Adware.Gexin.19877

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.3.origin

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) st####.dc####.net.cn:80
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5226

DNS requests:

c-h####.g####.com
cm-1####.ig####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn

HTTP GET requests:

q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm

HTTP POST requests:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
st####.dc####.net.cn/device/location

File system changes:

Creates the following files:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/H5FE7EE16.xml
/data/data/####/H5FE7EE16_storages.xml
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about.html
/data/data/####/account-info.html
/data/data/####/activity-detail.html
/data/data/####/activity-icon.png
/data/data/####/activity-list.html
/data/data/####/add-bankCard.html
/data/data/####/address-chose.html
/data/data/####/address-list.html
/data/data/####/app.js
/data/data/####/arrow.png
/data/data/####/avatar.jpg
/data/data/####/bankCard-list.html
/data/data/####/bbs-detail.html
/data/data/####/bbs-icon.png
/data/data/####/bbs-list.html
/data/data/####/bbs-pay-read.html
/data/data/####/bbs-pay-reward.html
/data/data/####/cash-apply.html
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/check.png
/data/data/####/checked.png
/data/data/####/clientid_igexin.xml
/data/data/####/common.css
/data/data/####/cookie.js
/data/data/####/customer.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/default.png
/data/data/####/default_old.png
/data/data/####/edit-address.html
/data/data/####/edit-name.html
/data/data/####/eje3cnc
/data/data/####/employee-detail.html
/data/data/####/employee-status-list.html
/data/data/####/eqpt-icon.png
/data/data/####/eqpt-icon2.png
/data/data/####/eqpt-mt-icon.png
/data/data/####/eqpt-repair-icon.png
/data/data/####/eqpt-test-icon.png
/data/data/####/evaluate-details_.html
/data/data/####/evaluate-list.html
/data/data/####/fb_1.png
/data/data/####/fb_2.png
/data/data/####/fb_3.png
/data/data/####/fb_4.png
/data/data/####/form.validate.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/grsz.png
/data/data/####/guide.html
/data/data/####/guide1.png
/data/data/####/guide2.png
/data/data/####/guide3.png
/data/data/####/gx_sp.xml
/data/data/####/home-icon.png
/data/data/####/home-icon2.png
/data/data/####/hospital-details.html
/data/data/####/hospital-list.html
/data/data/####/html5Geo.xml
/data/data/####/ico2_01.png
/data/data/####/icon-by-1.png
/data/data/####/icon-by-2.png
/data/data/####/icon-del.png
/data/data/####/icon-sc-1.png
/data/data/####/icon-work_type_0.png
/data/data/####/icon-work_type_1.png
/data/data/####/icon-work_type_2.png
/data/data/####/icon-wx-1.png
/data/data/####/icon-wx-2.png
/data/data/####/icon-xj-1.png
/data/data/####/icon-xj-2.png
/data/data/####/icon_add.png
/data/data/####/icon_minus.png
/data/data/####/icon_pay_wx.png
/data/data/####/icon_pay_zfb.png
/data/data/####/icon_search.png
/data/data/####/icon_select.png
/data/data/####/iconfont.css
/data/data/####/iconfont.js
/data/data/####/iconfont.ttf
/data/data/####/income1.html
/data/data/####/income2.html
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jquery-1.9.1.js
/data/data/####/jquery.countdown.css
/data/data/####/jquery.countdown.min.js
/data/data/####/jquery.countdown_old.min.js
/data/data/####/kefu.png
/data/data/####/khgl.png
/data/data/####/kit_time.png
/data/data/####/kit_time_submit.png
/data/data/####/libjiagu-1323355808.so
/data/data/####/location.png
/data/data/####/login-bg.png
/data/data/####/login-bg_x.png
/data/data/####/login.html
/data/data/####/logo-wr.jpg
/data/data/####/logo.png
/data/data/####/lxkf.png
/data/data/####/main-v2.html
/data/data/####/main.html
/data/data/####/mall-details.html
/data/data/####/mall-list.html
/data/data/####/mall-shop.html
/data/data/####/manifest.json
/data/data/####/map_.html
/data/data/####/message.png
/data/data/####/more.html
/data/data/####/mr.png
/data/data/####/msg-detail.html
/data/data/####/msg-icon.png
/data/data/####/msg-icon2.png
/data/data/####/mui.dtpicker.css
/data/data/####/mui.dtpicker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.min.js.3.3.0
/data/data/####/mui.min.js2.5.0
/data/data/####/mui.picker.css
/data/data/####/mui.picker.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage2.js
/data/data/####/mui.ttf
/data/data/####/mui.zoom2.js
/data/data/####/multidex.version.xml
/data/data/####/my-icon.png
/data/data/####/my-icon2.png
/data/data/####/my-publick.css
/data/data/####/nav-wx-check-machine_list.html
/data/data/####/nav-yx-check-machine_list.html
/data/data/####/no_kit.png
/data/data/####/nopic.png
/data/data/####/parts-buy.html
/data/data/####/parts-detail.html
/data/data/####/parts-list.html
/data/data/####/parts-mall-icon.png
/data/data/####/pdr.xml
/data/data/####/personal-agreement.html
/data/data/####/personal-authentication.html
/data/data/####/personal-settings.html
/data/data/####/photo.png
/data/data/####/pj-gray.png
/data/data/####/pj-yellow.png
/data/data/####/plus.png
/data/data/####/previewimage.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pwd-icon.png
/data/data/####/radio.png
/data/data/####/run.pid
/data/data/####/saomiao.png
/data/data/####/select-icon1.png
/data/data/####/select_arrow.png
/data/data/####/selected.png
/data/data/####/seller-partsOrders-details.html
/data/data/####/seller-partsOrders-list.html
/data/data/####/seller-send-details.html
/data/data/####/service.html
/data/data/####/setpass.html
/data/data/####/sha256.js
/data/data/####/shop.png
/data/data/####/shoudong.png
/data/data/####/star0.00.png
/data/data/####/star0.png
/data/data/####/star1.png
/data/data/####/star2.png
/data/data/####/star3.png
/data/data/####/star4.png
/data/data/####/star5.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/tab-home.html
/data/data/####/tab-msg.html
/data/data/####/tab-my.html
/data/data/####/test_app
/data/data/####/umeng_general_config.xml
/data/data/####/unselected.png
/data/data/####/update.js
/data/data/####/user-icon.png
/data/data/####/wait0.jpg
/data/data/####/wddp.png
/data/data/####/wdpj.png
/data/data/####/wdpjdd.png
/data/data/####/wdsb.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/weit.png
/data/data/####/work-desk.png
/data/data/####/work.png
/data/data/####/wx-advice.html
/data/data/####/wx-agreement.html
/data/data/####/wx-authentication.html
/data/data/####/wx-check-machine_list.html
/data/data/####/wx-check-scan.html
/data/data/####/wx-eqpt-details-over.html
/data/data/####/wx-eqpt-details-scan.html
/data/data/####/wx-eqpt-details-waiting.html
/data/data/####/wx-eqpt-details.html
/data/data/####/wx-eqpt-repair.html
/data/data/####/wx-eqpt-search.html
/data/data/####/wx-mt-accepting.html
/data/data/####/wx-mt-attorn-apply.html
/data/data/####/wx-mt-attorn-new.html
/data/data/####/wx-mt-complete.html
/data/data/####/wx-mt-droporder.html
/data/data/####/wx-mt-list.html
/data/data/####/wx-mt-mting.html
/data/data/####/wx-mt-parts.html
/data/data/####/wx-mt-receiving.html
/data/data/####/wx-mt-refused.html
/data/data/####/wx-repair-accepting.html
/data/data/####/wx-repair-attorn-apply.html
/data/data/####/wx-repair-attorn__.html
/data/data/####/wx-repair-complete.html
/data/data/####/wx-repair-droporder.html
/data/data/####/wx-repair-fixed-attotn.html
/data/data/####/wx-repair-fixed-reason.html
/data/data/####/wx-repair-fixed.html
/data/data/####/wx-repair-maintaining.html
/data/data/####/wx-repair-parts.html
/data/data/####/wx-repair-receiving.html
/data/data/####/wx-repair-refused.html
/data/data/####/wx-repair-repairing.html
/data/data/####/wx-tab-eqpt-search-wei.html
/data/data/####/wx-tab-eqpt-search.html
/data/data/####/wx-tab-eqpt.html
/data/data/####/wx.png
/data/data/####/wxjl.png
/data/data/####/ygzt.png
/data/data/####/yixiuku_icon.png
/data/data/####/yixiuku_icon_w48.png
/data/data/####/yixiuku_logo.png
/data/data/####/yx-agreement.html
/data/data/####/yx-authentication.html
/data/data/####/yx-check-machine_list.html
/data/data/####/yx-eqpt-abd-reason.html
/data/data/####/yx-eqpt-abd.html
/data/data/####/yx-eqpt-add.html
/data/data/####/yx-eqpt-apply.html
/data/data/####/yx-eqpt-buying.html
/data/data/####/yx-eqpt-cba.html
/data/data/####/yx-eqpt-check.html
/data/data/####/yx-eqpt-department.html
/data/data/####/yx-eqpt-details-waiting.html
/data/data/####/yx-eqpt-details.html
/data/data/####/yx-eqpt-drop.html
/data/data/####/yx-eqpt-edit.html
/data/data/####/yx-eqpt-open.html
/data/data/####/yx-eqpt-repair.html
/data/data/####/yx-mt-accepting.html
/data/data/####/yx-mt-add.html
/data/data/####/yx-mt-attorn-new.html
/data/data/####/yx-mt-check.html
/data/data/####/yx-mt-choose-new.html
/data/data/####/yx-mt-complete.html
/data/data/####/yx-mt-droporder-reason.html
/data/data/####/yx-mt-droporder.html
/data/data/####/yx-mt-issue.html
/data/data/####/yx-mt-list.html
/data/data/####/yx-mt-mting-new.html
/data/data/####/yx-mt-new-choose.html
/data/data/####/yx-mt-notes.html
/data/data/####/yx-mt-pay.html
/data/data/####/yx-mt-rate.html
/data/data/####/yx-mt-scan.html
/data/data/####/yx-mt-style.html
/data/data/####/yx-partsOrders-applyTh.html
/data/data/####/yx-partsOrders-details-dfk.html
/data/data/####/yx-partsOrders-details-dsh.html
/data/data/####/yx-partsOrders-details.html
/data/data/####/yx-partsOrders-list.html
/data/data/####/yx-partsOrders-pay.html
/data/data/####/yx-partsOrders-write-Thinfo.html
/data/data/####/yx-repair-accepting.html
/data/data/####/yx-repair-add-machine.html
/data/data/####/yx-repair-add.html
/data/data/####/yx-repair-appeal-reason.html
/data/data/####/yx-repair-appeal.html
/data/data/####/yx-repair-choose.html
/data/data/####/yx-repair-complete.html
/data/data/####/yx-repair-droporder-reason.html
/data/data/####/yx-repair-droporder.html
/data/data/####/yx-repair-fixed.html
/data/data/####/yx-repair-issue.html
/data/data/####/yx-repair-maintaining.html
/data/data/####/yx-repair-notes.html
/data/data/####/yx-repair-pay.html
/data/data/####/yx-repair-rate.html
/data/data/####/yx-repair-repairing.html
/data/data/####/yx-repair-reviewed.html
/data/data/####/yx-repair-scan.html
/data/data/####/yx-repair-style.html
/data/data/####/yx-tab-eqpt-add.html
/data/data/####/yx-tab-eqpt-search.html
/data/data/####/yx-tab-eqpt.html
/data/data/####/zfb.png
/data/data/####/zhxx.png
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.bjyixiu.android.bin
/data/media/####/com.bjyixiu.android.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log

Miscellaneous:

Executes the following shell scripts:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24920 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24920 300 0

Loads the following dynamic libraries:

getuiext2
libjiagu-1323355808

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding

Uses special library to hide executable bytecode.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical information

Curing recommendations

Free trial