Adware.Gexin.19354

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) silk####.appl####.com:80
TCP(HTTP/1.1) 1####.192.110.203:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

Запросы DNS:

c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.ig####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
silk####.appl####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_CoH340
cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_JmH262
cdn-sdk####.g####.com.####.com/tdata_pKX830
q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm
silk####.appl####.com/api/home/27

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0000000000000001.db-journal
/data/data/####/60x60.gif
/data/data/####/Buy.html
/data/data/####/Buy.js
/data/data/####/Databases.db-journal
/data/data/####/DrawDiscount.html
/data/data/####/Home.html
/data/data/####/Home.js
/data/data/####/Home2.html
/data/data/####/Home3.html
/data/data/####/Me.html
/data/data/####/Me.js
/data/data/####/Me2.html
/data/data/####/Mecoil.html
/data/data/####/Mecoil.js
/data/data/####/MecoilC.html
/data/data/####/MecoilC.js
/data/data/####/README.md
/data/data/####/Subexpress.html
/data/data/####/Subexpress.js
/data/data/####/about.html
/data/data/####/ad_show_time.xml
/data/data/####/after_sale.jpg
/data/data/####/alipay.png
/data/data/####/areAgency.html
/data/data/####/area_bg.png
/data/data/####/balance.png
/data/data/####/bao_zhang.jpg
/data/data/####/base_icon.png
/data/data/####/brokerage.html
/data/data/####/brokerage.js
/data/data/####/brokerageC.html
/data/data/####/brokerageC.js
/data/data/####/buy.css
/data/data/####/buy.jpg
/data/data/####/buy_icon.png
/data/data/####/buy_libtn_nal.png
/data/data/####/buy_libtn_select.png
/data/data/####/ca759bad98d7
/data/data/####/cart_normal.png
/data/data/####/cart_normal_0.png
/data/data/####/cart_select.png
/data/data/####/cart_select_0.png
/data/data/####/cate_normal.png
/data/data/####/cate_normal_0.png
/data/data/####/cate_select.png
/data/data/####/cate_select_0.png
/data/data/####/cbd.jpg
/data/data/####/chaxunExContent.html
/data/data/####/chaxunExpress.html
/data/data/####/city.data-3.js
/data/data/####/city.data.js
/data/data/####/clientid_igexin.xml
/data/data/####/closeBtn.png
/data/data/####/com.silyshop.xml
/data/data/####/commissionLog.html
/data/data/####/commissionLog.js
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/comsionApply.html
/data/data/####/comsionApply.js
/data/data/####/dai_fahuo.png
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/delete.png
/data/data/####/distribution.html
/data/data/####/distribution.js
/data/data/####/distributorApp.html
/data/data/####/distributorApp.js
/data/data/####/distributorInfo.jpg
/data/data/####/editRefundMain.html
/data/data/####/editRefundMain.js
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/find_normal.png
/data/data/####/find_normal_0.png
/data/data/####/find_select.png
/data/data/####/find_select_0.png
/data/data/####/forgetPass.html
/data/data/####/forgetPass.js
/data/data/####/foxui.min.css
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/goods.css
/data/data/####/goods.html
/data/data/####/goods.js
/data/data/####/groupon_oversea_tag.png
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/homeWebView.html
/data/data/####/home_logo.png
/data/data/####/hot.jpg
/data/data/####/hotspot.jpg
/data/data/####/icon_baby_fav.png
/data/data/####/icon_shop.png
/data/data/####/iconfont.css
/data/data/####/iconfont.js
/data/data/####/iconfont.ttf
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/index_normal.png
/data/data/####/index_normal_0.png
/data/data/####/index_select.png
/data/data/####/index_select_0.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/intro.jpg
/data/data/####/j_s.js
/data/data/####/jfmy.jpg
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jg_app_update_settings_random.xml.bak
/data/data/####/jquery-1.9.1.js
/data/data/####/jquery-1.9.1.min.js
/data/data/####/libjiagu.so
/data/data/####/login-1.png
/data/data/####/logo.png
/data/data/####/m_wait.png
/data/data/####/manifest.json
/data/data/####/md5.js
/data/data/####/me.css
/data/data/####/me_message.png
/data/data/####/me_message_no.png
/data/data/####/me_normal.png
/data/data/####/me_normal_0.png
/data/data/####/me_select.png
/data/data/####/me_select_0.png
/data/data/####/me_setting.png
/data/data/####/me_yhj.png
/data/data/####/memberRecharge.html
/data/data/####/memberRecharge.js
/data/data/####/message.html
/data/data/####/message.js
/data/data/####/message2.html
/data/data/####/messageDetail.html
/data/data/####/messageDetail.js
/data/data/####/mine.css
/data/data/####/mineOrderStatus.html
/data/data/####/mineOrderStatus.js
/data/data/####/mineOrderStatusA.html
/data/data/####/mineOrderStatusA.js
/data/data/####/mineOrderStatusB.html
/data/data/####/mineOrderStatusB.js
/data/data/####/mineOrderStatusC.html
/data/data/####/mineOrderStatusC.js
/data/data/####/mineOrderStatusD.html
/data/data/####/mineOrderStatusD.js
/data/data/####/moneyDetail.html
/data/data/####/moneyDetailC.html
/data/data/####/moneyDetailC.js
/data/data/####/mui.css
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/muwu.jpg
/data/data/####/myAddNewAddress.html
/data/data/####/myAddNewAddress.js
/data/data/####/myAddressMgr.html
/data/data/####/myAddressMgr.js
/data/data/####/myAttention.html
/data/data/####/myDiscount.html
/data/data/####/myDiscount.js
/data/data/####/myFootprint.html
/data/data/####/myGrade.html
/data/data/####/myOrderList.html
/data/data/####/my_delete.png
/data/data/####/my_edit.png
/data/data/####/my_select.png
/data/data/####/my_select_nal.png
/data/data/####/mygoodsList.html
/data/data/####/mygoodsList.js
/data/data/####/mygoodsList1.html
/data/data/####/no_discount.png
/data/data/####/notice.png
/data/data/####/ogq.png
/data/data/####/orderDetail.html
/data/data/####/orderDetail.js
/data/data/####/orderPage.html
/data/data/####/orderPage.js
/data/data/####/pdr.xml
/data/data/####/phome.png
/data/data/####/productCategory.html
/data/data/####/product_1.jpg
/data/data/####/product_2.jpg
/data/data/####/product_3.jpg
/data/data/####/product_detail_fav_btn_enable.png
/data/data/####/public.js
/data/data/####/push.pid
/data/data/####/push_db_name.xml
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.png
/data/data/####/recharRecord.html
/data/data/####/recharRecord.js
/data/data/####/refundMain.html
/data/data/####/refundMain.js
/data/data/####/register.html
/data/data/####/retailIndex.html
/data/data/####/run.pid
/data/data/####/search.html
/data/data/####/search.png
/data/data/####/selectPayType.html
/data/data/####/selectPayType.js
/data/data/####/setting.html
/data/data/####/shang_pingxiqing.png
/data/data/####/share.png
/data/data/####/share_to_icon_qq.png
/data/data/####/share_to_icon_wx.png
/data/data/####/share_to_icon_wxq.png
/data/data/####/sharegoodsImg.jpg
/data/data/####/shuijiao.jpg
/data/data/####/signIn.html
/data/data/####/signIn2.html
/data/data/####/sliy_logo.png
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/style_dis.css
/data/data/####/substock.html
/data/data/####/substock.js
/data/data/####/successPay.html
/data/data/####/tdata_CoH340
/data/data/####/tdata_CoH340.jar
/data/data/####/tdata_JmH262
/data/data/####/tdata_JmH262.jar
/data/data/####/tdata_pKX830
/data/data/####/tdata_pKX830.jar
/data/data/####/use.jpg
/data/data/####/user_guid_page1@2x.png
/data/data/####/user_guid_page2@2x.png
/data/data/####/user_guid_page3@2x.png
/data/data/####/websql.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewGroup.js
/data/data/####/wxlogin.png
/data/data/####/wxpay.png
/data/data/####/y_s.css
/data/data/####/yuantiao.jpg
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.silyshop.bin
/data/media/####/com.silyshop.db
/data/media/####/tdata_CoH340
/data/media/####/tdata_JmH262
/data/media/####/tdata_pKX830
/data/media/####/temp.arm
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24256 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24256 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
RSA
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней