Adware.Gexin.17662

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) huashen####.cq####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

api.map.b####.com
c-h####.g####.com
cm-1####.ig####.com
huashen####.cq####.com
loc.map.b####.com
o####.map.b####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

huashen####.cq####.com/pubWeb/getSystemParam?type=####
huashen####.cq####.com/sys/get?key=####
q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/2.mp4
/data/data/####/22.jpg
/data/data/####/4c20ed71837b5528845bcdfd5ad4657.jpg
/data/data/####/5f8628cd821245e7343142178ea62b5.jpg
/data/data/####/60x60.gif
/data/data/####/Add-pictures.svg
/data/data/####/Alipay-pay.svg
/data/data/####/Back.jpg
/data/data/####/Convert_Pinyin.js
/data/data/####/DatePack.js
/data/data/####/Fans.jpg
/data/data/####/FontAwesome.otf
/data/data/####/FormData.js
/data/data/####/Moxie.swf
/data/data/####/Moxie.xap
/data/data/####/NewInformation.svg
/data/data/####/Positive.jpg
/data/data/####/SignIn.html
/data/data/####/Skill.jpg
/data/data/####/TheRoomCard.png
/data/data/####/Uploader.swf
/data/data/####/VIP.png
/data/data/####/Wechat-pay.svg
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a2d2f86dbce529d1cba50a9167063c9.jpg
/data/data/####/a7cf1a2e6c5d42526ceeb615d5053b3.jpg
/data/data/####/about.html
/data/data/####/about_article.html
/data/data/####/account.css
/data/data/####/account.html
/data/data/####/activity.html
/data/data/####/addSkill.html
/data/data/####/addSkillInfo.html
/data/data/####/addSkill_bak.html
/data/data/####/adding-video.svg
/data/data/####/alipay.svg
/data/data/####/aliyun-oss-sdk-5.3.1.min.js
/data/data/####/aliyun-upload-sdk-1.5.0.min.js
/data/data/####/app.15.css
/data/data/####/app.css
/data/data/####/arrow.svg
/data/data/####/arttmpl.js
/data/data/####/authStatus_com.duoqio.zhb20170329.xml
/data/data/####/authStatus_com.duoqio.zhb20170329;remote.xml
/data/data/####/authentication.html
/data/data/####/automatic-recovery.html
/data/data/####/automaticRecovery.html
/data/data/####/background_video.css
/data/data/####/background_video.html
/data/data/####/balance.svg
/data/data/####/banner_detail.html
/data/data/####/bianji.svg
/data/data/####/binding.html
/data/data/####/block-layout.svg
/data/data/####/browsing-volume.svg
/data/data/####/cake.png
/data/data/####/cashWithdrawal.html
/data/data/####/cbd.jpg
/data/data/####/changePassword.html
/data/data/####/check-check.svg
/data/data/####/checkupdateApp.js
/data/data/####/chroma-ui.eot
/data/data/####/chroma-ui.svg
/data/data/####/chroma-ui.ttf
/data/data/####/chroma-ui.woff
/data/data/####/chromagallery.css
/data/data/####/chromagallery.js
/data/data/####/chromagallery.min.css
/data/data/####/chromagallery.min.js
/data/data/####/chromagallery.pkgd.min.js
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/classie.js
/data/data/####/clientid_igexin.xml
/data/data/####/close-comments.svg
/data/data/####/com.duoqio.zhb.xml
/data/data/####/comment.html
/data/data/####/comment.svg
/data/data/####/comment_album.html
/data/data/####/communication.html
/data/data/####/component.css
/data/data/####/cover-chart.svg
/data/data/####/crosshairs-icon.svg
/data/data/####/crosshairs.svg
/data/data/####/crosslines.html
/data/data/####/data-format.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/def.css
/data/data/####/details-of-diamond-drill.html
/data/data/####/details.html
/data/data/####/details1.html
/data/data/####/diamond-drill.svg
/data/data/####/diamond.svg
/data/data/####/doc.js
/data/data/####/drop-down.svg
/data/data/####/dynamics.min.js
/data/data/####/edit.svg
/data/data/####/editing-skills.html
/data/data/####/eje3cnc
/data/data/####/emoji.js
/data/data/####/engagement.svg
/data/data/####/error.jpg
/data/data/####/example-uploader.js
/data/data/####/exchange.jpg
/data/data/####/fans.html
/data/data/####/favicon.ico
/data/data/####/fbgl.html
/data/data/####/fbgl.jpg
/data/data/####/fengxiang.svg
/data/data/####/fensi.svg
/data/data/####/fiancee.js
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/flower.png
/data/data/####/follow.js
/data/data/####/font-awesome.css
/data/data/####/font-awesome.min.css
/data/data/####/font-color.css
/data/data/####/fontawesome-webfont.eot
/data/data/####/fontawesome-webfont.svg
/data/data/####/fontawesome-webfont.ttf
/data/data/####/fontawesome-webfont.woff
/data/data/####/fontawesome-webfont.woff2
/data/data/####/forget_password.html
/data/data/####/form-control.js
/data/data/####/forum.html
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/globe.svg
/data/data/####/gold.png
/data/data/####/gps-transcoding.js
/data/data/####/guanzhu.svg
/data/data/####/gx_sp.xml
/data/data/####/hammer.js
/data/data/####/homepage.html
/data/data/####/hongbao.svg
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html2canvas.min.js
/data/data/####/html5Geo.xml
/data/data/####/html5shiv.min.js
/data/data/####/huasheng.png
/data/data/####/huizong.svg
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/icons-extra.css
/data/data/####/identityAuthentication.html
/data/data/####/im-chat.css
/data/data/####/im-chat.html
/data/data/####/image-parameter.js
/data/data/####/image1.jpeg
/data/data/####/image2.jpeg
/data/data/####/image3.jpeg
/data/data/####/image4.jpeg
/data/data/####/image5.jpeg
/data/data/####/image6.jpeg
/data/data/####/image7.jpeg
/data/data/####/image8.jpeg
/data/data/####/images_02.png
/data/data/####/images_04.png
/data/data/####/images_09.png
/data/data/####/images_11.png
/data/data/####/images_12.jpg
/data/data/####/imagesloaded.min.js
/data/data/####/income.html
/data/data/####/index
/data/data/####/index-test1.css
/data/data/####/index.html
/data/data/####/index1.css
/data/data/####/index1.html
/data/data/####/index2.css
/data/data/####/index2.html
/data/data/####/index3.css
/data/data/####/index3.html
/data/data/####/index4.css
/data/data/####/index4.html
/data/data/####/index4_html5video.js
/data/data/####/index4_video.css
/data/data/####/index5.html
/data/data/####/index_hongbao.svg
/data/data/####/index_notice.html
/data/data/####/info.txt
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/input-empty.svg
/data/data/####/integral-exchange.html
/data/data/####/iscroll-zoom.js
/data/data/####/item_icon.png
/data/data/####/item_icon_1.png
/data/data/####/item_icon_2.png
/data/data/####/item_icon_3.png
/data/data/####/item_icon_4.png
/data/data/####/item_icon_5.png
/data/data/####/item_icon_6.png
/data/data/####/item_icon_7.png
/data/data/####/item_icon_8.png
/data/data/####/j_template.js
/data/data/####/jcarousellite_1.0.1.pack.js
/data/data/####/jiugongge.svg
/data/data/####/journey.js
/data/data/####/jquery-2.1.0.js
/data/data/####/jquery.photoClip.js
/data/data/####/jquery.photoClip.min.js
/data/data/####/jquery.qrcode.js
/data/data/####/jubao.svg
/data/data/####/junjie-utli.js
/data/data/####/keyboard.svg
/data/data/####/label.svg
/data/data/####/libcuid.so
/data/data/####/libjiagu1300001384.so
/data/data/####/list.js
/data/data/####/liveVideo.html
/data/data/####/loading.js
/data/data/####/localCache.js
/data/data/####/locate.svg
/data/data/####/log.js
/data/data/####/logo.png
/data/data/####/lrz.all.bundle.js
/data/data/####/mahjong.html
/data/data/####/mahjong.png
/data/data/####/main.js
/data/data/####/majiamg.png
/data/data/####/make_banner.png
/data/data/####/make_banner_1.jpg
/data/data/####/make_icon.png
/data/data/####/manifest.json
/data/data/####/map.html
/data/data/####/map.js
/data/data/####/masonry.min.js
/data/data/####/member.css
/data/data/####/member.html
/data/data/####/member.png
/data/data/####/message.html
/data/data/####/message_notice.html
/data/data/####/mock-min.js
/data/data/####/mock.js
/data/data/####/modernizr-chrg.min.js
/data/data/####/modernizr-custom.js
/data/data/####/more.svg
/data/data/####/msg_chat.html
/data/data/####/msg_map.html
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.css
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.min3.4.1.css
/data/data/####/mui.picker.all.css
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.preview.css
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.url.js
/data/data/####/mui.zoom.js
/data/data/####/muiPosition.js
/data/data/####/multidex.version.xml
/data/data/####/my-album.html
/data/data/####/my-fans.html
/data/data/####/my-info.html
/data/data/####/my-reward.html
/data/data/####/my-skill-list.html
/data/data/####/my_modal.css
/data/data/####/need.html
/data/data/####/need_user.html
/data/data/####/newAlbum.html
/data/data/####/no-emoji-input.js
/data/data/####/normalize.css
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/orderReceiving.html
/data/data/####/orderSuccess.html
/data/data/####/orders.html
/data/data/####/paoche.png
/data/data/####/pay.js
/data/data/####/pay.png
/data/data/####/pdr.xml
/data/data/####/peanut.css
/data/data/####/peanut.png
/data/data/####/pengyouquan.png
/data/data/####/personal-center.css
/data/data/####/phoneNumber.html
/data/data/####/photo-album.html
/data/data/####/photo.html
/data/data/####/photoShow.html
/data/data/####/pinglun.svg
/data/data/####/play.html
/data/data/####/play.js
/data/data/####/play.png
/data/data/####/play.svg
/data/data/####/plupload.full.min.js
/data/data/####/plus-downloader.js
/data/data/####/po.png
/data/data/####/post-DB.js
/data/data/####/post-list.html
/data/data/####/preloading.js
/data/data/####/present.png
/data/data/####/protect.js
/data/data/####/protocol.html
/data/data/####/public.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/quartz-clock.png
/data/data/####/quartz-clock.svg
/data/data/####/query-post.svg
/data/data/####/query.svg
/data/data/####/queryAddre.html
/data/data/####/quill.bubble.css
/data/data/####/quill.core.css
/data/data/####/quill.core.js
/data/data/####/quill.js
/data/data/####/quill.min.js
/data/data/####/quill.snow.css
/data/data/####/recharge-diamond-tip.html
/data/data/####/recharge.html
/data/data/####/rechargeHB.html
/data/data/####/rechargeSuccess.html
/data/data/####/recharge_local.html
/data/data/####/recommendations.html
/data/data/####/reconnecting-websocket.min.js
/data/data/####/reg.html
/data/data/####/renzheng.html
/data/data/####/renzheng.svg
/data/data/####/report.html
/data/data/####/reset.css
/data/data/####/retract.svg
/data/data/####/return-ranking.css
/data/data/####/return-ranking.html
/data/data/####/right-top.png
/data/data/####/run.pid
/data/data/####/saveImage.js
/data/data/####/search.html
/data/data/####/search.svg
/data/data/####/select-date.html
/data/data/####/select-video.svg
/data/data/####/selectProjectType.html
/data/data/####/selected.png
/data/data/####/selection-location.html
/data/data/####/selection.png
/data/data/####/september_bd_it.ttf
/data/data/####/set.html
/data/data/####/setPaymentPassword.html
/data/data/####/share-app.png
/data/data/####/share-app1.jpg
/data/data/####/share-game.png
/data/data/####/share-game1.jpg
/data/data/####/share.css
/data/data/####/share.html
/data/data/####/share.js
/data/data/####/share.svg
/data/data/####/share_Ranking.png
/data/data/####/share_bg.jpg
/data/data/####/share_index.png
/data/data/####/showHsWindows.js
/data/data/####/showLoading.css
/data/data/####/showLoading.js
/data/data/####/sigin_logo.png
/data/data/####/signin.jpg
/data/data/####/skills.css
/data/data/####/small-text.css
/data/data/####/small-text.js
/data/data/####/start-up.html
/data/data/####/startAdvertising.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/sysMsgDetails.html
/data/data/####/system_icon.png
/data/data/####/taIndex.html
/data/data/####/test.html
/data/data/####/test_app
/data/data/####/thispoin.png
/data/data/####/thispoinip.png
/data/data/####/tip.css
/data/data/####/tip.html
/data/data/####/tips.js
/data/data/####/tow-code.png
/data/data/####/unchecked.png
/data/data/####/upload-article-videos.html
/data/data/####/upload-articles.html
/data/data/####/upload-pictures.js
/data/data/####/upload.js
/data/data/####/uploadPictures.js
/data/data/####/uploadVideo.html
/data/data/####/uploadYueBa.html
/data/data/####/user-top.svg
/data/data/####/utf.js
/data/data/####/video-js.min.css
/data/data/####/video-list.html
/data/data/####/video-protocol.html
/data/data/####/video.css
/data/data/####/video.min.js
/data/data/####/video_icon.png
/data/data/####/video_play.html
/data/data/####/vip.svg
/data/data/####/voice-playback.svg
/data/data/####/voice.svg
/data/data/####/vue.min.js
/data/data/####/wait-for.svg
/data/data/####/wallet-hui.png
/data/data/####/wallet.svg
/data/data/####/watch.png
/data/data/####/water-droplets.png
/data/data/####/we-chat.png
/data/data/####/webuploader.css
/data/data/####/webuploader.custom.min.js
/data/data/####/webuploader.fis.js
/data/data/####/webuploader.flashonly.min.js
/data/data/####/webuploader.html5only.min.js
/data/data/####/webuploader.min.js
/data/data/####/webuploader.noimage.min.js
/data/data/####/webuploader.nolog.min.js
/data/data/####/webuploader.withoutimage.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromium.db-journal (deleted)
/data/data/####/webviewCookiesChromiumPrivate.db-journal (deleted)
/data/data/####/webviewGroup.js
/data/data/####/xieru.svg
/data/data/####/your-back.html
/data/data/####/yu_e.svg
/data/data/####/yueba.html
/data/data/####/yueba.png
/data/data/####/yuebashiping.html
/data/data/####/yuebaxiangqing.html
/data/data/####/zh-CN.js
/data/data/####/zh-CN.json
/data/data/####/zhanghu.svg
/data/data/####/zqgl.html
/data/data/####/zqgl.jpg
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.duoqio.zhb20170329.bin
/data/media/####/com.duoqio.zhb20170329.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/temp.arm
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24800 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24800 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu1300001384
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней