Adware.Gexin.20782

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
TCP(HTTP/1.1) xj####.p####.h####.####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.g####.com:5226

Запросы DNS:

c####.360.cn
c-h####.g####.com
c.appj####.com
cm-1####.g####.com
sdk-ope####.g####.com
sdk.c####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
x####.xj####.com

Запросы HTTP GET:

sdk.o####.p####.####.com/api/addr.htm
tinychi####.q####.com.####.com/config/hzv9.conf
xj####.p####.h####.####.com//index.php/ajax/data.html?mid=####&page=####...
xj####.p####.h####.####.com//index.php/appuser/banner?cityid=####&hmac=#...
xj####.p####.h####.####.com//index.php/appuser/chakan?username=####&area...
xj####.p####.h####.####.com//index.php/appuser/kcks?hmac=####
xj####.p####.h####.####.com//index.php/appuser/msg?page=####&limit=####&...
xj####.p####.h####.####.com//index.php/appuser/users?cityid=####&hmac=####

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
sdk-ope####.g####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/.jgrpa.xml
/data/data/####/.log.lock
/data/data/####/.log.rpa
/data/data/####/1v.png
/data/data/####/2v.png
/data/data/####/H55EF1830.xml
/data/data/####/OAuth.js
/data/data/####/PK.png
/data/data/####/PK.svg
/data/data/####/PKbg.png
/data/data/####/PKdefault.png
/data/data/####/PKdefault.svg
/data/data/####/README.md
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aboutApp.html
/data/data/####/ad_show_time.xml
/data/data/####/add.html
/data/data/####/add.js
/data/data/####/addCard.css
/data/data/####/addCard.html
/data/data/####/addCard.js
/data/data/####/addCard2.css
/data/data/####/addCard2.html
/data/data/####/addCard2.js
/data/data/####/addFriend.html
/data/data/####/addFriend.js
/data/data/####/addMyFriend.html
/data/data/####/addMyFriend.js
/data/data/####/amp-mk0.png
/data/data/####/amp-mk0.svg
/data/data/####/amp-mk1.png
/data/data/####/amp-mk1.svg
/data/data/####/amp-mk2.svg
/data/data/####/amps-mk0.svg
/data/data/####/amps-mk1.svg
/data/data/####/appUpdate.html
/data/data/####/artTemplate.js
/data/data/####/banner.jpg
/data/data/####/banner1.jpg
/data/data/####/base64.js
/data/data/####/bbs.html
/data/data/####/bbs.js
/data/data/####/bbsChannel.css
/data/data/####/bbsChannel.html
/data/data/####/bbsChannel.js
/data/data/####/bbsDetails.css
/data/data/####/bbsDetails.html
/data/data/####/bbsDetails.js
/data/data/####/bbsIndex.css
/data/data/####/bbsIndex.html
/data/data/####/bbsIndex.js
/data/data/####/bbsSearch.css
/data/data/####/bbsSearch.html
/data/data/####/bbsSearch.js
/data/data/####/bindMobile.html
/data/data/####/bindMobile.js
/data/data/####/blue.png
/data/data/####/cardDetails.css
/data/data/####/cardDetails.html
/data/data/####/cardDetails.js
/data/data/####/cardList.html
/data/data/####/cardList.js
/data/data/####/cardSelect.css
/data/data/####/cardSelect.html
/data/data/####/cardSelect.js
/data/data/####/cards.png
/data/data/####/center.svg
/data/data/####/changeMobile.html
/data/data/####/changeMobile.js
/data/data/####/changePwd.html
/data/data/####/changePwd.js
/data/data/####/channelDetails.css
/data/data/####/channelDetails.html
/data/data/####/channelDetails.js
/data/data/####/city.data.js
/data/data/####/citySelect.css
/data/data/####/citySelect.html
/data/data/####/citySelect.js
/data/data/####/clientid_igexin.xml
/data/data/####/collectcard.png
/data/data/####/collectnothing.png
/data/data/####/comment.css
/data/data/####/comment.html
/data/data/####/comment.js
/data/data/####/commentList.html
/data/data/####/commentList.js
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/companyEvents.css
/data/data/####/companyEvents.js
/data/data/####/correlationCard.css
/data/data/####/correlationCard.html
/data/data/####/correlationCard.js
/data/data/####/cropper.css
/data/data/####/cropper.js
/data/data/####/crypto.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/def.jpg
/data/data/####/defuser.jpg
/data/data/####/defuser.png
/data/data/####/detail.css
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/detail_war.html
/data/data/####/detail_war.js
/data/data/####/eje3cnc
/data/data/####/error.html
/data/data/####/events.css
/data/data/####/events.html
/data/data/####/events.js
/data/data/####/fabu.html
/data/data/####/fabu.js
/data/data/####/findAccount.html
/data/data/####/findAccount.js
/data/data/####/findAccountByThree.html
/data/data/####/fix.js
/data/data/####/forgetPwd.html
/data/data/####/forgetPwd.js
/data/data/####/fwxy.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gz.png
/data/data/####/h.min.js
/data/data/####/hello.html
/data/data/####/hello1.jpg
/data/data/####/hello2.jpeg
/data/data/####/hello2.jpg
/data/data/####/hello3.jpg
/data/data/####/hello4.jpg
/data/data/####/hmac.js
/data/data/####/home.css
/data/data/####/home.html
/data/data/####/home.js
/data/data/####/homepage_icon_nearly shop.png
/data/data/####/homepage_icon_nformation.png
/data/data/####/homepage_icon_people nearly.png
/data/data/####/homepage_icon_pk.png
/data/data/####/homepage_icon_scan.png
/data/data/####/hotLabel.png
/data/data/####/hotLabelgreen.png
/data/data/####/hotLabelyellow.png
/data/data/####/html5Geo.xml
/data/data/####/huan.png
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/iconfont2.css
/data/data/####/image.png
/data/data/####/image_card.png
/data/data/####/imgLoad.css
/data/data/####/imgpreview.css
/data/data/####/immersed.js
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/invitation.css
/data/data/####/invitation.html
/data/data/####/invitation.js
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/jh.png
/data/data/####/jquery-1.11.0.min.js
/data/data/####/jquery.min.js
/data/data/####/jquery.qrcode.min.js
/data/data/####/jz.png
/data/data/####/label.css
/data/data/####/label.html
/data/data/####/label.js
/data/data/####/libjiagu-40220301.so
/data/data/####/loadding.gif
/data/data/####/loading.gif
/data/data/####/locationX40.png
/data/data/####/locationX40.svg
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/logo.jpg
/data/data/####/m0.png
/data/data/####/m1.svg
/data/data/####/main.css
/data/data/####/main.html
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/map.css
/data/data/####/map.html
/data/data/####/map.js
/data/data/####/mapPeople.html
/data/data/####/mapPeople.js
/data/data/####/mapShop.html
/data/data/####/mapShop.js
/data/data/####/maps.js
/data/data/####/matchBtn.png
/data/data/####/matchstatus1.png
/data/data/####/matchstatus2.png
/data/data/####/matchstatus3.png
/data/data/####/matchstatus4.png
/data/data/####/matchstatus5.png
/data/data/####/md5.js
/data/data/####/md5.min.js
/data/data/####/mobileLogin.html
/data/data/####/mobileLogin.js
/data/data/####/mui.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.min1.js
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/myAccount.html
/data/data/####/myAccount.js
/data/data/####/myCanyu.html
/data/data/####/myCanyu.js
/data/data/####/myContactPerson.html
/data/data/####/myEdit.html
/data/data/####/myEdit.js
/data/data/####/myFankui.html
/data/data/####/myFankui.js
/data/data/####/myFriends.css
/data/data/####/myFriends.html
/data/data/####/myFriends.js
/data/data/####/myFriendsMatch.html
/data/data/####/myFriendsMatch.js
/data/data/####/myFriendsSearch.css
/data/data/####/myFriendsSearch.html
/data/data/####/myFriendsSearch.js
/data/data/####/myInfo.html
/data/data/####/myInfo.js
/data/data/####/myMatch.css
/data/data/####/myMatch.html
/data/data/####/myMatch.js
/data/data/####/myMatchDetail.css
/data/data/####/myMatchDetail.js
/data/data/####/myMatchSearch.css
/data/data/####/myMatchSearch.html
/data/data/####/myMatchSearch.js
/data/data/####/myMobileBook.css
/data/data/####/myMobileBook.html
/data/data/####/myMobileBook.js
/data/data/####/myMsg.html
/data/data/####/myMsg.js
/data/data/####/myMsgDetail.html
/data/data/####/myNewFriends.html
/data/data/####/myNewFriends.js
/data/data/####/myPrivateInfo.html
/data/data/####/myPrivateInfo.js
/data/data/####/myQRCode.html
/data/data/####/myQRCode.js
/data/data/####/mySecurityCenter.html
/data/data/####/mySecurityCenter.js
/data/data/####/mySetting.html
/data/data/####/mySetting.js
/data/data/####/myWenti.html
/data/data/####/myWenti.js
/data/data/####/mycards.png
/data/data/####/mycommon.css
/data/data/####/nearPeople.css
/data/data/####/nearPeople.html
/data/data/####/nearPeople.js
/data/data/####/nearShop.css
/data/data/####/nearShop.html
/data/data/####/nearShop.js
/data/data/####/newBbs.css
/data/data/####/newBbs.html
/data/data/####/newBbs.js
/data/data/####/newMatch.png
/data/data/####/newsDetail.css
/data/data/####/newsDetail.html
/data/data/####/newsDetail.js
/data/data/####/newsList.css
/data/data/####/newsList.html
/data/data/####/newsList.js
/data/data/####/newsSearch.html
/data/data/####/newsSearch.js
/data/data/####/nopic.jpg
/data/data/####/oneCardCollect.css
/data/data/####/oneCardCollect.html
/data/data/####/oneCardCollect.js
/data/data/####/oneCardDetail.css
/data/data/####/oneCardDetail.html
/data/data/####/oneCardDetail.js
/data/data/####/oneCardMe.css
/data/data/####/oneCardMe.html
/data/data/####/oneCardMe.js
/data/data/####/oneCardMeCreate.css
/data/data/####/oneCardMeCreate.html
/data/data/####/oneCardMeCreate.js
/data/data/####/oneCardMeEdit.html
/data/data/####/oneCardMeEdit.js
/data/data/####/oneCardSearch.css
/data/data/####/oneCardSearch.html
/data/data/####/oneCardSearch.js
/data/data/####/oneCardSquare.css
/data/data/####/oneCardSquare.html
/data/data/####/oneCardSquare.js
/data/data/####/oneWar.css
/data/data/####/pdr.xml
/data/data/####/picture_blue.svg
/data/data/####/pk.css
/data/data/####/pk.html
/data/data/####/pk.js
/data/data/####/pk0.png
/data/data/####/pk1.png
/data/data/####/pkMap.html
/data/data/####/pkMap.js
/data/data/####/plus.js
/data/data/####/popShare.css
/data/data/####/popShare.html
/data/data/####/popShare.js
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qq.png
/data/data/####/ranking.css
/data/data/####/ranking.html
/data/data/####/ranking.js
/data/data/####/readme.md
/data/data/####/reg.html
/data/data/####/reg.js
/data/data/####/region.js
/data/data/####/reset.css
/data/data/####/richScan.html
/data/data/####/richScan.js
/data/data/####/run.pid
/data/data/####/saierhao.css
/data/data/####/saierhao.html
/data/data/####/saierhao.js
/data/data/####/saizi.png
/data/data/####/search.css
/data/data/####/search.html
/data/data/####/search.js
/data/data/####/searchFight.css
/data/data/####/searchFight.html
/data/data/####/searchFight.js
/data/data/####/searchPeople.html
/data/data/####/searchPeople.js
/data/data/####/searchShop.html
/data/data/####/searchShop.js
/data/data/####/searchcard.png
/data/data/####/searchnothing.png
/data/data/####/selectResult.html
/data/data/####/selectResult.js
/data/data/####/setPwd.html
/data/data/####/setPwd.js
/data/data/####/sha1.js
/data/data/####/shai.png
/data/data/####/shopDetails.css
/data/data/####/shopDetails.html
/data/data/####/shopDetails.js
/data/data/####/shopMatch.html
/data/data/####/shopMatch.js
/data/data/####/shouye.png
/data/data/####/shouye2.png
/data/data/####/sinaweibo.png
/data/data/####/solo.png
/data/data/####/star1.png
/data/data/####/star2.png
/data/data/####/star3.png
/data/data/####/star4.png
/data/data/####/starNumber.css
/data/data/####/starNumber.html
/data/data/####/starNumber.js
/data/data/####/star_grey.svg
/data/data/####/star_yellow.svg
/data/data/####/starhui.jpg
/data/data/####/stream_permission.xml
/data/data/####/strongCard.png
/data/data/####/swiper-3.4.1.min.js
/data/data/####/swiper-3.4.2.min.css
/data/data/####/taskList.html
/data/data/####/taskList.js
/data/data/####/taskdetail.html
/data/data/####/taskdetail.js
/data/data/####/test_app
/data/data/####/thirdReg.html
/data/data/####/thirdReg.js
/data/data/####/tool.css
/data/data/####/tool.html
/data/data/####/tool.js
/data/data/####/toolControl.css
/data/data/####/toolControl.html
/data/data/####/toolControl.js
/data/data/####/uploadImg.html
/data/data/####/uploadImg.js
/data/data/####/user.html
/data/data/####/user.js
/data/data/####/userInfo.css
/data/data/####/userInfo.html
/data/data/####/userInfo.js
/data/data/####/userbg.png
/data/data/####/vs.png
/data/data/####/vs_2.png
/data/data/####/war.css
/data/data/####/war.html
/data/data/####/war.js
/data/data/####/warbg.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weixin.png
/data/data/####/yaoqing.png
/data/data/####/yaoqingactive.png
/data/data/####/yaoqingdef.png
/data/data/####/yellow.png
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xiaojiabang.ds.bin
/data/media/####/com.xiaojiabang.ds.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24775 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24775 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu-40220301

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней