Adware.Gexin.18755

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c####.jq####.com:80
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) se####.tangyin####.com:80
TCP(HTTP/1.1) app.tangyin####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) api.map.b####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226
TCP cm-1####.ig####.com:5227

Запросы DNS:

api.map.b####.com
app.tangyin####.com
c####.jq####.com
c-h####.g####.com
cm-1####.ig####.com
cm-1####.ig####.com
cm-1####.ig####.com
f####.tangyin####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
se####.tangyin####.com
ser####.dc####.net.cn
st####.dc####.net.cn

Запросы HTTP GET:

app.tangyin####.com/img/Closedbeta.jpg
c####.jq####.com/jquery-latest.js
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm
se####.tangyin####.com/HeadImg/03d4264c96da45358b66a4a94670154e.jpg
se####.tangyin####.com/HeadImg/2ff63472ef744dea91a07170fedc46c6.jpg
se####.tangyin####.com/HeadImg/365515280d3b41ad869ef058f18880bd.jpg
se####.tangyin####.com/HeadImg/99e623cd1ed34083bc61cd3529031f43.png
se####.tangyin####.com/HeadImg/da3bf80c7bd744bea2f282b4551324c1.jpg
se####.tangyin####.com/ImagesImg/9feb29f68a5b4a5583da863d50f14055.jpg
se####.tangyin####.com/ImagesImg/db7ffddd796844bd8a9bfb48888ab69b.jpg
se####.tangyin####.com/ImagesImg/dc0fa58dfef04adbac33e5ffb0c282ec.jpg
se####.tangyin####.com/NameImg/8f129a23bab94505b80e0e42d5aabbd5.amr
se####.tangyin####.com/headimg/9058477830a84e7f89430e9765076112.jpg
se####.tangyin####.com/picshow.ashx?w=####&h=####&src=####
se####.tangyin####.com/software/app_v1.3.61.wgt

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
se####.tangyin####.com/manage.ashx/Banner_List
se####.tangyin####.com/manage.ashx/DS_ListTmp
se####.tangyin####.com/manage.ashx/DS_UserGameInfo
se####.tangyin####.com/manage.ashx/EvaluateListForPW
se####.tangyin####.com/manage.ashx/Game_List
se####.tangyin####.com/manage.ashx/PW_UserGameInfo
se####.tangyin####.com/manage.ashx/PW_UserList
se####.tangyin####.com/manage.ashx/PW_getConfig
se####.tangyin####.com/manage.ashx/UserDetail
se####.tangyin####.com/manage.ashx/Version
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0.9723b24269aebcde05e3.js
/data/data/####/0.9723b24269aebcde05e3.js.map
/data/data/####/1.3cabba9.jpg
/data/data/####/1.3d20cbcb1941b0dede6c.js
/data/data/####/1.3d20cbcb1941b0dede6c.js.map
/data/data/####/1.9e76a5c.jpg
/data/data/####/1.jpg
/data/data/####/10.56b33e00a8065328a757.js
/data/data/####/10.56b33e00a8065328a757.js.map
/data/data/####/11.ab1f3d4636543f0a2cfc.js
/data/data/####/11.ab1f3d4636543f0a2cfc.js.map
/data/data/####/111.jpg
/data/data/####/12.79c5b5b82e746a5de312.js
/data/data/####/12.79c5b5b82e746a5de312.js.map
/data/data/####/13.87b476055ef93647beeb.js
/data/data/####/13.87b476055ef93647beeb.js.map
/data/data/####/14.b25bd04eeefb6a4574a9.js
/data/data/####/14.b25bd04eeefb6a4574a9.js.map
/data/data/####/15.b8469f58d98397a3e42d.js
/data/data/####/15.b8469f58d98397a3e42d.js.map
/data/data/####/16.6516cfa57e01b81cf849.js
/data/data/####/16.6516cfa57e01b81cf849.js.map
/data/data/####/17.be2df448890300ac8b9e.js
/data/data/####/17.be2df448890300ac8b9e.js.map
/data/data/####/178c44997008
/data/data/####/18.4a43706fecfb704adcdb.js
/data/data/####/18.4a43706fecfb704adcdb.js.map
/data/data/####/19.e7ca6dba3577e2f79902.js
/data/data/####/19.e7ca6dba3577e2f79902.js.map
/data/data/####/2.a77c2b5.png
/data/data/####/2.ad20fbd.png
/data/data/####/2.e4d509c85476cd1f975b.js
/data/data/####/2.e4d509c85476cd1f975b.js.map
/data/data/####/2.jpg
/data/data/####/20.3d2e8e9c6ef7a33f72dc.js
/data/data/####/20.3d2e8e9c6ef7a33f72dc.js.map
/data/data/####/21.443670aecbcfb6a54d9b.js
/data/data/####/21.443670aecbcfb6a54d9b.js.map
/data/data/####/22.7c897f99b19cd0d9e025.js
/data/data/####/22.7c897f99b19cd0d9e025.js.map
/data/data/####/23.6528f6b8f005019e5456.js
/data/data/####/23.6528f6b8f005019e5456.js.map
/data/data/####/24.3f44808d682252e24140.js
/data/data/####/24.3f44808d682252e24140.js.map
/data/data/####/25.7e0d1571bfbb6b1d9f4a.js
/data/data/####/25.7e0d1571bfbb6b1d9f4a.js.map
/data/data/####/26.1a7d8e392e694b1f349c.js
/data/data/####/26.1a7d8e392e694b1f349c.js.map
/data/data/####/27.cbcece8b3dd2dc37dd25.js
/data/data/####/27.cbcece8b3dd2dc37dd25.js.map
/data/data/####/28.2a6c2c27bf25d014d1f1.js
/data/data/####/28.2a6c2c27bf25d014d1f1.js.map
/data/data/####/29.046d308d58500cbb6665.js
/data/data/####/29.046d308d58500cbb6665.js.map
/data/data/####/3.427842727991fc0b12b7.js
/data/data/####/3.427842727991fc0b12b7.js.map
/data/data/####/3.6a24d38.png
/data/data/####/3.jpg
/data/data/####/30.36902e7d0e4c42de5b5e.js
/data/data/####/30.36902e7d0e4c42de5b5e.js.map
/data/data/####/31.686a22209d364da64246.js
/data/data/####/31.686a22209d364da64246.js.map
/data/data/####/32.2545771bbb367657ef33.js
/data/data/####/32.2545771bbb367657ef33.js.map
/data/data/####/33.0e864efbc705a36bb303.js
/data/data/####/33.0e864efbc705a36bb303.js.map
/data/data/####/34.490e6c25510cfd0d985c.js
/data/data/####/34.490e6c25510cfd0d985c.js.map
/data/data/####/35.4de4bb1f1f39009f4354.js
/data/data/####/35.4de4bb1f1f39009f4354.js.map
/data/data/####/36.156946014daf6ab9a1c2.js
/data/data/####/36.156946014daf6ab9a1c2.js.map
/data/data/####/37.63825bc89c928ba2c129.js
/data/data/####/37.63825bc89c928ba2c129.js.map
/data/data/####/38.adaec225bed2d302a1f3.js
/data/data/####/38.adaec225bed2d302a1f3.js.map
/data/data/####/39.7cd39efc028ac1b26b75.js
/data/data/####/39.7cd39efc028ac1b26b75.js.map
/data/data/####/4.5bb8261.png
/data/data/####/4.84da7eff7b1ffc2925ca.js
/data/data/####/4.84da7eff7b1ffc2925ca.js.map
/data/data/####/4.jpg
/data/data/####/40.469bf8bfca9d8ab9a449.js
/data/data/####/40.469bf8bfca9d8ab9a449.js.map
/data/data/####/41.63026bd26de3346632a3.js
/data/data/####/41.63026bd26de3346632a3.js.map
/data/data/####/42.f9b260f1d5bcab64046e.js
/data/data/####/42.f9b260f1d5bcab64046e.js.map
/data/data/####/43.97eee3e2027129e764ea.js
/data/data/####/43.97eee3e2027129e764ea.js.map
/data/data/####/44.0f46cb3e8e7b61fa769d.js
/data/data/####/44.0f46cb3e8e7b61fa769d.js.map
/data/data/####/45.906f6eb67b7d15424ad8.js
/data/data/####/45.906f6eb67b7d15424ad8.js.map
/data/data/####/46.32e2a4b6a624629d0ab0.js
/data/data/####/46.32e2a4b6a624629d0ab0.js.map
/data/data/####/47.f9dc9aeabdbdeebc6dac.js
/data/data/####/47.f9dc9aeabdbdeebc6dac.js.map
/data/data/####/48.7c5d633bae3bb778a26d.js
/data/data/####/48.7c5d633bae3bb778a26d.js.map
/data/data/####/49.ce37bd3117286daf0a1a.js
/data/data/####/49.ce37bd3117286daf0a1a.js.map
/data/data/####/5.4401076.png
/data/data/####/5.b1c411ef0d5e23e41227.js
/data/data/####/5.b1c411ef0d5e23e41227.js.map
/data/data/####/5.jpg
/data/data/####/50.3906ffaed53231fb08aa.js
/data/data/####/50.3906ffaed53231fb08aa.js.map
/data/data/####/51.ef35e3290ea972766226.js
/data/data/####/51.ef35e3290ea972766226.js.map
/data/data/####/52.b659f295e6c932c2d372.js
/data/data/####/52.b659f295e6c932c2d372.js.map
/data/data/####/53.216c6c4be7fa26d0e62e.js
/data/data/####/53.216c6c4be7fa26d0e62e.js.map
/data/data/####/54.280b87ad62bdccaab4e2.js
/data/data/####/54.280b87ad62bdccaab4e2.js.map
/data/data/####/6.e5a00859efb83883c978.js
/data/data/####/6.e5a00859efb83883c978.js.map
/data/data/####/6.fb25e2c.png
/data/data/####/6.ffbc9ff.png
/data/data/####/6.jpg
/data/data/####/7.3da70d0bc27a8e19bb97.js
/data/data/####/7.3da70d0bc27a8e19bb97.js.map
/data/data/####/7.a66c4fc.png
/data/data/####/7.fb9299e.png
/data/data/####/8.0678503.png
/data/data/####/8.ede7808b909ea6ecae34.js
/data/data/####/8.ede7808b909ea6ecae34.js.map
/data/data/####/9.20c1b8f3f1b07b524263.js
/data/data/####/9.20c1b8f3f1b07b524263.js.map
/data/data/####/H53A1BF21.xml
/data/data/####/H53A1BF21_download_dcloud.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/activity.png
/data/data/####/activity@2x.png
/data/data/####/activity@3x.png
/data/data/####/app.540c401e4e6f056cf141ecc557e84a9a.css
/data/data/####/app.540c401e4e6f056cf141ecc557e84a9a.css.map
/data/data/####/app.b4fd7dcf7d555188e162.js
/data/data/####/app.b4fd7dcf7d555188e162.js.map
/data/data/####/audio.png
/data/data/####/audio@2x.png
/data/data/####/audio@3x.png
/data/data/####/auth.jpg
/data/data/####/authStatus_com.tangying666.xml
/data/data/####/back.png
/data/data/####/back@2x.png
/data/data/####/back@3x.png
/data/data/####/bg.84bbb50.jpg
/data/data/####/bg1.c23935d.jpg
/data/data/####/call.gif
/data/data/####/cjzc.png
/data/data/####/cjzc@2x.png
/data/data/####/cjzc@3x.9be916a.png
/data/data/####/cjzc@3x.png
/data/data/####/cjzc_small.png
/data/data/####/cjzc_small@2x.png
/data/data/####/cjzc_small@3x.png
/data/data/####/clientid_igexin.xml
/data/data/####/complaint.png
/data/data/####/complaint@2x.png
/data/data/####/complaint@3x.png
/data/data/####/consumption.png
/data/data/####/consumption@2x.png
/data/data/####/consumption@3x.png
/data/data/####/data.png
/data/data/####/data@2x.png
/data/data/####/data@3x.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/dota2.png
/data/data/####/dota2@2x.png
/data/data/####/dota2@3x.5595766.png
/data/data/####/dota2@3x.png
/data/data/####/dota2_small.png
/data/data/####/dota2_small@2x.png
/data/data/####/dota2_small@3x.png
/data/data/####/eje3cnc
/data/data/####/end@2x.90647d0.png
/data/data/####/end@3x.b228150.png
/data/data/####/error.png
/data/data/####/evaluate.png
/data/data/####/evaluate@2x.png
/data/data/####/evaluate@3x.png
/data/data/####/extract.png
/data/data/####/extract@2x.png
/data/data/####/extract@3x.png
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/failure@2x.730361a.png
/data/data/####/failure@3x.049dc80.png
/data/data/####/fans.png
/data/data/####/fans@2x.png
/data/data/####/fans@3x.png
/data/data/####/feedback.png
/data/data/####/feedback@2x.png
/data/data/####/feedback@3x.png
/data/data/####/follow.png
/data/data/####/follow@2x.png
/data/data/####/follow@3x.png
/data/data/####/fortnite.png
/data/data/####/fortnite@2x.png
/data/data/####/fortnite@3x.png
/data/data/####/frozen.png
/data/data/####/frozen@2x.png
/data/data/####/frozen@3x.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gg.png
/data/data/####/gx_sp.xml
/data/data/####/html5Geo.xml
/data/data/####/income.png
/data/data/####/income@2x.png
/data/data/####/income@3x.png
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/kol.png
/data/data/####/kol@2x.png
/data/data/####/kol@3x.e106d79.png
/data/data/####/kol@3x.png
/data/data/####/kol_small.png
/data/data/####/kol_small@2x.png
/data/data/####/kol_small@3x.png
/data/data/####/libcuid.so
/data/data/####/libjiagu-750597242.so
/data/data/####/loading.png
/data/data/####/logo.png
/data/data/####/lol.png
/data/data/####/lol@2x.png
/data/data/####/lol@3x.png
/data/data/####/lol_small.png
/data/data/####/lol_small@2x.png
/data/data/####/lol_small@3x.png
/data/data/####/manifest.02bbc576cb62479ec95a.js
/data/data/####/manifest.02bbc576cb62479ec95a.js.map
/data/data/####/manifest.json
/data/data/####/multidex.version.xml
/data/data/####/network.61d92ad.png
/data/data/####/network@2x.b6cd878.png
/data/data/####/network@3x.c137e50.png
/data/data/####/news.png
/data/data/####/news@2x.png
/data/data/####/news@3x.png
/data/data/####/nofollow@2x.7684d62.png
/data/data/####/nofollow@3x.ed0f595.png
/data/data/####/order.png
/data/data/####/order@2x.828fedb.png
/data/data/####/order@2x.png
/data/data/####/order@3x.3023c63.png
/data/data/####/order@3x.png
/data/data/####/pause.png
/data/data/####/pause@2x.png
/data/data/####/pause@3x.png
/data/data/####/pdr.xml
/data/data/####/place@2x.c28d1d8.png
/data/data/####/place@3x.e9cd282.png
/data/data/####/pr_1.jpg
/data/data/####/pr_2.jpg
/data/data/####/pr_3.jpg
/data/data/####/pr_4.jpg
/data/data/####/pr_5.jpg
/data/data/####/pr_6.jpg
/data/data/####/pr_7.jpg
/data/data/####/pr_8.jpg
/data/data/####/pubg.png
/data/data/####/pubg@2x.png
/data/data/####/pubg@3x.37da52f.png
/data/data/####/pubg@3x.png
/data/data/####/pubg_small.png
/data/data/####/pubg_small@2x.png
/data/data/####/pubg_small@3x.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pw.png
/data/data/####/pw@2x.png
/data/data/####/pw@3x.png
/data/data/####/pwimg.a33dc94.png
/data/data/####/pwimg@2x.d51023e.png
/data/data/####/pwimg@3x.4c3bbfd.png
/data/data/####/recharge.png
/data/data/####/recharge@2x.png
/data/data/####/recharge@3x.png
/data/data/####/rob.png
/data/data/####/rob@2x.png
/data/data/####/rob@3x.png
/data/data/####/run.pid
/data/data/####/service.f8937f5.png
/data/data/####/service@2x.08cc30d.png
/data/data/####/service@3x.9a9696b.png
/data/data/####/start_statistics_data.xml
/data/data/####/state1@2x.d60a669.png
/data/data/####/state1@3x.21fbfa3.png
/data/data/####/state2@2x.67519e1.png
/data/data/####/state2@3x.b614cc3.png
/data/data/####/state3@2x.fea0308.png
/data/data/####/state3@3x.ff6eca1.png
/data/data/####/stream_permission.xml
/data/data/####/system.png
/data/data/####/system@2x.png
/data/data/####/system@3x.png
/data/data/####/test_app
/data/data/####/touxiang.png
/data/data/####/up.png
/data/data/####/up@2x.png
/data/data/####/up@3x.png
/data/data/####/vendor.7b41e75e4b9629350e27.js
/data/data/####/vendor.7b41e75e4b9629350e27.js.map
/data/data/####/voice1@2x.b51c915.png
/data/data/####/voice1@3x.2518c9e.png
/data/data/####/voice3@2x.816c7eb.png
/data/data/####/voice3@3x.ac339df.png
/data/data/####/voice5@2x.f09d308.png
/data/data/####/voice5@3x.4176c94.png
/data/data/####/voice6@3x.3b26e57.png
/data/data/####/wallet_icon@3x.095d844.png
/data/data/####/we@2x.75cac37.png
/data/data/####/we@3x.510b7fa.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/withdraw_icon@2x.d86a06d.png
/data/data/####/withdraw_icon@3x.a376d43.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/app_v1.3.61.wgt
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.tangying666.bin
/data/media/####/com.tangying666.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24392 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-750597242.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24392 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-750597242

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней