Adware.Gexin.19705

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) opencdn####.jom####.com:80
TCP(HTTP/1.1) www.j####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) www.doul####.com:443
TCP(TLS/1.0) app.jub####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

Запросы DNS:

api.map.b####.com
app.jub####.com
c-h####.g####.com
cm-1####.ig####.com
loc.map.b####.com
m####.360bu####.com
o####.map.b####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
vec####.map.b####.com
www.doul####.com

Запросы HTTP GET:

opencdn####.jom####.com/vecdata/?qt=####&c=####&v=####&serv=####&fv=####...
opencdn####.jom####.com/vecdata/?qt=####&fv=####&p=####&mb=####&os=####&...
opencdn####.jom####.com/vecdata/?qt=####&p=####&mb=####&os=####&sv=####&...
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_EDT356
sdk.o####.p####.####.com/api/addr.htm
www.j####.com/product/skin/2012/pshow.css?t=####

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/130-0.png
/data/data/####/130-1.png
/data/data/####/130-10.png
/data/data/####/130-2.png
/data/data/####/130-3.png
/data/data/####/130-4.png
/data/data/####/130-5.png
/data/data/####/130-6.png
/data/data/####/130-7.png
/data/data/####/130-8.png
/data/data/####/130-9.png
/data/data/####/130_0.png
/data/data/####/130_1.png
/data/data/####/130_10.png
/data/data/####/130_2.png
/data/data/####/130_3.png
/data/data/####/130_4.png
/data/data/####/130_5.png
/data/data/####/130_6.png
/data/data/####/130_7.png
/data/data/####/130_8.png
/data/data/####/130_9.png
/data/data/####/130x130 h-1.png
/data/data/####/130x130_1.png
/data/data/####/130x130_10.png
/data/data/####/130x130_2.png
/data/data/####/130x130_3.png
/data/data/####/130x130_4.png
/data/data/####/130x130_5.png
/data/data/####/130x130_6.png
/data/data/####/130x130_7.png
/data/data/####/130x130_8.png
/data/data/####/130x130_9.png
/data/data/####/1e7aaf6e18fd
/data/data/####/72.png
/data/data/####/CustomIndex
/data/data/####/DVDirectory.cfg
/data/data/####/DVHotMap.cfg
/data/data/####/DVHotcity.cfg
/data/data/####/DVIndoor.cfg
/data/data/####/DVSDirectory.cfg
/data/data/####/DVVersion.cfg
/data/data/####/GB-canvas-turntable.css
/data/data/####/GB-canvas-turntable.js
/data/data/####/GB-canvas-turntable.min.js
/data/data/####/MachineController.js
/data/data/####/QQ.png
/data/data/####/README.md
/data/data/####/ResPackIndoorMap.rs
/data/data/####/VueInputCode.min.js
/data/data/####/WeChat.png
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/account.html
/data/data/####/account_agent.html
/data/data/####/account_businessman.html
/data/data/####/account_company.html
/data/data/####/account_customer.html
/data/data/####/account_saler.html
/data/data/####/account_set.html
/data/data/####/account_user_card.html
/data/data/####/add.png
/data/data/####/address.html
/data/data/####/address.select.area.js
/data/data/####/address_edit.css
/data/data/####/address_edit.html
/data/data/####/agent_member.html
/data/data/####/agent_order.html
/data/data/####/airports.js
/data/data/####/app.js
/data/data/####/arrow.png
/data/data/####/article.html
/data/data/####/authStatus_com.youyin.jubeizf.xml
/data/data/####/authStatus_com.youyin.jubeizf;remote.xml
/data/data/####/available.html
/data/data/####/balance.css
/data/data/####/balance.html
/data/data/####/balance_detail.html
/data/data/####/balance_exchange.html
/data/data/####/balance_exchange_rebate.html
/data/data/####/balance_exchange_rebate_log.html
/data/data/####/balance_transfer.html
/data/data/####/bank.html
/data/data/####/bank_detail.html
/data/data/####/bankbank.html
/data/data/####/barcode_scan.html
/data/data/####/baseindoormap.sty
/data/data/####/billing.html
/data/data/####/binaryajax.js
/data/data/####/booking_clients.html
/data/data/####/booking_clients_sub.html
/data/data/####/brandsIcon.png
/data/data/####/bus.sty
/data/data/####/businessman.html
/data/data/####/buy.html
/data/data/####/calendar.html
/data/data/####/canvasResize.js
/data/data/####/car.sty
/data/data/####/card.png
/data/data/####/cart-big.png
/data/data/####/cart.css
/data/data/####/cart.html
/data/data/####/cart.js
/data/data/####/cartBuy.html
/data/data/####/checkPassword.js
/data/data/####/checkbox.png
/data/data/####/chufang.jpg
/data/data/####/chuju1.jpg
/data/data/####/chuju2.jpg
/data/data/####/city.ecshop.js
/data/data/####/city.jd.js
/data/data/####/cityList.html
/data/data/####/classify.html
/data/data/####/classify_banner2.png
/data/data/####/classify_item_detail.html
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/collect.html
/data/data/####/collectList.html
/data/data/####/commisson.html
/data/data/####/company.html
/data/data/####/contract.html
/data/data/####/convenience01.png
/data/data/####/convenience02.png
/data/data/####/convenience03.png
/data/data/####/convenience04.png
/data/data/####/convenience05.png
/data/data/####/copy.png
/data/data/####/coupon_banner.png
/data/data/####/coupon_search.html
/data/data/####/credit.html
/data/data/####/customer.html
/data/data/####/cycle.sty
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/deduct.html
/data/data/####/delayimg.min.js
/data/data/####/delayimg.simple.min.js
/data/data/####/dis-font.ttf
/data/data/####/douli_card.html
/data/data/####/douli_card_bind.html
/data/data/####/down.png
/data/data/####/dragX.js
/data/data/####/dream_exchange.png
/data/data/####/edit_name.html
/data/data/####/edit_phone.html
/data/data/####/eje3cnc
/data/data/####/es6-promise.auto.min.js
/data/data/####/exchangeBuy.html
/data/data/####/exchange_history.html
/data/data/####/exchange_search.html
/data/data/####/exchange_self_search.html
/data/data/####/exif.js
/data/data/####/extract_history.html
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/file__0.localstorage-journal
/data/data/####/firll.dat
/data/data/####/firstAlert.png
/data/data/####/flight_city.html
/data/data/####/flight_detail.html
/data/data/####/flight_double_list.html
/data/data/####/flight_list.html
/data/data/####/flight_order_change.html
/data/data/####/flight_order_detail.html
/data/data/####/flight_refund.html
/data/data/####/flow_recharge.html
/data/data/####/forgot_password.html
/data/data/####/frame.html
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/get_money.html
/data/data/####/get_pay.html
/data/data/####/getui_sp.xml
/data/data/####/goods.css
/data/data/####/goods.html
/data/data/####/gou.png
/data/data/####/grade_card.html
/data/data/####/guess_you.png
/data/data/####/gx_sp.xml
/data/data/####/head.png
/data/data/####/head_pic.png
/data/data/####/hotel_calendar.html
/data/data/####/hotel_city.html
/data/data/####/hotel_comment.html
/data/data/####/hotel_detail.html
/data/data/####/hotel_list.html
/data/data/####/hotel_order.html
/data/data/####/hotel_order_detail.html
/data/data/####/hotel_photo.html
/data/data/####/hotel_room.html
/data/data/####/hotel_search.html
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html5Geo.xml
/data/data/####/huafeichongzhi.html
/data/data/####/huodong.html
/data/data/####/icon-ps.png
/data/data/####/iconfont.css
/data/data/####/iconfont.js
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/immersed.js
/data/data/####/immersed_scroll.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/index_appliance_icon.png
/data/data/####/index_baby_product_icon.png
/data/data/####/index_books_icon.png
/data/data/####/index_car_icon.png
/data/data/####/index_cate_icon.png
/data/data/####/index_clothes_icon.png
/data/data/####/index_coupon_icon.png
/data/data/####/index_credit_card_banner.png
/data/data/####/index_customer_service_icon.png
/data/data/####/index_drinks_icon.png
/data/data/####/index_electric_icon.png
/data/data/####/index_fruit_icon.png
/data/data/####/index_gas_icon.png
/data/data/####/index_guide_icon.png
/data/data/####/index_health_care_icon.png
/data/data/####/index_home_luggage_icon.png
/data/data/####/index_home_textile_icon.png
/data/data/####/index_icon.js
/data/data/####/index_icon_setting.html
/data/data/####/index_icon_setting_bak.html
/data/data/####/index_jewelry_icon.png
/data/data/####/index_kitchen_icon.png
/data/data/####/index_luggage_icon.png
/data/data/####/index_makup_skin_care_icon.png
/data/data/####/index_mobile_icon.png
/data/data/####/index_office_icon.png
/data/data/####/index_pet_icon.png
/data/data/####/index_rebate_banner.png
/data/data/####/index_recharge_icon.png
/data/data/####/index_reward_rebate_banner.png
/data/data/####/index_rice_icon.png
/data/data/####/index_same_city_banner.png
/data/data/####/index_scan_icon.png
/data/data/####/index_snack_icon.png
/data/data/####/index_sport_icon.png
/data/data/####/index_trafic_recharge_icon.png
/data/data/####/index_wash_icon.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/insurance.html
/data/data/####/insurance_detail.html
/data/data/####/jd.cart.js
/data/data/####/jdlogo.png
/data/data/####/jubeizf.xml
/data/data/####/jubeizf_download_dcloud.xml
/data/data/####/kouhong1.jpg
/data/data/####/layer.css
/data/data/####/layer.js
/data/data/####/libcuid.so
/data/data/####/libjiagu1457981405.so
/data/data/####/listLoding.gif
/data/data/####/liuliangchongzhi.html
/data/data/####/loading.gif
/data/data/####/loading2x1.gif
/data/data/####/login.html
/data/data/####/logistics.html
/data/data/####/logo.png
/data/data/####/logo1024.png
/data/data/####/logo_new.fw.png
/data/data/####/logo_new.jpg
/data/data/####/logo_txt.png
/data/data/####/main_business.html
/data/data/####/mall.html
/data/data/####/manifest.json
/data/data/####/map.rs
/data/data/####/map.sty
/data/data/####/map.sty_seg
/data/data/####/map.sty_svc
/data/data/####/map_pref.xml
/data/data/####/md5.min.js
/data/data/####/member.html
/data/data/####/message_list.html
/data/data/####/modify_password.html
/data/data/####/moments.png
/data/data/####/more.html
/data/data/####/mui.calendar.css
/data/data/####/mui.calendar.js
/data/data/####/mui.enterfocus.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/my.html
/data/data/####/my_bg.png
/data/data/####/my_vip_service_card.html
/data/data/####/mybg.png
/data/data/####/news.png
/data/data/####/news_list.html
/data/data/####/noMallAdvpic.jpg
/data/data/####/non-hotel.png
/data/data/####/nopic.jpg
/data/data/####/notice.html
/data/data/####/noticeIcon.png
/data/data/####/notice_detail.html
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/online_book.html
/data/data/####/order.css
/data/data/####/order.html
/data/data/####/order.js
/data/data/####/orders.css
/data/data/####/orders.html
/data/data/####/pageConfig.js
/data/data/####/partner.html
/data/data/####/partner_list.html
/data/data/####/passenger_edit.html
/data/data/####/pay.html
/data/data/####/pay_success.html
/data/data/####/payment.js
/data/data/####/pdr.xml
/data/data/####/photobtn.jpg
/data/data/####/pinddlogo.png
/data/data/####/profile.html
/data/data/####/pull_to_refresh.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qbDetail.css
/data/data/####/qbDetail.html
/data/data/####/qqSpace.png
/data/data/####/qrcode.html
/data/data/####/raw_1505970944.png
/data/data/####/reLogin.html
/data/data/####/read_packet_logo.png
/data/data/####/rebate.html
/data/data/####/rebate_exchange_balance.html
/data/data/####/rebate_invite_log.html
/data/data/####/rebate_log.html
/data/data/####/rebate_search.html
/data/data/####/receive.mp3
/data/data/####/recharge.html
/data/data/####/recharge_log.html
/data/data/####/reduct.rs
/data/data/####/reduct.sty
/data/data/####/register.html
/data/data/####/repassword.html
/data/data/####/roulette.html
/data/data/####/run.pid
/data/data/####/script.html
/data/data/####/search.html
/data/data/####/search_saler.html
/data/data/####/self.jpg
/data/data/####/seller.html
/data/data/####/set_price.html
/data/data/####/share_page.html
/data/data/####/shopListBg.png
/data/data/####/shop_intro.html
/data/data/####/shopping_address_set.html
/data/data/####/showStart.png
/data/data/####/sinopec.html
/data/data/####/socket.io.js
/data/data/####/socket.io.js.map
/data/data/####/start_statistics_data.xml
/data/data/####/station.js
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/terrace_account.html
/data/data/####/terrace_account_true_name.html
/data/data/####/test_app
/data/data/####/to_receive.html
/data/data/####/tongji.png
/data/data/####/toplogo.png
/data/data/####/toplogo_new.jpg
/data/data/####/traffic.rs
/data/data/####/traffic.sty
/data/data/####/train_city.html
/data/data/####/train_list.html
/data/data/####/train_order.html
/data/data/####/train_order_detail.html
/data/data/####/train_refund.html
/data/data/####/transfer.html
/data/data/####/transfer_balance.html
/data/data/####/transfer_history.html
/data/data/####/transfer_rebate.html
/data/data/####/travel.html
/data/data/####/typo.css
/data/data/####/update.js
/data/data/####/upload.js
/data/data/####/util.js
/data/data/####/ver.dat
/data/data/####/vip.png
/data/data/####/vip_card.html
/data/data/####/vip_service_card.html
/data/data/####/vmall.html
/data/data/####/vmall_edit.html
/data/data/####/vmall_goodEdit.html
/data/data/####/vmall_main_business.html
/data/data/####/vmall_my.html
/data/data/####/vmall_preview.html
/data/data/####/vmall_profit.html
/data/data/####/vmall_profitDetail.html
/data/data/####/vmall_setting.html
/data/data/####/vue-verify.js
/data/data/####/vue.min.js
/data/data/####/wallet.html
/data/data/####/wallet.png
/data/data/####/walletbg.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weidian_01.png
/data/data/####/weidian_02.png
/data/data/####/weidian_03.png
/data/data/####/weidian_04.png
/data/data/####/weidian_05.png
/data/data/####/weidian_06.png
/data/data/####/weidian_07.png
/data/data/####/weidian_08.png
/data/data/####/weidian_09.png
/data/data/####/weidian_10.png
/data/data/####/weidian_11.png
/data/data/####/weidian_12.png
/data/data/####/weidian_13.png
/data/data/####/weidian_14.png
/data/data/####/weidian_15.png
/data/data/####/weidian_16.png
/data/data/####/weidian_17.png
/data/data/####/weidian_18.png
/data/data/####/weidian_source.html
/data/data/####/weidian_source_goods.html
/data/data/####/win_record.html
/data/data/####/yhzq-diannao.png
/data/data/####/yhzq-meizhuang.png
/data/data/####/yhzq-qiche.png
/data/data/####/yhzq-shipin.png
/data/data/####/zengsong.html
/data/data/####/zhangdan.png
/data/data/####/zhiwu.jpg
/data/data/####/zhongan_info.html
/data/data/####/zhongan_train_info.html
/data/data/####/zhongshihua.png
/data/data/####/zhongshiyou.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/.nomedia
/data/media/####/AdEnable.dat
/data/media/####/DTTempdat.dat
/data/media/####/DTTempdat.idx
/data/media/####/HMTempdat.dat
/data/media/####/HMTempdat.idx
/data/media/####/ITTempdat.dat
/data/media/####/ITTempdat.idx
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.youyin.jubeizf.bin
/data/media/####/com.youyin.jubeizf.db
/data/media/####/conlts.dat
/data/media/####/jubeizf_android.wgt
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24847 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24847 300 0

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
BaiduMapSDK_map_v4_3_1
getuiext2
libjiagu1457981405
locSDK7a

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней