Adware.Gexin.18707

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) fanchua####.feicui####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225
TCP cm-1####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a.appj####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.ig####.com
cm-1####.ig####.com
cm-1####.ig####.com
fanchua####.feicui####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_Tno889
cdn-sdk####.g####.com.####.com/tdata_krF858
cdn-sdk####.g####.com.####.com/tdata_pKX830
q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_ris804

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
fanchua####.feicui####.com/api/CVersion?id=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/H59171FD6.xml
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Tno889
/data/data/####/tdata_Tno889.jar
/data/data/####/tdata_krF858
/data/data/####/tdata_krF858.jar
/data/data/####/tdata_pKX830
/data/data/####/tdata_pKX830.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/02.png
/data/media/####/1080X1882.png
/data/media/####/1080x1920.png
/data/media/####/1222.png
/data/media/####/322.png
/data/media/####/448.png
/data/media/####/463.png
/data/media/####/478.png
/data/media/####/GroupkingPublic.js
/data/media/####/StorekingPublic.js
/data/media/####/address.js
/data/media/####/ajax.js
/data/media/####/animate.min.css
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/areaRanking.html
/data/media/####/badgelevel.html
/data/media/####/bootstrap.min.css
/data/media/####/bootstrap.min.js
/data/media/####/buyRanking.html
/data/media/####/buyRanking1.html
/data/media/####/cash.html
/data/media/####/cashDetail.html
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/copper.png
/data/media/####/cropper.css
/data/media/####/cropper.min.css
/data/media/####/cropper.min.js
/data/media/####/customerDetail.html
/data/media/####/cutHeadimg.html
/data/media/####/cutUpload.html
/data/media/####/dailyDetail.html
/data/media/####/deteled.png
/data/media/####/down.png
/data/media/####/eachDetail.html
/data/media/####/echarts.js
/data/media/####/editor.html
/data/media/####/exif.js
/data/media/####/fastclick.js
/data/media/####/faxingshibg.jpg
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/gold.png
/data/media/####/goright.png
/data/media/####/group.html
/data/media/####/guide.html
/data/media/####/guide12.png
/data/media/####/guide20.png
/data/media/####/guide22.png
/data/media/####/hair.css
/data/media/####/headBg.png
/data/media/####/historyChi.html
/data/media/####/historyDetail.html
/data/media/####/historyItemChi.html
/data/media/####/historyItemList.html
/data/media/####/historyList.html
/data/media/####/iconfont.css
/data/media/####/iconfont.ttf
/data/media/####/indenGoing.html
/data/media/####/indent.html
/data/media/####/indentComplete.html
/data/media/####/indentDetail.html
/data/media/####/indentDone.html
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/indexarea.html
/data/media/####/indexshopkeeper.html
/data/media/####/io.dcloud.H59171FD6.bin
/data/media/####/io.dcloud.H59171FD6.db
/data/media/####/jian.png
/data/media/####/jquery-1.11.2.min.js
/data/media/####/jquery-3.1.1.min.js
/data/media/####/jquery.min.js
/data/media/####/json2.js
/data/media/####/jump.gif
/data/media/####/jump.jpg
/data/media/####/load.html
/data/media/####/load.js
/data/media/####/lock.png
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/login.js
/data/media/####/loginOn.png
/data/media/####/loginOut.png
/data/media/####/logo.png
/data/media/####/logoguid.png
/data/media/####/lrz.js
/data/media/####/manifest.json
/data/media/####/md5.js
/data/media/####/message.html
/data/media/####/messageList.html
/data/media/####/monthDetail.html
/data/media/####/monthstoredetail.html
/data/media/####/morepingjia.html
/data/media/####/mui.css
/data/media/####/mui.dtpicker.css
/data/media/####/mui.dtpicker.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/myGoal.css
/data/media/####/myGoal.html
/data/media/####/myInfo.css
/data/media/####/myInfo.html
/data/media/####/myTask.html
/data/media/####/photo.png
/data/media/####/public.css
/data/media/####/pullrefresh.js
/data/media/####/ran.png
/data/media/####/rangkingPublic.js
/data/media/####/rankingHead.html
/data/media/####/refresh.png
/data/media/####/refush.png
/data/media/####/serviceDetail.html
/data/media/####/shangjin.html
/data/media/####/silve.png
/data/media/####/store.css
/data/media/####/store.html
/data/media/####/store2.html
/data/media/####/store3.html
/data/media/####/storeGoal.html
/data/media/####/storeRanking.html
/data/media/####/swiper-3.3.1.min.css
/data/media/####/swiper-3.3.1.min.js
/data/media/####/swiper-3.4.0.jquery.min.js
/data/media/####/swiper-3.4.0.min.css
/data/media/####/swiper.animate1.0.2.min.js
/data/media/####/tang.png
/data/media/####/tdata_Tno889
/data/media/####/tdata_krF858
/data/media/####/tdata_pKX830
/data/media/####/test.jpg
/data/media/####/test.log
/data/media/####/upload.css
/data/media/####/upload.html
/data/media/####/userPhoto.png
/data/media/####/works1.png
/data/media/####/yejiDetail.html
/data/media/####/yejifenpei.html
/data/media/####/yield.html

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24470 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней