Adware.Gexin.17222

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.3.origin

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) img.cdn.al####.####.cn:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) mil####.oss-cn-####.aliy####.com:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5224

DNS requests:

api.map.b####.com
c-h####.g####.com
cm-1####.ig####.com
img.cdn.al####.####.cn
mil####.oss-cn-####.aliy####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

HTTP GET requests:

img.cdn.al####.####.cn/stream/exchange_splash/122286050403_H5943CB6F.jpg
q####.c####.l####.####.com/config/hz-hzv6.conf

HTTP POST requests:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

File system changes:

Creates the following files:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0.png
/data/data/####/0ead32a73fdb64e9268acf66c180356.png
/data/data/####/1.jpg
/data/data/####/1.png
/data/data/####/10.png
/data/data/####/100.png
/data/data/####/102.png
/data/data/####/106.png
/data/data/####/107.png
/data/data/####/108.png
/data/data/####/109.png
/data/data/####/11.png
/data/data/####/12.png
/data/data/####/13.png
/data/data/####/14.png
/data/data/####/15.png
/data/data/####/16.png
/data/data/####/17.png
/data/data/####/18.png
/data/data/####/19.png
/data/data/####/2.png
/data/data/####/20.png
/data/data/####/21.png
/data/data/####/22.png
/data/data/####/23.png
/data/data/####/24.png
/data/data/####/25.png
/data/data/####/26.png
/data/data/####/27.png
/data/data/####/28.png
/data/data/####/29.png
/data/data/####/3.png
/data/data/####/30.png
/data/data/####/31.png
/data/data/####/32.png
/data/data/####/33.png
/data/data/####/4.png
/data/data/####/40.png
/data/data/####/41.png
/data/data/####/42.png
/data/data/####/43.png
/data/data/####/44.png
/data/data/####/45.png
/data/data/####/47.png
/data/data/####/48.png
/data/data/####/49.png
/data/data/####/5.png
/data/data/####/50.png
/data/data/####/51.png
/data/data/####/55.png
/data/data/####/6.jpg
/data/data/####/6.png
/data/data/####/60.png
/data/data/####/62.png
/data/data/####/66.png
/data/data/####/67.png
/data/data/####/68.png
/data/data/####/69.png
/data/data/####/7.png
/data/data/####/70.png
/data/data/####/71.png
/data/data/####/72.png
/data/data/####/73.png
/data/data/####/74.png
/data/data/####/75.png
/data/data/####/76.png
/data/data/####/77.png
/data/data/####/8.png
/data/data/####/84.png
/data/data/####/85.png
/data/data/####/86.png
/data/data/####/87.png
/data/data/####/88.png
/data/data/####/9.png
/data/data/####/AgoraRTCSDK-2.6.0.js
/data/data/####/Agreement.html
/data/data/####/BankCard.css
/data/data/####/BankCard.html
/data/data/####/Cash.css
/data/data/####/Cash.html
/data/data/####/CashWithdrawal.css
/data/data/####/CashWithdrawal.html
/data/data/####/ChangePassword.css
/data/data/####/Choice.css
/data/data/####/Choice.html
/data/data/####/EMedia_x1v1.js
/data/data/####/Fans.html
/data/data/####/FirstCharge.css
/data/data/####/FirstCharge.html
/data/data/####/ForgetPassword.css
/data/data/####/ForgetPassword.html
/data/data/####/Friends.html
/data/data/####/From-Auto.html
/data/data/####/H5E71CBDC.xml
/data/data/####/H5E71CBDC_storages.xml
/data/data/####/HeadPortrait.html
/data/data/####/IRdetails.css
/data/data/####/IRdetails.html
/data/data/####/IncomeRecord.html
/data/data/####/Invitation.css
/data/data/####/Invitation.html
/data/data/####/LB.png
/data/data/####/LookWhole.html
/data/data/####/MemberRecharge.css
/data/data/####/MemberRecharge.html
/data/data/####/Myaccount.html
/data/data/####/NO1.png
/data/data/####/NO2.png
/data/data/####/NO3.png
/data/data/####/Nearby.css
/data/data/####/Nearby.html
/data/data/####/PersonalVideo.html
/data/data/####/PresentationRecord.html
/data/data/####/Prize.css
/data/data/####/ProfitDetails.html
/data/data/####/Ranking.css
/data/data/####/Ranking.html
/data/data/####/Ranking.png
/data/data/####/Recharge.css
/data/data/####/Recharge.html
/data/data/####/RechargeAgreement.html
/data/data/####/Record.html
/data/data/####/SUSuccess.html
/data/data/####/Settings.html
/data/data/####/SignUp.html
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a.jpg
/data/data/####/a.png
/data/data/####/a1.png
/data/data/####/a2.png
/data/data/####/a3.png
/data/data/####/a4.png
/data/data/####/adapter.js
/data/data/####/add.png
/data/data/####/addBnkCard.css
/data/data/####/addBnkCard.html
/data/data/####/addFined.css
/data/data/####/addFined.html
/data/data/####/address.png
/data/data/####/address1.png
/data/data/####/animate.css
/data/data/####/api.js
/data/data/####/arttmpl.js
/data/data/####/assets.dwstatic.com.js
/data/data/####/audio.css
/data/data/####/audio.js
/data/data/####/authStatus_com.mili.H5E71CBDC.xml
/data/data/####/b.jpg
/data/data/####/b.png
/data/data/####/b1.png
/data/data/####/b2.png
/data/data/####/b3.png
/data/data/####/baoming.css
/data/data/####/bg.jpg
/data/data/####/bg.png
/data/data/####/bg2.png
/data/data/####/bg3.png
/data/data/####/bg4.jpg
/data/data/####/bg5.png
/data/data/####/bg6.png
/data/data/####/bg7.png
/data/data/####/bootstrap.min.css
/data/data/####/bootstrap.min.js
/data/data/####/boy.png
/data/data/####/c.jpg
/data/data/####/c.png
/data/data/####/c1.png
/data/data/####/c2.png
/data/data/####/c3.png
/data/data/####/card.html
/data/data/####/card2.html
/data/data/####/card2.js
/data/data/####/card3.html
/data/data/####/card3.js
/data/data/####/card4.html
/data/data/####/card4.js
/data/data/####/card5.html
/data/data/####/card5.js
/data/data/####/cardBG.png
/data/data/####/cardUrl.js
/data/data/####/ceshi.js
/data/data/####/chat.css
/data/data/####/chat.js
/data/data/####/chatroom.css
/data/data/####/chatroom.html
/data/data/####/chatroomClassify.css
/data/data/####/chatroomClassify.html
/data/data/####/chatroomClassify2.html
/data/data/####/chatroomindex.css
/data/data/####/chatroomindex.html
/data/data/####/ckin.css
/data/data/####/ckin.eot
/data/data/####/ckin.js
/data/data/####/ckin.min.css
/data/data/####/ckin.min.js
/data/data/####/ckin.svg
/data/data/####/ckin.ttf
/data/data/####/ckin.woff
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/comment.css
/data/data/####/comment.html
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/cover.png
/data/data/####/cropper.css
/data/data/####/cropper.js
/data/data/####/cropper.min.css
/data/data/####/cropper.min.js
/data/data/####/d.jpg
/data/data/####/d1.png
/data/data/####/d2.png
/data/data/####/danliao.html
/data/data/####/data.html
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dc_ad_type_key.xml
/data/data/####/ddfullscreenslider.css
/data/data/####/ddfullscreenslider.js
/data/data/####/ddfullscreenslider1.js
/data/data/####/delete.png
/data/data/####/demo.js
/data/data/####/downloader.js
/data/data/####/duihuan.png
/data/data/####/dynamic.css
/data/data/####/dynamic.html
/data/data/####/e.png
/data/data/####/eje3cnc
/data/data/####/error.png
/data/data/####/expenditure.html
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/follow.css
/data/data/####/followUser.css
/data/data/####/followUser.html
/data/data/####/fontSize.js
/data/data/####/gdaemon_20161017
/data/data/####/gengxin.png
/data/data/####/getui_sp.xml
/data/data/####/girl.png
/data/data/####/glyphicons-halflings-regular.eot
/data/data/####/glyphicons-halflings-regular.svg
/data/data/####/glyphicons-halflings-regular.ttf
/data/data/####/glyphicons-halflings-regular.woff
/data/data/####/glyphicons-halflings-regular.woff2
/data/data/####/goddess.html
/data/data/####/goddessindex.html
/data/data/####/group-detailed.css
/data/data/####/group-detailed.html
/data/data/####/group.css
/data/data/####/group.html
/data/data/####/guanbi.png
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/headPortrait.js
/data/data/####/hide.js
/data/data/####/home.html
/data/data/####/howler.core.min.js
/data/data/####/html5Geo.xml
/data/data/####/huanxin.js
/data/data/####/ico_checkon.svg
/data/data/####/icon-liwu.png
/data/data/####/icon-play.png
/data/data/####/icon-spth.png
/data/data/####/icon-thtp.png
/data/data/####/icon-videobackground.png
/data/data/####/icon.png
/data/data/####/icon.svg
/data/data/####/icon__add-friend.png
/data/data/####/icon__add.png
/data/data/####/icon__addrFriend-img01.jpg
/data/data/####/icon__addrFriend-img02.jpg
/data/data/####/icon__back-gray.png
/data/data/####/icon__back-white.png
/data/data/####/icon__chat-copy.png
/data/data/####/icon__chat-del.png
/data/data/####/icon__chat-revoke.png
/data/data/####/icon__chat-save.png
/data/data/####/icon__choose-bp.png
/data/data/####/icon__choose-sp.png
/data/data/####/icon__choose-spth.png
/data/data/####/icon__choose-wj.png
/data/data/####/icon__choose-yyth.png
/data/data/####/icon__choose-zp.png
/data/data/####/icon__choose.png
/data/data/####/icon__close-gray.png
/data/data/####/icon__close-white.png
/data/data/####/icon__comment.png
/data/data/####/icon__dot.png
/data/data/####/icon__emotion-del.png
/data/data/####/icon__emotion-set.png
/data/data/####/icon__emotion.png
/data/data/####/icon__help.png
/data/data/####/icon__keyboard-del.png
/data/data/####/icon__keyboard-xclose.png
/data/data/####/icon__qun-chat.png
/data/data/####/icon__sear.png
/data/data/####/icon__user.png
/data/data/####/icon__users.png
/data/data/####/icon__wcZone-cmt-white.png
/data/data/####/icon__wcZone-cmts.png
/data/data/####/icon__wcZone-like-white.png
/data/data/####/icon_true.svg
/data/data/####/iconfont.css
/data/data/####/iconfont.ttf
/data/data/####/image.js
/data/data/####/immersed.js
/data/data/####/income.html
/data/data/####/index
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/index.js
/data/data/####/indexdynamic.html
/data/data/####/info.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/invite.html
/data/data/####/jinmai.png
/data/data/####/jinyi.png
/data/data/####/jquery-1.11.0.min.js
/data/data/####/jquery-1.11.3.min.js
/data/data/####/jquery-1.9.1.min.js
/data/data/####/jquery.flexText.js
/data/data/####/jquery.fly.min.js
/data/data/####/jquery.min.js
/data/data/####/jquery.mousewheel.min.js
/data/data/####/jquery.qrcode.js
/data/data/####/jquery.qrcode.min.js
/data/data/####/json2.js
/data/data/####/layout.css
/data/data/####/lb1.png
/data/data/####/lb2.png
/data/data/####/lb3.png
/data/data/####/libcuid.so
/data/data/####/libjiagu-696985638.so
/data/data/####/live.png
/data/data/####/live2.png
/data/data/####/liwu.png
/data/data/####/loaders.css
/data/data/####/loading.png
/data/data/####/loading2.gif
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/login.js
/data/data/####/logo.png
/data/data/####/mai.png
/data/data/####/main.css
/data/data/####/main.js
/data/data/####/manifest.json
/data/data/####/meilizhi.css
/data/data/####/meilizhi.html
/data/data/####/menu.png
/data/data/####/mescroll-totop.png
/data/data/####/mescroll.min.css
/data/data/####/mescroll.min.js
/data/data/####/message.png
/data/data/####/mi.png
/data/data/####/mo.png
/data/data/####/msg.css
/data/data/####/msg.js
/data/data/####/mui.css
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/my.previewimage.css
/data/data/####/myTit.js
/data/data/####/mydynamic.html
/data/data/####/newMessage.js
/data/data/####/news.html
/data/data/####/next.png
/data/data/####/noble.html
/data/data/####/ns.png
/data/data/####/null.png
/data/data/####/owl.carousel.scss
/data/data/####/pause.png
/data/data/####/pdr.xml
/data/data/####/personage.css
/data/data/####/personage.html
/data/data/####/pinyin.js
/data/data/####/play.png
/data/data/####/poster.html
/data/data/####/prev.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qrcode.js
/data/data/####/qunit.css
/data/data/####/qunit.js
/data/data/####/qunliao.html
/data/data/####/r1.png
/data/data/####/r2.png
/data/data/####/r3.png
/data/data/####/recentVisit.html
/data/data/####/register.css
/data/data/####/register.html
/data/data/####/reset.css
/data/data/####/ring.mp3
/data/data/####/roomBG.png
/data/data/####/run.pid
/data/data/####/share.png
/data/data/####/shyi.png
/data/data/####/sousuo.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/strophe-1.2.8.min.js
/data/data/####/success.png
/data/data/####/svga.min.js
/data/data/####/swiper-3.4.1.min.css
/data/data/####/swiper-3.4.1.min.js
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/test_app
/data/data/####/tianjiahaoyou.png
/data/data/####/tishi.png
/data/data/####/touxiang.png
/data/data/####/updatabg.html
/data/data/####/update.js
/data/data/####/updatevideo.html
/data/data/####/url.js
/data/data/####/userinfo.css
/data/data/####/userinfos.css
/data/data/####/userinfos.html
/data/data/####/userinfos.js
/data/data/####/utf.js
/data/data/####/util.js
/data/data/####/v1.png
/data/data/####/video-js.min.css
/data/data/####/video.min.js
/data/data/####/videoAudio.css
/data/data/####/videoAudio.js
/data/data/####/videos.html
/data/data/####/vipRecharge.html
/data/data/####/volume.png
/data/data/####/wcKeyBoard.js
/data/data/####/wcPop.css
/data/data/####/wcPop.js
/data/data/####/webim.config.js
/data/data/####/webrtc-1.4.12.js
/data/data/####/websdk-1.4.12.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal (deleted)
/data/data/####/webview_embed.html
/data/data/####/weix.png
/data/data/####/weui.css
/data/data/####/weui.min.js
/data/data/####/xiaoli.png
/data/data/####/xiaoxi.png
/data/data/####/xinchao.jpg
/data/data/####/xitong.html
/data/data/####/xun.png
/data/data/####/yibaoming.html
/data/data/####/yuyin.png
/data/data/####/yuyin1.png
/data/data/####/zepto.min.js
/data/data/####/zhifubao.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mili.H5E71CBDC.bin
/data/media/####/com.mili.H5E71CBDC.db
/data/media/####/data.json
/data/media/####/test.log
/data/media/####/tid.txt

Miscellaneous:

Executes the following shell scripts:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24404 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24404 300 0

Loads the following dynamic libraries:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu-696985638

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding

Accesses the ITelephony private interface.

Uses special library to hide executable bytecode.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial