Adware.Gexin.17653

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) fu####.funz####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
c-h####.g####.com
cm-1####.ig####.com
fu####.funz####.com
log.u####.com
s####.u####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

fu####.funz####.com/app/check?isDiff=####&android=####&appName=####&jsVe...
q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_SzD730
ti####.c####.l####.####.com/tdata_ZCi456
ti####.c####.l####.####.com/tdata_zdX887

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/14db31e95ce878cddca5be3e9e5e76f421dfaeff492307a....0.tmp
/data/data/####/1567724738272.log
/data/data/####/28b51f21856bf261a287ab66ea5ca9223629d1d6a39f9db....0.tmp
/data/data/####/8cc72f96ec0663b0cf7c0f236e4d9c56ca21815d5e5f408....0.tmp
/data/data/####/BMWEEXOPEN_NATIVE_SP.xml
/data/data/####/MultiDex.lock
/data/data/####/WXStorage-journal
/data/data/####/b481da8f88913f2645de5a91a3cda58ca24d212eace5d46....0.tmp
/data/data/####/gdaemon_20161017
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libjiagu-417525568.so
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/tdata_ZCi456
/data/data/####/tdata_ZCi456.jar
/data/data/####/tdata_zdX887
/data/data/####/tdata_zdX887.jar
/data/data/####/umeng_socialize.xml
/data/media/####/aboutus.js
/data/media/####/accountcreate.js
/data/media/####/accountlist.js
/data/media/####/add.png
/data/media/####/addorder.js
/data/media/####/address.js
/data/media/####/addressedit.js
/data/media/####/alipay.png
/data/media/####/app.db
/data/media/####/award.png
/data/media/####/award_a.png
/data/media/####/award_fun.png
/data/media/####/award_g.png
/data/media/####/award_global.png
/data/media/####/award_mvp.png
/data/media/####/award_round.png
/data/media/####/award_s.png
/data/media/####/bargainlist.js
/data/media/####/bindphone.js
/data/media/####/bookingchose.js
/data/media/####/bookingdetail.js
/data/media/####/bookingevaluate.js
/data/media/####/bookingorder.js
/data/media/####/bundle.zip
/data/media/####/challengelist.js
/data/media/####/checked.png
/data/media/####/checked_green.png
/data/media/####/checked_static.png
/data/media/####/chosemate.js
/data/media/####/citypicker.js
/data/media/####/clear.png
/data/media/####/clockpicker.js
/data/media/####/close.png
/data/media/####/com.funzuqiu.funapp.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/combatdetail.js
/data/media/####/commentedit.js
/data/media/####/coupon.png
/data/media/####/coupon_big.png
/data/media/####/coupondetail.js
/data/media/####/couponpicker.js
/data/media/####/current.png
/data/media/####/datepicker.js
/data/media/####/datingchallenge.js
/data/media/####/datingdetail.js
/data/media/####/datingdirection.js
/data/media/####/datingorder.js
/data/media/####/datingsquare.js
/data/media/####/delete.png
/data/media/####/districtpicker.js
/data/media/####/down.png
/data/media/####/dy.png
/data/media/####/dy_active.png
/data/media/####/editattend.js
/data/media/####/enrolldetail.js
/data/media/####/enrollorder.js
/data/media/####/evaluationlist.js
/data/media/####/feedback.js
/data/media/####/fieldsearch.js
/data/media/####/fieldselect.js
/data/media/####/fork.png
/data/media/####/formatpicker.js
/data/media/####/funpay.png
/data/media/####/gameorder.js
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/gm.png
/data/media/####/gm_active.png
/data/media/####/gmcomplaint.js
/data/media/####/gmevaluate.js
/data/media/####/goal.png
/data/media/####/goods.js
/data/media/####/guide.js
/data/media/####/guide_1.jpg
/data/media/####/guide_2.jpg
/data/media/####/helpcategory.js
/data/media/####/helpdetail.js
/data/media/####/helplist.js
/data/media/####/home.js
/data/media/####/icon_backnav.png
/data/media/####/iconfont.css
/data/media/####/iconfont.eot
/data/media/####/iconfont.js
/data/media/####/iconfont.svg
/data/media/####/iconfont.ttf
/data/media/####/iconfont.woff
/data/media/####/idsetting.js
/data/media/####/index.js
/data/media/####/invitation.js
/data/media/####/invoiceapply.js
/data/media/####/invoicechose.js
/data/media/####/invoicehistory.js
/data/media/####/invoiceorders.js
/data/media/####/lag.png
/data/media/####/leaguedetail.js
/data/media/####/leaguenote.js
/data/media/####/leagueorder.js
/data/media/####/loading.gif
/data/media/####/loading_2.gif
/data/media/####/locate.png
/data/media/####/login.js
/data/media/####/loginphone.js
/data/media/####/mall.js
/data/media/####/match_background.jpg
/data/media/####/match_news.png
/data/media/####/matchdetail.js
/data/media/####/md5.json
/data/media/####/money.js
/data/media/####/msgdetail.js
/data/media/####/mybooking.js
/data/media/####/mycollect.js
/data/media/####/mycoupon.js
/data/media/####/mydating.js
/data/media/####/myenroll.js
/data/media/####/myinvoice.js
/data/media/####/mymsg.js
/data/media/####/myorder.js
/data/media/####/mypregame.js
/data/media/####/mysetting.js
/data/media/####/mywallet.js
/data/media/####/newsdetail.js
/data/media/####/newssearch.js
/data/media/####/orderdetail.js
/data/media/####/pay.js
/data/media/####/payafter.js
/data/media/####/payloading.gif
/data/media/####/paypwd.js
/data/media/####/playerpicker.js
/data/media/####/playerpicker2.js
/data/media/####/plus.png
/data/media/####/point.js
/data/media/####/pregamecreate.js
/data/media/####/pregamedetail.js
/data/media/####/real_logo.png
/data/media/####/real_logo_small.png
/data/media/####/recharge.png
/data/media/####/red.png
/data/media/####/register.js
/data/media/####/resetpwd.js
/data/media/####/search.png
/data/media/####/select.png
/data/media/####/servicepicker.js
/data/media/####/setresult.js
/data/media/####/singleorder.js
/data/media/####/soccerfield.png
/data/media/####/stadiumdetail.js
/data/media/####/stadiumfilter.js
/data/media/####/stadiumlocation.js
/data/media/####/sub.png
/data/media/####/subplayer.js
/data/media/####/tdata_SzD730
/data/media/####/tdata_ZCi456
/data/media/####/tdata_zdX887
/data/media/####/test.js
/data/media/####/test.log
/data/media/####/three_point.png
/data/media/####/tm.png
/data/media/####/tm_active.png
/data/media/####/tmapply.js
/data/media/####/tmapplysend.js
/data/media/####/tmbond.js
/data/media/####/tmbondbill.js
/data/media/####/tmbondrecharge.js
/data/media/####/tmcreate.js
/data/media/####/tmcutdown.js
/data/media/####/tmevaluation.js
/data/media/####/tmhome.js
/data/media/####/tmhonor.js
/data/media/####/tminfo.js
/data/media/####/tminfoedit.js
/data/media/####/tmmates.js
/data/media/####/tmschedule.js
/data/media/####/tmsearch.js
/data/media/####/tmsetting.js
/data/media/####/tmstatistic.js
/data/media/####/tmtransfer.js
/data/media/####/tmtransferhost.js
/data/media/####/uc.png
/data/media/####/uc_active.png
/data/media/####/uchome.js
/data/media/####/uchonor.js
/data/media/####/ucinfo.js
/data/media/####/ucinfoedit.js
/data/media/####/ucmoreedit.js
/data/media/####/ucreal.js
/data/media/####/ucrealedit.js
/data/media/####/ucsetting.js
/data/media/####/unchecked.png
/data/media/####/unchecked_static.png
/data/media/####/verifyinvitation.js
/data/media/####/walletbill.js
/data/media/####/webview.js
/data/media/####/wepay.png
/data/media/####/withdrawal.js
/data/media/####/withdrawaldetail.js
/data/media/####/wxc_cell_arrown.png
/data/media/####/wxc_checked.png
/data/media/####/wxc_mask_close.png
/data/media/####/wxc_noticebar_close.png
/data/media/####/wxc_noticebar_coupon.png
/data/media/####/wxc_noticebar_error.png
/data/media/####/wxc_noticebar_notice.png
/data/media/####/wxc_noticebar_ok.png
/data/media/####/wxc_noticebar_question.png
/data/media/####/wxc_noticebar_right.png
/data/media/####/wxc_noticebar_time.png
/data/media/####/wxc_noticebar_warning.png
/data/media/####/wxc_radio_check.png
/data/media/####/wxc_radio_uncheck.png
/data/media/####/wxc_unchecked.png
/data/media/####/yellow.png

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24964 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount

Загружает динамические библиотеки:

Patcher
getuiext2
libjiagu-417525568
weexjsc

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней