Adware.Gexin.18654

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226
TCP cm-1####.ig####.com:5225

Запросы DNS:

c-h####.g####.com
cm-1####.ig####.com
cm-1####.ig####.com
cm-1####.ig####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0451ca8cdc36
/data/data/####/2017.html
/data/data/####/201801.html
/data/data/####/201802.html
/data/data/####/201803.html
/data/data/####/201804.html
/data/data/####/201805.html
/data/data/####/201806.html
/data/data/####/201807.html
/data/data/####/201808.html
/data/data/####/201809.html
/data/data/####/201810.html
/data/data/####/201811.html
/data/data/####/201812.html
/data/data/####/H5B5619FD.xml
/data/data/####/H5B5619FD_storages.xml
/data/data/####/README.md
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a-arrow-left.png
/data/data/####/a-arrow-right.png
/data/data/####/about-us-website-icon.jpg
/data/data/####/aboutUs-report_2017.png
/data/data/####/aboutUs-safe.jpg
/data/data/####/aboutUs-wechat.jpg
/data/data/####/aboutUs.min.css
/data/data/####/account-address.png
/data/data/####/account-arrow-right.png
/data/data/####/account-avaiable.png
/data/data/####/account-calender.png
/data/data/####/account-coupon.png
/data/data/####/account-detail.png
/data/data/####/account-disclosure.png
/data/data/####/account-invest.png
/data/data/####/account-message.html
/data/data/####/account-more.html
/data/data/####/account-more.js
/data/data/####/account-msg.png
/data/data/####/account-property.png
/data/data/####/account-risk.png
/data/data/####/account-setting.html
/data/data/####/account-setting.js
/data/data/####/account-setting.png
/data/data/####/account-visiable.png
/data/data/####/account.html
/data/data/####/account.js
/data/data/####/aiqiyi.png
/data/data/####/annualReport.min.css
/data/data/####/annual_active1.jpg
/data/data/####/annual_active2.jpg
/data/data/####/annual_active3.jpg
/data/data/####/annual_active4.jpg
/data/data/####/annual_active5.jpg
/data/data/####/annual_active6.jpg
/data/data/####/annual_banner.jpg
/data/data/####/annual_banner_2018.jpg
/data/data/####/annual_icon.png
/data/data/####/annual_icon_2018.png
/data/data/####/banner_bg.png
/data/data/####/calendar-proceeds.html
/data/data/####/calendar-proceeds.js
/data/data/####/calendar-proceeds.min.css
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/certification.html
/data/data/####/certification.js
/data/data/####/circle-progress.js
/data/data/####/clientid_igexin.xml
/data/data/####/close-coupon.png
/data/data/####/close-redpackets.png
/data/data/####/contacts-us.html
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/detail-tips.png
/data/data/####/dialogRisk.min.css
/data/data/####/echarts.min.js
/data/data/####/eje3cnc
/data/data/####/filing_process.png
/data/data/####/filing_process_bar.png
/data/data/####/flexible.js
/data/data/####/forget-password.html
/data/data/####/forget-password.js
/data/data/####/gdaemon_20161017
/data/data/####/gesture-password.html
/data/data/####/gesture-password.js
/data/data/####/getui_sp.xml
/data/data/####/guide.html
/data/data/####/guide1.jpg
/data/data/####/guide2.jpg
/data/data/####/guide3.jpg
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/ic_launcher.png
/data/data/####/iconfont.min.css
/data/data/####/imageViewer.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/index.min.css
/data/data/####/info-disclosure.html
/data/data/####/info-disclosure.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/invest-record-current.html
/data/data/####/invest-record-current.js
/data/data/####/invest-record-finished.html
/data/data/####/invest-record-finished.js
/data/data/####/invest-record-history.html
/data/data/####/invest-record-history.js
/data/data/####/invest-record.html
/data/data/####/invest-record.js
/data/data/####/invest-record.min.css
/data/data/####/invest_icon.png
/data/data/####/iscroll.js
/data/data/####/jquery-1.10.2.min.js
/data/data/####/law1.png
/data/data/####/law2.png
/data/data/####/law3.png
/data/data/####/law4.png
/data/data/####/lawsRegulations1.html
/data/data/####/layer.css
/data/data/####/layer.min.js
/data/data/####/libjiagu1444711669.so
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/login_checkbox.png
/data/data/####/login_checkbox_default.png
/data/data/####/login_phone.png
/data/data/####/login_psw.png
/data/data/####/login_vertify.png
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/message-center.html
/data/data/####/message-center.js
/data/data/####/message-readed.png
/data/data/####/message-unread.png
/data/data/####/modify-login-password.html
/data/data/####/modify-login-password.js
/data/data/####/msg_complete.png
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.ttf
/data/data/####/multidex.version.xml
/data/data/####/operation_data_bg.png
/data/data/####/operational_2017.js
/data/data/####/organize-portrait.png
/data/data/####/p1.png
/data/data/####/p2.png
/data/data/####/p4.png
/data/data/####/p5.png
/data/data/####/p6.png
/data/data/####/p7.png
/data/data/####/p9_.png
/data/data/####/part3_.png
/data/data/####/part4_03.png
/data/data/####/password_display.png
/data/data/####/password_hide.png
/data/data/####/pdr.xml
/data/data/####/popup-head.png
/data/data/####/popup-tips.png
/data/data/####/porital.png
/data/data/####/product-detail.html
/data/data/####/product-detail.js
/data/data/####/product-detail.min.css
/data/data/####/product-detail.png
/data/data/####/product-invest.html
/data/data/####/product-invest.js
/data/data/####/product-payment.html
/data/data/####/product-payment.js
/data/data/####/product-record.html
/data/data/####/product-record.js
/data/data/####/product-record.png
/data/data/####/product-safe.png
/data/data/####/product.min.css
/data/data/####/push.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/recharge.html
/data/data/####/recharge.js
/data/data/####/recharge.min.css
/data/data/####/red-packet-selected.png
/data/data/####/redpackets-bg.png
/data/data/####/register-protocol.js
/data/data/####/register.html
/data/data/####/register.js
/data/data/####/report_2018.jpg
/data/data/####/risk-questionnaire.html
/data/data/####/risk-questionnaire.js
/data/data/####/risk-questionnaire.json
/data/data/####/risk-questionnaire.min.css
/data/data/####/risk_test_icon.png
/data/data/####/run.pid
/data/data/####/safeguard-simple-del.html
/data/data/####/safeguard.min.css
/data/data/####/share.js
/data/data/####/sign-in-bg.png
/data/data/####/springFestival.min.css
/data/data/####/start_statistics_data.xml
/data/data/####/store-detail.html
/data/data/####/store-detail.js
/data/data/####/store-popup.js
/data/data/####/store-regular.html
/data/data/####/store.html
/data/data/####/store.js
/data/data/####/store.min.css
/data/data/####/stream_permission.xml
/data/data/####/test_app
/data/data/####/titleNView.min.css
/data/data/####/transaction-records-left.html
/data/data/####/transaction-records-left.js
/data/data/####/transaction-records-right.html
/data/data/####/transaction-records-right.js
/data/data/####/transaction-records.html
/data/data/####/transaction-records.js
/data/data/####/umeng_general_config.xml
/data/data/####/underscore.min.js
/data/data/####/unsign-in.png
/data/data/####/update.js
/data/data/####/user-address.html
/data/data/####/user-address.js
/data/data/####/user-label.png
/data/data/####/util.js
/data/data/####/vertify-image.png
/data/data/####/vue.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/welfare-coupon-records.html
/data/data/####/welfare-coupon-records.js
/data/data/####/welfare-coupon-records.min.css
/data/data/####/welfare-coupon.html
/data/data/####/welfare-coupon.js
/data/data/####/welfcoupon-bg.png
/data/data/####/withdraw.html
/data/data/####/withdraw.js
/data/data/####/withdraw_cash.png
/data/data/####/xunlei-vip.png
/data/data/####/youku.png
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xunlei.fengniaojr.bin
/data/media/####/com.xunlei.fengniaojr.db
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25131 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25131 300 0

Загружает динамические библиотеки:

X86Bridge
getuiext2
libjiagu1444711669

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней