Adware.Gexin.18343

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) 36.99.1####.243:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

api.map.b####.com
c-h####.g####.com
cm-1####.ig####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

36.99.1####.243/config/hz-hzv6.conf
qin####.com.www.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/.jg.store.report_cf
/data/data/####/2.png
/data/data/####/3.png
/data/data/####/379bbdf2682a
/data/data/####/H5AC4580F.xml
/data/data/####/MiniDialog-es5.min.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aa.html
/data/data/####/addaduit.html
/data/data/####/addb.png
/data/data/####/addbaby.png
/data/data/####/addbaby2.png
/data/data/####/addbb.png
/data/data/####/addchengren.png
/data/data/####/addchengren2.png
/data/data/####/addd.png
/data/data/####/aduitcho.html
/data/data/####/aduitinoculation.html
/data/data/####/aefiup.css
/data/data/####/aefiup.html
/data/data/####/app.css
/data/data/####/app.js
/data/data/####/appup.png
/data/data/####/authStatus_io.dcloud.H5AC4580F.xml
/data/data/####/bbyy.png
/data/data/####/bc.js
/data/data/####/bdbaby.png
/data/data/####/bding.html
/data/data/####/binding2.html
/data/data/####/binding3.html
/data/data/####/bindinga.html
/data/data/####/bindingb.html
/data/data/####/bindingc.html
/data/data/####/bindinglist.html
/data/data/####/bindingok.html
/data/data/####/boy.jpg
/data/data/####/bx.png
/data/data/####/bxhead.jpg
/data/data/####/chax.js
/data/data/####/chayan.css
/data/data/####/chayanjzz.html
/data/data/####/chilcschool.html
/data/data/####/childmessage.html
/data/data/####/chodata.html
/data/data/####/chodown.png
/data/data/####/choiceym.html
/data/data/####/choseyi.png
/data/data/####/churuku.png
/data/data/####/cjwt.png
/data/data/####/cjwtlist.html
/data/data/####/clientid_igexin.xml
/data/data/####/cliniclist.html
/data/data/####/comm.js
/data/data/####/common.js
/data/data/####/crjz.png
/data/data/####/cy1.png
/data/data/####/cy2.png
/data/data/####/cy3.png
/data/data/####/cy4.png
/data/data/####/cy5.png
/data/data/####/cy6.png
/data/data/####/cyzc.html
/data/data/####/czsc.html
/data/data/####/data.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/dd2.jpg
/data/data/####/demo.js
/data/data/####/department.html
/data/data/####/dhzx.png
/data/data/####/doctor.jpg
/data/data/####/downuu.png
/data/data/####/eje3cnc
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/finger.png
/data/data/####/forget_password.html
/data/data/####/form.png
/data/data/####/form2.png
/data/data/####/gVerify.js
/data/data/####/gd.png
/data/data/####/gdaemon_20161017
/data/data/####/gdgn.png
/data/data/####/gdgn2.png
/data/data/####/getui_sp.xml
/data/data/####/ggtongzhi.html
/data/data/####/ggtz.png
/data/data/####/girl.jpg
/data/data/####/girlbaby.png
/data/data/####/grmessage.html
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/heads.css
/data/data/####/html2canvas.js
/data/data/####/html5Geo.xml
/data/data/####/huida23.png
/data/data/####/iconfont-tianjia.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jiantou.jpg
/data/data/####/jiezhongmessage.html
/data/data/####/jquery.js
/data/data/####/jquery.min.js
/data/data/####/jquery.uiAlertView-1.0.0.js
/data/data/####/jzmslist.html
/data/data/####/jztpmess.html
/data/data/####/jzxinxi.html
/data/data/####/jzxx.png
/data/data/####/jzyy.png
/data/data/####/libcuid.so
/data/data/####/libjiagu-1903357833.so
/data/data/####/list2.css
/data/data/####/list3.css
/data/data/####/list4.css
/data/data/####/list4.html
/data/data/####/login.html
/data/data/####/lookjz.html
/data/data/####/main.html
/data/data/####/makejiehzong.html
/data/data/####/man.png
/data/data/####/manifest.json
/data/data/####/message.css
/data/data/####/message.html
/data/data/####/message.png
/data/data/####/messxiangqing.html
/data/data/####/mmkt.png
/data/data/####/mrhead.png
/data/data/####/mrhead2.png
/data/data/####/mui.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.js
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.css
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/mybaby.css
/data/data/####/mybabypage.html
/data/data/####/mybabypage2.html
/data/data/####/mzcx.html
/data/data/####/navigation.css
/data/data/####/navigation.html
/data/data/####/ok.png
/data/data/####/password.html
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/query.png
/data/data/####/quhao.html
/data/data/####/qxcx.html
/data/data/####/qxmzcx.html
/data/data/####/reg2.html
/data/data/####/reg3.html
/data/data/####/rem.js
/data/data/####/rengzhengok.html
/data/data/####/renzheng.html
/data/data/####/rezxx.html
/data/data/####/run.pid
/data/data/####/ruxue.html
/data/data/####/ruxuechayan.html
/data/data/####/rxcy.png
/data/data/####/rxlc.html
/data/data/####/saoma.html
/data/data/####/saoma.png
/data/data/####/school.css
/data/data/####/school.html
/data/data/####/search.png
/data/data/####/selectbingding.html
/data/data/####/selectschool.html
/data/data/####/seorgen.html
/data/data/####/sertongid.html
/data/data/####/setpassword.html
/data/data/####/setting2.css
/data/data/####/setting2.html
/data/data/####/sharetab.png
/data/data/####/shili.html
/data/data/####/sinaweibo.png
/data/data/####/smallgean.png
/data/data/####/smalljiezhong.png
/data/data/####/soft.css
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/suyuan2.html
/data/data/####/syjzjl.html
/data/data/####/test_app
/data/data/####/tishima.jpg
/data/data/####/tiwendoctor.html
/data/data/####/tongzxiangqing.html
/data/data/####/tools.js
/data/data/####/town.html
/data/data/####/treetrace.js
/data/data/####/tsma.jpg
/data/data/####/tssz.html
/data/data/####/tttss.png
/data/data/####/uiAlertView-1.0.0.css
/data/data/####/updata2.js
/data/data/####/update.js
/data/data/####/user-photo.png
/data/data/####/vaccineHelp2.png
/data/data/####/vaccineHelpbj(1).png
/data/data/####/vaccineHelpbj.png
/data/data/####/vaccinelt.html
/data/data/####/wc.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.jpg
/data/data/####/weixin.png
/data/data/####/wendoctor.html
/data/data/####/wys.png
/data/data/####/xiaohai.jpg
/data/data/####/xwdt.png
/data/data/####/xx.png
/data/data/####/xxxg.png
/data/data/####/xz.png
/data/data/####/yinlian.jpg
/data/data/####/yinsi.html
/data/data/####/ymsy.png
/data/data/####/yongyao.png
/data/data/####/yuqi.png
/data/data/####/yuyue.png
/data/data/####/yuyuejl.html
/data/data/####/yyldd.png
/data/data/####/zhifub.png
/data/data/####/zhifubao.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/io.dcloud.H5AC4580F.bin
/data/media/####/io.dcloud.H5AC4580F.db
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24479 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24479 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-1903357833

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней