Adware.Gexin.12355

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.3.origin

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) 27.1####.66.243:81
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) 1.2####.19.56:82
TCP(HTTP/1.1) 1.2####.19.56:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) 1.2####.19.65:81
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) 1####.7.32.87:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

DNS requests:

c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

HTTP GET requests:

qin####.com.www.####.com/tdata_EDT356
t####.c####.q####.####.com/config/hz-hzv6.conf

HTTP POST requests:

c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

File system changes:

Creates the following files:

/data/data/####/._chat_code_room2.html
/data/data/####/._expert_forum_sub.html
/data/data/####/._expert_interface_heart_detail_sub.html
/data/data/####/._forget_password.html
/data/data/####/._forget_password_validate.html
/data/data/####/._guide_pic.html
/data/data/####/._hearts_list_sub.html
/data/data/####/._index.html
/data/data/####/._login.html
/data/data/####/._manifest.json
/data/data/####/._menu.html
/data/data/####/._modify_password.html
/data/data/####/._query_helper_condition.html
/data/data/####/._register.html
/data/data/####/._register_validate.html
/data/data/####/._renrenliao_sub.html
/data/data/####/._reset_password.html
/data/data/####/._update.xml
/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/0000000000000001.db
/data/data/####/0000000000000001.db-journal
/data/data/####/1.jpg
/data/data/####/10.jpg
/data/data/####/11.jpg
/data/data/####/12.jpg
/data/data/####/123.jpg
/data/data/####/13.jpg
/data/data/####/14.jpg
/data/data/####/2.jpg
/data/data/####/3.jpg
/data/data/####/4.jpg
/data/data/####/456.jpg
/data/data/####/5.jpg
/data/data/####/6.jpg
/data/data/####/7.jpg
/data/data/####/8.jpg
/data/data/####/9.jpg
/data/data/####/ApplicationCache.db-journal
/data/data/####/Databases.db-journal
/data/data/####/H5E146104.xml
/data/data/####/H5E146104_download_dcloud.xml
/data/data/####/LTUnivers-BasicBold.otf
/data/data/####/MultiDex.lock
/data/data/####/RongEmoji-2.2.4.min.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/a1.png
/data/data/####/a2.png
/data/data/####/a3.png
/data/data/####/a4.png
/data/data/####/a5.png
/data/data/####/a6.png
/data/data/####/a7.png
/data/data/####/a8.png
/data/data/####/about.html
/data/data/####/activity_invite.html
/data/data/####/activity_invite_count_record.html
/data/data/####/activity_invite_money_record.html
/data/data/####/activity_invite_money_withdraw.html
/data/data/####/activity_invite_money_withdraw_detail.html
/data/data/####/activity_invite_record.html
/data/data/####/ad.html
/data/data/####/ad13ba012183
/data/data/####/adPlatform.html
/data/data/####/ad_wv.html
/data/data/####/add.png
/data/data/####/ads.js
/data/data/####/almanac.html
/data/data/####/app_recommend.html
/data/data/####/apps.js
/data/data/####/arttmpl.js
/data/data/####/b1.png
/data/data/####/b10.png
/data/data/####/b11.png
/data/data/####/b12.png
/data/data/####/b2.png
/data/data/####/b3.png
/data/data/####/b4.png
/data/data/####/b5.png
/data/data/####/b6.png
/data/data/####/b7.png
/data/data/####/b8.png
/data/data/####/b9.png
/data/data/####/base64.js
/data/data/####/bg1.jpg
/data/data/####/bind_invitees.html
/data/data/####/blackbg.png
/data/data/####/blueball.png
/data/data/####/blueball1.png
/data/data/####/bose_normal.png
/data/data/####/bose_select.png
/data/data/####/cai_normal.png
/data/data/####/cai_selected.png
/data/data/####/calendar.css
/data/data/####/calendar.html
/data/data/####/calendar.js
/data/data/####/cell_festival_red.png
/data/data/####/cell_normal_yellow.png
/data/data/####/chat_code_room.html
/data/data/####/chat_code_room2.html
/data/data/####/chat_hongbao.html
/data/data/####/chat_hongbao.png
/data/data/####/chat_hongbao0.png
/data/data/####/chat_hongbao1.png
/data/data/####/chat_hongbao2.png
/data/data/####/chat_hongbao_release.html
/data/data/####/clientid_igexin.xml
/data/data/####/close.png
/data/data/####/coin_record.html
/data/data/####/com.png
/data/data/####/common.js
/data/data/####/daxiao_normal.png
/data/data/####/daxiao_select.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/default.png
/data/data/####/disclaimer.html
/data/data/####/echarts.min.js
/data/data/####/edit1.png
/data/data/####/eje3cnc
/data/data/####/emojiFactory.js
/data/data/####/encryption.js
/data/data/####/end.mp3
/data/data/####/envelope_record.html
/data/data/####/exchange_colormoney.html
/data/data/####/exchange_edit.html
/data/data/####/exchange_mall.html
/data/data/####/exchange_prize.html
/data/data/####/exchange_records.html
/data/data/####/expert_forum.html
/data/data/####/expert_forum_detail.html
/data/data/####/expert_forum_history.html
/data/data/####/expert_forum_history_detail.html
/data/data/####/expert_forum_history_sub.html
/data/data/####/expert_forum_search.html
/data/data/####/expert_forum_search_sub.html
/data/data/####/expert_forum_sub.html
/data/data/####/expert_interface.html
/data/data/####/expert_interface_heart_detail.html
/data/data/####/expert_interface_heart_detail_sub.html
/data/data/####/expert_interface_sub.html
/data/data/####/experts_concerned.html
/data/data/####/experts_pass.html
/data/data/####/experts_pass_sub.html
/data/data/####/experts_search.html
/data/data/####/experts_search_sub.html
/data/data/####/fahongbao.png
/data/data/####/faq.html
/data/data/####/feedback.html
/data/data/####/file__0.localstorage-journal
/data/data/####/forget_password.html
/data/data/####/forget_password_validate.html
/data/data/####/formula.css
/data/data/####/formula.html
/data/data/####/formula_content.html
/data/data/####/formula_sub.html
/data/data/####/fresh.gif
/data/data/####/gallery.html
/data/data/####/gallery_self.html
/data/data/####/gallery_self_item_list.html
/data/data/####/gallery_self_item_list_item.html
/data/data/####/gallery_self_item_list_sub.html
/data/data/####/gallery_wv.html
/data/data/####/game1.png
/data/data/####/game_list.html
/data/data/####/game_turntable.html
/data/data/####/game_yaoyiyao.html
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gif-6-2.png
/data/data/####/gif-6-3.png
/data/data/####/gif-6-4.png
/data/data/####/gif-6-5.png
/data/data/####/gif-6-6.png
/data/data/####/gif-6-7.png
/data/data/####/gif-6-8.png
/data/data/####/gold.mp3
/data/data/####/greenball.png
/data/data/####/greenball1.png
/data/data/####/guide_pic.html
/data/data/####/gx_sp.xml
/data/data/####/handlebars-v4.0.5.js
/data/data/####/haoma_normal.png
/data/data/####/haoma_select.png
/data/data/####/hb.jpg
/data/data/####/heart_detail.html
/data/data/####/hearts_list.html
/data/data/####/hearts_list_sub.html
/data/data/####/hearts_published.html
/data/data/####/hearts_viewed.html
/data/data/####/help_center.html
/data/data/####/hgtx.png
/data/data/####/hong.mp3
/data/data/####/hongbao1.png
/data/data/####/hongbao2.png
/data/data/####/hongbao3.png
/data/data/####/hongbao4.png
/data/data/####/html5Geo.xml
/data/data/####/ic_more.png
/data/data/####/iconfont.ttf
/data/data/####/iconfont2.ttf
/data/data/####/iconfont3.ttf
/data/data/####/img_loading.gif
/data/data/####/immersed.js
/data/data/####/index.html
/data/data/####/info.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/interact.html
/data/data/####/interact_list.html
/data/data/####/interact_sub.html
/data/data/####/invited_people.html
/data/data/####/ipad_bg1.jpg
/data/data/####/jinbi.png
/data/data/####/jquery.min.js
/data/data/####/k1.png
/data/data/####/kefu.png
/data/data/####/laba.png
/data/data/####/lan.mp3
/data/data/####/launch_choose.html
/data/data/####/launch_common.html
/data/data/####/launch_expert.html
/data/data/####/lazyimg.js
/data/data/####/left.png
/data/data/####/libjiagu282722243.so
/data/data/####/like.png
/data/data/####/like1.png
/data/data/####/like2.png
/data/data/####/like3.png
/data/data/####/like4.png
/data/data/####/load_url.html
/data/data/####/login.html
/data/data/####/logo.png
/data/data/####/look.png
/data/data/####/lotteryList.html
/data/data/####/lotteryList_sub.html
/data/data/####/lottery_bjkl8_detail.html
/data/data/####/lottery_bjkl8_detail_sub.html
/data/data/####/lottery_detail.html
/data/data/####/lottery_detail_sub.html
/data/data/####/lottery_gd11x5_detail.html
/data/data/####/lottery_gd11x5_detail_sub.html
/data/data/####/lottery_gdklsf_detail.html
/data/data/####/lottery_gdklsf_detail_sub.html
/data/data/####/lottery_jsk3_detail.html
/data/data/####/lottery_jsk3_detail_sub.html
/data/data/####/lottery_pcdd_detail.html
/data/data/####/lottery_pcdd_detail_sub.html
/data/data/####/lottery_ssc_detail.html
/data/data/####/lottery_ssc_detail_sub.html
/data/data/####/lv.mp3
/data/data/####/manifest.json
/data/data/####/menu.html
/data/data/####/menu_normal.png
/data/data/####/menu_select.png
/data/data/####/modify_bank.html
/data/data/####/modify_name.html
/data/data/####/modify_password.html
/data/data/####/modify_secure_code.html
/data/data/####/modify_secure_code_first.html
/data/data/####/moneybg.png
/data/data/####/more.html
/data/data/####/more_normal.png
/data/data/####/more_select.png
/data/data/####/mores_normal.png
/data/data/####/mores_select.png
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.mins.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/mystery.html
/data/data/####/mystery1.html
/data/data/####/mystery2.html
/data/data/####/mystery_content.html
/data/data/####/mystery_sub.html
/data/data/####/mystery_year.html
/data/data/####/mystery_year_sub.html
/data/data/####/num1.mp3
/data/data/####/num2.mp3
/data/data/####/num3.mp3
/data/data/####/num4.mp3
/data/data/####/num5.mp3
/data/data/####/num6.mp3
/data/data/####/num7.mp3
/data/data/####/paihang1.png
/data/data/####/pdr.xml
/data/data/####/personal_information.html
/data/data/####/phone.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwd.png
/data/data/####/query_ballot_date.html
/data/data/####/query_helper_common_sense.html
/data/data/####/query_helper_condition.html
/data/data/####/query_helper_hc_numbers.html
/data/data/####/query_helper_list.html
/data/data/####/query_helper_lottery.html
/data/data/####/rank.html
/data/data/####/rank1.png
/data/data/####/rank2.png
/data/data/####/rank3.png
/data/data/####/rank_rewards.html
/data/data/####/rank_rewards_sub.html
/data/data/####/rank_sub.html
/data/data/####/red_envelopes.html
/data/data/####/redball.png
/data/data/####/redball1.png
/data/data/####/redbg.png
/data/data/####/redpot.png
/data/data/####/register.html
/data/data/####/register_validate.html
/data/data/####/reload.png
/data/data/####/renrenliao.html
/data/data/####/renrenliao_past_heart_detail.html
/data/data/####/renrenliao_sub.html
/data/data/####/reset_password.html
/data/data/####/reward_money.html
/data/data/####/right.png
/data/data/####/rightrow.png
/data/data/####/rong_im_lib-2.2.3.min.js
/data/data/####/run.pid
/data/data/####/search1.png
/data/data/####/setting.ttf
/data/data/####/shake.wav
/data/data/####/shakedown.png
/data/data/####/shakeup.png
/data/data/####/shengxiao_normal.png
/data/data/####/shengxiao_select.png
/data/data/####/shxiaogou.mp3
/data/data/####/shxiaohou.mp3
/data/data/####/shxiaohu.mp3
/data/data/####/shxiaoji.mp3
/data/data/####/shxiaolong.mp3
/data/data/####/shxiaoma.mp3
/data/data/####/shxiaoniu.mp3
/data/data/####/shxiaoshe.mp3
/data/data/####/shxiaoshu.mp3
/data/data/####/shxiaotu.mp3
/data/data/####/shxiaoyang.mp3
/data/data/####/shxiaozhu.mp3
/data/data/####/sound.png
/data/data/####/sound.ttf
/data/data/####/sound01.mp3
/data/data/####/sound02.mp3
/data/data/####/sound03.mp3
/data/data/####/sound04.mp3
/data/data/####/sound05.mp3
/data/data/####/sound06.mp3
/data/data/####/sound07.mp3
/data/data/####/sound08.mp3
/data/data/####/sound09.mp3
/data/data/####/sound1.wav
/data/data/####/sound10.mp3
/data/data/####/sound11.mp3
/data/data/####/sound12.mp3
/data/data/####/sound13.mp3
/data/data/####/sound14.mp3
/data/data/####/sound15.mp3
/data/data/####/sound16.mp3
/data/data/####/sound17.mp3
/data/data/####/sound18.mp3
/data/data/####/sound19.mp3
/data/data/####/sound20.mp3
/data/data/####/sound21.mp3
/data/data/####/sound22.mp3
/data/data/####/sound23.mp3
/data/data/####/sound24.mp3
/data/data/####/sound25.mp3
/data/data/####/sound26.mp3
/data/data/####/sound27.mp3
/data/data/####/sound28.mp3
/data/data/####/sound29.mp3
/data/data/####/sound30.mp3
/data/data/####/sound31.mp3
/data/data/####/sound32.mp3
/data/data/####/sound33.mp3
/data/data/####/sound34.mp3
/data/data/####/sound35.mp3
/data/data/####/sound36.mp3
/data/data/####/sound37.mp3
/data/data/####/sound38.mp3
/data/data/####/sound39.mp3
/data/data/####/sound40.mp3
/data/data/####/sound41.mp3
/data/data/####/sound42.mp3
/data/data/####/sound43.mp3
/data/data/####/sound44.mp3
/data/data/####/sound45.mp3
/data/data/####/sound46.mp3
/data/data/####/sound47.mp3
/data/data/####/sound48.mp3
/data/data/####/sound49.mp3
/data/data/####/start.mp3
/data/data/####/start_cj.png
/data/data/####/start_statistics_data.xml
/data/data/####/station.html
/data/data/####/station_news.html
/data/data/####/station_news_sub.html
/data/data/####/stream_permission.xml
/data/data/####/switch_push.html
/data/data/####/test_app
/data/data/####/textbg.png
/data/data/####/touxiang.png
/data/data/####/touxiang4.png
/data/data/####/update.xml
/data/data/####/user.png
/data/data/####/waiting.png
/data/data/####/waiting1.png
/data/data/####/website_kefu.html
/data/data/####/websql.js
/data/data/####/websql2.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wenhao.png
/data/data/####/whitebg.png
/data/data/####/write.png
/data/data/####/yanzhengma.png
/data/data/####/yaoqingma.png
/data/data/####/yuan.png
/data/data/####/yuan1.png
/data/data/####/yuan2.png
/data/data/####/zan.png
/data/data/####/zhuanchu.wav
/data/data/####/zhuanjialuntang.png
/data/data/####/zhuanjiatag.png
/data/data/####/zhuanjiatag2.png
/data/data/####/zhuanpan.mp3
/data/data/####/zhuanpan.png
/data/data/####/zone.html
/data/data/####/zone_normal.png
/data/data/####/zone_select.png
/data/data/####/zpbg.png
/data/media/####/.imei.txt
/data/media/####/1504022801385.jpg
/data/media/####/1524558238967.jpg
/data/media/####/1553359930606.jpg
/data/media/####/400-401.wgtu
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.xrossover.liuhePush.bin
/data/media/####/com.xrossover.liuhePush.db
/data/media/####/dt181555434348247.download
/data/media/####/dt241555434347042.download
/data/media/####/dt261555434348386.download
/data/media/####/dt281555434349645.download
/data/media/####/test.log

Miscellaneous:

Executes the following shell scripts:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25381 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25381 300 0

Loads the following dynamic libraries:

getuiext3
libjiagu282722243

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding

Accesses the ITelephony private interface.

Uses special library to hide executable bytecode.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical information

Curing recommendations

Free trial