Adware.Gexin.8078

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.2.origin

Accesses the ITelephony private interface.

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) api.yu####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) s####.ml####.cc:443
TCP(TLS/1.0) hotfix####.aliy####.com:443
TCP(TLS/1.0) 1####.217.17.78:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

DNS requests:

7j####.c####.z0.####.com
a####.man.aliy####.com
api.map.b####.com
api.yu####.com
autopus####.b####.cn
c####.g####.ig####.com
c####.g####.ig####.com
c-h####.g####.com
cgi.con####.qq.com
hotfix####.aliy####.com
loc.map.b####.com
plb####.u####.com
pub-####.qin####.com
s####.ml####.cc
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

HTTP GET requests:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_OPb601
t####.c####.q####.####.com/tdata_YYn966

HTTP POST requests:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

File system changes:

Creates the following files:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/016baa897d.audio_close.png
/data/data/####/123c3815bb.icon_weixin.png
/data/data/####/23f8ce8d1c.ic_buyer.png
/data/data/####/256ebf84b1.Bitmap.png
/data/data/####/350b3792ff.left-quotation.png
/data/data/####/39496b360b.icon-hongbao-entry.png
/data/data/####/63a0ae04fb.person_certification.png
/data/data/####/645a28e280.right-quotation.png
/data/data/####/725c265efb.audio_play.png
/data/data/####/77c101cdaf.ic_seller.png
/data/data/####/7e17e0f528.ic_article_zan.png
/data/data/####/86cd7267e5.guanfang.png
/data/data/####/97bf740cffc6
/data/data/####/9ec357c991.audio_pause.png
/data/data/####/9faa294ea3.ic_blue_search.png
/data/data/####/Alvin2.xml
/data/data/####/Bitmap.png
/data/data/####/ContextData.xml
/data/data/####/MultiDex.lock
/data/data/####/Shape_new.png
/data/data/####/_app.js
/data/data/####/_error.js
/data/data/####/a0252d69ac.circleFriends.png
/data/data/####/a==7.5.0&&1.27_1548609810567_envelope.log
/data/data/####/aca86084b1.kefu.png
/data/data/####/adc6e79b59.play_now.png
/data/data/####/addInstruction.html
/data/data/####/aliplayer.min.css
/data/data/####/app_icon_108.png
/data/data/####/applyContract.html
/data/data/####/applySettled.html
/data/data/####/applySettled.jpg
/data/data/####/aquaticArtical.html
/data/data/####/aquaticClassroom.html
/data/data/####/aquaticLatestArticles.html
/data/data/####/aquaticList.html
/data/data/####/aquaticList.js
/data/data/####/aquaticRanking.html
/data/data/####/aquaticSearch.html
/data/data/####/aquaticSeries.html
/data/data/####/arrow-right.png
/data/data/####/articalInfo.html
/data/data/####/audio_close.png
/data/data/####/audio_pause.png
/data/data/####/audio_play.png
/data/data/####/authStatus_com.yudada.main;remote.xml
/data/data/####/b3e0c9bdb2.message-jingxuan.png
/data/data/####/b5e2c91edd.message-visitors.png
/data/data/####/b613b162e8.renzheng.png
/data/data/####/b7fd2f9f11.defimg.png
/data/data/####/bangding.png
/data/data/####/base.css
/data/data/####/be_interested.png
/data/data/####/bec6b516c5.icon-zhengshu.png
/data/data/####/bindAccount.html
/data/data/####/bindPhone.html
/data/data/####/book.png
/data/data/####/buy.png
/data/data/####/buydetail.html
/data/data/####/buyin_new.png
/data/data/####/c1a3da16cf.youzhi.png
/data/data/####/cancle_interested.png
/data/data/####/catIdentityStatus.html
/data/data/####/cert1.png
/data/data/####/cert2.png
/data/data/####/cert3.png
/data/data/####/cert4.png
/data/data/####/cert5.png
/data/data/####/cert6.png
/data/data/####/cfad89744f.tabbar-refresh-btn.png
/data/data/####/change.png
/data/data/####/change_price.png
/data/data/####/chengjiao.png
/data/data/####/chengjidantishi.png
/data/data/####/chooseDate.html
/data/data/####/choujianging.png
/data/data/####/circleFriends.png
/data/data/####/classroom-guide.png
/data/data/####/close.png
/data/data/####/com.tencent.open.config.json.1105537305
/data/data/####/com.yudada.main_preferences.xml
/data/data/####/common.min.js
/data/data/####/company_certification.png
/data/data/####/congratulation.png
/data/data/####/d2d8515bb8.real-name.png
/data/data/####/d38374d647.ic_danbaojiaoyi.png
/data/data/####/d66f992b5c.company_certification.png
/data/data/####/d7307780a7.tabbar-release-btn.png
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ4NjA5ODA0Mzc2;
/data/data/####/danbaobanner.jpg
/data/data/####/danbaoicon.png
/data/data/####/dealInfo.html
/data/data/####/dealList.html
/data/data/####/default_head.png
/data/data/####/defimg.png
/data/data/####/des.html
/data/data/####/des.js
/data/data/####/dianjichoujiang.png
/data/data/####/driverDemandInfo.html
/data/data/####/e5bf9418aa.fuwu.png
/data/data/####/editName.html
/data/data/####/empty_notify.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fahuo.png
/data/data/####/falv.jpg
/data/data/####/fastclick.min.js
/data/data/####/fbfeabca03.ic_search_label.png
/data/data/####/filter.html
/data/data/####/find.html
/data/data/####/fineFry.html
/data/data/####/firll.dat
/data/data/####/fishCar.html
/data/data/####/fishCarTripList.html
/data/data/####/fishCert.html
/data/data/####/fishFryBanner.png
/data/data/####/fishFryTitleBg.png
/data/data/####/fishGuranteeInfo.html
/data/data/####/fishIdentification.html
/data/data/####/fishIdentifySuccess.html
/data/data/####/fishMarket.html
/data/data/####/fishMarketInfo.html
/data/data/####/fish_banner.jpg
/data/data/####/fish_car.svg
/data/data/####/fontSize.html
/data/data/####/font_new.png
/data/data/####/framework7.ios.colors.min.css
/data/data/####/framework7.ios.min.css
/data/data/####/fukuan.png
/data/data/####/fuwu.png
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/guanfang.png
/data/data/####/guang.png
/data/data/####/guarantee.png
/data/data/####/guaranteeDesc.html
/data/data/####/guaranteeHelp.html
/data/data/####/gx_sp.xml
/data/data/####/head.jpg
/data/data/####/header.png
/data/data/####/help.png
/data/data/####/homeBuy.html
/data/data/####/hongbao_close.png
/data/data/####/hongbao_open.png
/data/data/####/hot.png
/data/data/####/hotArticle.html
/data/data/####/hours.png
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/huoqujihui.png
/data/data/####/i==1.2.0&&1.27_1548609804452_envelope.log
/data/data/####/ic_arrow.svg
/data/data/####/ic_arrow_gray.png
/data/data/####/ic_article_zan.png
/data/data/####/ic_avatar_default.png
/data/data/####/ic_blue_search.png
/data/data/####/ic_blue_search_bak.png
/data/data/####/ic_buyer.png
/data/data/####/ic_category_commonfish.png
/data/data/####/ic_chushou.png
/data/data/####/ic_chushou_new.png
/data/data/####/ic_cir_recommended.png
/data/data/####/ic_classroom.png
/data/data/####/ic_complete.png
/data/data/####/ic_danbaojiaoyi.png
/data/data/####/ic_empty_order.png
/data/data/####/ic_fisherman.png
/data/data/####/ic_jinpaiyumiao.png
/data/data/####/ic_level_0.png
/data/data/####/ic_level_1.png
/data/data/####/ic_level_2.png
/data/data/####/ic_level_3.png
/data/data/####/ic_level_4.png
/data/data/####/ic_level_5.png
/data/data/####/ic_market.png
/data/data/####/ic_myShop.png
/data/data/####/ic_news.png
/data/data/####/ic_search.png
/data/data/####/ic_search_label.png
/data/data/####/ic_seller.png
/data/data/####/ic_shop_danbao.png
/data/data/####/ic_soldout.png
/data/data/####/ic_to_examine.png
/data/data/####/ic_truck.png
/data/data/####/ic_verification.png
/data/data/####/ic_verification_failed.svg
/data/data/####/ic_yucheb.png
/data/data/####/ic_yuerle@2x.png
/data/data/####/icon-close.png
/data/data/####/icon-del.jpg
/data/data/####/icon-del.png
/data/data/####/icon-hongbao-entry.png
/data/data/####/icon-one.png
/data/data/####/icon-point.png
/data/data/####/icon-price-0.png
/data/data/####/icon-price-1.png
/data/data/####/icon-price-2.png
/data/data/####/icon-price-3.png
/data/data/####/icon-price-4.png
/data/data/####/icon-price-5.png
/data/data/####/icon-price-6.png
/data/data/####/icon-price-7.png
/data/data/####/icon-price-8.png
/data/data/####/icon-price-9.png
/data/data/####/icon-qiye.png
/data/data/####/icon-two.png
/data/data/####/icon-zhengshu.png
/data/data/####/icon_buy.png
/data/data/####/icon_close.png
/data/data/####/icon_phone.png
/data/data/####/icon_qiugou.png
/data/data/####/icon_recommend.png
/data/data/####/icon_refresh.png
/data/data/####/icon_refreshInfo.png
/data/data/####/icon_selected.png
/data/data/####/icon_shape.png
/data/data/####/icon_want_sell.png
/data/data/####/icon_weixin.png
/data/data/####/icon_zhi.png
/data/data/####/icon_zyj.png
/data/data/####/iconfont.eot
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/identityAuthentication.html
/data/data/####/illness.png
/data/data/####/img_congyezheng1.jpg
/data/data/####/img_congyezheng2.jpg
/data/data/####/img_id.jpg
/data/data/####/img_jiazhao.jpg
/data/data/####/img_yunshuzheng.jpg
/data/data/####/index.html
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/initApp.js
/data/data/####/init_c1.pid
/data/data/####/interest-guid.png
/data/data/####/invitation-empty.png
/data/data/####/inviteCode.html
/data/data/####/inviteFriends.html
/data/data/####/inviteFriendsList.html
/data/data/####/jiangpinzhuanpan.png
/data/data/####/jiaoyiwancheng.png
/data/data/####/jingxuan.png
/data/data/####/jixie.jpg
/data/data/####/jixie.png
/data/data/####/jixuchoujiang.png
/data/data/####/jixunzhanghead.png
/data/data/####/kefu.png
/data/data/####/left-quotation.png
/data/data/####/left_mark.png
/data/data/####/level_bg.png
/data/data/####/libcuid.so
/data/data/####/libjiagu-311595300.so
/data/data/####/liezi.jpg
/data/data/####/loading.gif
/data/data/####/login.html
/data/data/####/loginCode.html
/data/data/####/logisticsInfo.html
/data/data/####/logo-seller-story.png
/data/data/####/logo.png
/data/data/####/logoTitle.png
/data/data/####/maichu_new.png
/data/data/####/main-bf6cd946f946b6413715.js
/data/data/####/main.css
/data/data/####/medal1.png
/data/data/####/medal2.png
/data/data/####/medal3.png
/data/data/####/medalInfo.html
/data/data/####/medalList.html
/data/data/####/medalempty1.png
/data/data/####/medalempty2.png
/data/data/####/medalempty3.png
/data/data/####/member.jpg
/data/data/####/message-jingxuan.png
/data/data/####/message-visitors.png
/data/data/####/message.html
/data/data/####/modal_bg_top.png
/data/data/####/modal_invitation_top.png
/data/data/####/moneyBible.html
/data/data/####/multidex.version.xml
/data/data/####/mvpList.html
/data/data/####/mwsdk_analytics.db-journal
/data/data/####/my-member-icon1.png
/data/data/####/my-member-icon2.png
/data/data/####/my-member-icon3.png
/data/data/####/myBuyOrder.html
/data/data/####/myCenter.html
/data/data/####/myCollection.html
/data/data/####/myFishCarDemandList.html
/data/data/####/myFishCoins.html
/data/data/####/myList.html
/data/data/####/myMedal.html
/data/data/####/myRecordList.html
/data/data/####/mySellOrder.html
/data/data/####/myShop.html
/data/data/####/my_arrow.svg
/data/data/####/mybanner_copy.png
/data/data/####/needHelp.html
/data/data/####/new_function.png
/data/data/####/new_risk_red.png
/data/data/####/news.png
/data/data/####/news_cancel.png
/data/data/####/news_story.png
/data/data/####/nomedal.png
/data/data/####/notFound.html
/data/data/####/notificationCenter.html
/data/data/####/orderDetails.html
/data/data/####/other.png
/data/data/####/otherIndex.html
/data/data/####/otherInfo.html
/data/data/####/otherList.html
/data/data/####/payeeQrcode.html
/data/data/####/peiyu.jpg
/data/data/####/persistent_data.xml
/data/data/####/person_certification.png
/data/data/####/personal-auth-reason.png
/data/data/####/pic1.jpg
/data/data/####/pic2.jpg
/data/data/####/pic3.jpg
/data/data/####/pic4.jpg
/data/data/####/pic5.jpg
/data/data/####/pic6.jpg
/data/data/####/pic_bg_star.png
/data/data/####/platformHelp.html
/data/data/####/play_now.png
/data/data/####/polyfill.min.js
/data/data/####/postDriverAuth.html
/data/data/####/postDriverInfo.html
/data/data/####/purchaseOrder.html
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.js
/data/data/####/qrcode.png
/data/data/####/quotation-mark1.png
/data/data/####/rank1.png
/data/data/####/rank2.png
/data/data/####/rank3.png
/data/data/####/real-name.png
/data/data/####/realNameDraw.html
/data/data/####/receivingAddress.html
/data/data/####/recommend-one.png
/data/data/####/recommend-two.png
/data/data/####/recruitDriverSuccess.html
/data/data/####/redPacketList.html
/data/data/####/release.html
/data/data/####/releaseBuyCount.html
/data/data/####/releaseFishCarDemand.html
/data/data/####/releaseFishCarDemandSuccess.html
/data/data/####/releaseFishCarTrip.html
/data/data/####/releaseInfo.html
/data/data/####/releasePrice.html
/data/data/####/releaseSelectTag.html
/data/data/####/releaseSpecifications.html
/data/data/####/releaseSucc.html
/data/data/####/release_buy_icon.png
/data/data/####/release_cancel.png
/data/data/####/release_customer_service.png
/data/data/####/release_sell_icon.png
/data/data/####/release_text.png
/data/data/####/release_voice.png
/data/data/####/renzheng.png
/data/data/####/renzheng_new.png
/data/data/####/revisePrice.html
/data/data/####/reviseUserInfo.html
/data/data/####/right-quotation.png
/data/data/####/right_mark.png
/data/data/####/run.pid
/data/data/####/ruzhu.png
/data/data/####/search.html
/data/data/####/sell.png
/data/data/####/sellDetailRevisePrice.html
/data/data/####/sell_guide.png
/data/data/####/selldetail.html
/data/data/####/sellerStory.html
/data/data/####/sellerStoryList.html
/data/data/####/seriesList.html
/data/data/####/share.png
/data/data/####/shareMyTrip.html
/data/data/####/shop_seller.png
/data/data/####/siji.png
/data/data/####/sp_sophix.xml
/data/data/####/star.png
/data/data/####/strengthShow.html
/data/data/####/submitDealSucc.html
/data/data/####/tabbar-refresh-btn.png
/data/data/####/tabbar-release-btn.png
/data/data/####/tdata_OPb601
/data/data/####/tdata_OPb601.jar
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/touch.min.js
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml (deleted)
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/up_level.png
/data/data/####/up_load_cover.png
/data/data/####/user.html
/data/data/####/video_play.png
/data/data/####/visitList.html
/data/data/####/warning.png
/data/data/####/water.png
/data/data/####/weUi.css
/data/data/####/week1.png
/data/data/####/week2.png
/data/data/####/week3.png
/data/data/####/wei.png
/data/data/####/weinxin_share.png
/data/data/####/weixin-share.png
/data/data/####/weixin_close.png
/data/data/####/xieshang.png
/data/data/####/xingqu.png
/data/data/####/yangzhi.png
/data/data/####/yanhuo.png
/data/data/####/yaoqing.png
/data/data/####/yellow_star.png
/data/data/####/youyongtishi2.png
/data/data/####/youzhi.png
/data/data/####/yuchedingdan.png
/data/data/####/yudada_news.png
/data/data/####/yuntui_dir.xml
/data/data/####/zhengshu.png
/data/data/####/zyj_guide.png
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yudada.main.db
/data/media/####/tdata_OPb601
/data/media/####/tdata_YYn966
/data/media/####/test.log
/data/media/####/webapp.zip
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Miscellaneous:

Executes the following shell scripts:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24464 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
ls /sys/class/thermal
mount

Loads the following dynamic libraries:

getuiext2
libjiagu-311595300
locSDK7b
realm-jni

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Uses special library to hide executable bytecode.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Gets information about running apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial