport_mipdrop.logluv.dds
/data/media/####/search_icon_close.svg
/data/media/####/search_icon_gray.svg
/data/media/####/searchworker.js
/data/media/####/searchworker.min.js
/data/media/####/securityList.css
/data/media/####/securityList.html
/data/media/####/securityList.js
/data/media/####/securityNotice.css
/data/media/####/securityNotice.html
/data/media/####/securityNotice.js
/data/media/####/securityrectifydetail.css
/data/media/####/securityrectifydetail.html
/data/media/####/securityrectifydetail.js
/data/media/####/securityrectifyopera.css
/data/media/####/securityrectifyopera.html
/data/media/####/securityrectifyopera.js
/data/media/####/share.xml
/data/media/####/shine.js
/data/media/####/sina.png
/data/media/####/socket.io-1.3.5.js
/data/media/####/sohu.png
/data/media/####/style.css
/data/media/####/style.min.css
/data/media/####/style.swf
/data/media/####/teamLeaderWorkOrder.css
/data/media/####/teamLeaderWorkOrder.html
/data/media/####/teamLeaderWorkOrder.js
/data/media/####/temp.arm
/data/media/####/template.js
/data/media/####/test.log
/data/media/####/three.js
/data/media/####/three.min.js
/data/media/####/throbber.gif
/data/media/####/tianya.png
/data/media/####/toast_icon_fail.svg
/data/media/####/toast_icon_success.svg
/data/media/####/toast_icon_warning.svg
/data/media/####/typeCode.js
/data/media/####/user_reg.html
/data/media/####/viewer3D.js
/data/media/####/viewer3D.min.js
/data/media/####/vue.min.js
/data/media/####/weatherFa.js
/data/media/####/webvr-polyfill.js
/data/media/####/webvr-polyfill.min.js
/data/media/####/wgs.js
/data/media/####/wgs.min.js
/data/media/####/workbench_icon_constructionReport.svg
/data/media/####/workbench_icon_generalAcceptance.svg
/data/media/####/workbench_icon_generalPackage.svg
/data/media/####/workbench_icon_subcontractAcceptance.svg
/data/media/####/workbench_icon_subcontractingOrder.svg
/data/media/####/workbench_icon_supervisionAcceptance.svg
/data/media/####/workbench_icon_teamLeaderWork.svg
/data/media/####/wxf_global.css

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24258 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24258 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu-803876182

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней