Adware.Gexin.9921

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.3.origin

Accesses the ITelephony private interface.

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP(TLS/1.0) www.qianzho####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

DNS requests:

api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
loc.map.b####.com
o####.map.b####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.qianzho####.com

HTTP GET requests:

ti####.c####.l####.####.com/config/hz-hzv3.conf

HTTP POST requests:

c-h####.g####.com/api.php?format=####&t=####
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location

File system changes:

Creates the following files:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/FJL.css
/data/data/####/FJL.min.js
/data/data/####/FJL.picker.min.js
/data/data/####/H5694BE3E.xml
/data/data/####/H5694BE3E_storages.xml
/data/data/####/Inspection.css
/data/data/####/Inspection_page.css
/data/data/####/Instructions.css
/data/data/####/Listcustomer.css
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/about_us.html
/data/data/####/account_detail.html
/data/data/####/account_exchange.html
/data/data/####/account_information.html
/data/data/####/account_main.html
/data/data/####/add_contact_records.html
/data/data/####/add_home_register.html
/data/data/####/add_icon.png
/data/data/####/add_patrol.html
/data/data/####/add_project_register.html
/data/data/####/add_remark.html
/data/data/####/afterManage.html
/data/data/####/afterSaleDetail.css
/data/data/####/afterSaleDetail.html
/data/data/####/afterSaleInfo.html
/data/data/####/app-manager.js
/data/data/####/app.js
/data/data/####/apply.css
/data/data/####/apply.html
/data/data/####/assign_task_list.html
/data/data/####/async-picker.js
/data/data/####/authStatus_com.qianzhou.saas.xml
/data/data/####/authStatus_com.qianzhou.saas;remote.xml
/data/data/####/banner1.jpg
/data/data/####/banner2.jpg
/data/data/####/banner3.jpg
/data/data/####/barcode.html
/data/data/####/base1.css
/data/data/####/binding_customer.html
/data/data/####/blank.html
/data/data/####/bohui.png
/data/data/####/boss.png
/data/data/####/boss1.jpg
/data/data/####/boss2.jpg
/data/data/####/boss3.jpg
/data/data/####/boss4.jpg
/data/data/####/boss_complain.html
/data/data/####/boss_main.html
/data/data/####/boss_project.css
/data/data/####/boss_project.html
/data/data/####/boss_sale.css
/data/data/####/boss_sale.html
/data/data/####/buyer_approval_details.html
/data/data/####/buyer_approval_list.html
/data/data/####/camera-android.js
/data/data/####/change_password.html
/data/data/####/checkbox-helper.js
/data/data/####/circles.css
/data/data/####/clientid_igexin.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/communication.html
/data/data/####/complaint_feedback.html
/data/data/####/complete_task_list.html
/data/data/####/constructionprogress.html
/data/data/####/contact_record.html
/data/data/####/contract.css
/data/data/####/contract_approval_detail.html
/data/data/####/contract_approval_list.html
/data/data/####/contract_balance.html
/data/data/####/contract_entry.html
/data/data/####/contract_information.html
/data/data/####/contract_product_selection.html
/data/data/####/contractual_product.html
/data/data/####/customer-details.css
/data/data/####/customer-status.js
/data/data/####/customer_card.css
/data/data/####/customer_details.html
/data/data/####/customer_details.js
/data/data/####/customer_edit.html
/data/data/####/customer_entry.html
/data/data/####/customer_entry.js
/data/data/####/customer_followup.html
/data/data/####/customer_item.html
/data/data/####/customer_list.html
/data/data/####/customer_manage.html
/data/data/####/customer_manage.js
/data/data/####/customer_operation.html
/data/data/####/customer_operation.js
/data/data/####/customer_service.html
/data/data/####/data.city.js
/data/data/####/date-format.js
/data/data/####/date_detail.html
/data/data/####/dc_ad_type_key.xml
/data/data/####/deal.html
/data/data/####/deal_complete.html
/data/data/####/deliver_add.html
/data/data/####/deliver_details.html
/data/data/####/deliver_list.html
/data/data/####/delivery_details.html
/data/data/####/delivery_management.html
/data/data/####/delivery_process.html
/data/data/####/demo.html
/data/data/####/detail.css
/data/data/####/details.css
/data/data/####/details.html
/data/data/####/diary_date.html
/data/data/####/diary_detail.css
/data/data/####/diary_month.html
/data/data/####/diary_read.html
/data/data/####/diary_read111.html
/data/data/####/diary_visit.html
/data/data/####/diary_week.html
/data/data/####/diary_write.html
/data/data/####/dingwei.png
/data/data/####/djd.png
/data/data/####/dpg.png
/data/data/####/dwg.png
/data/data/####/easemob.im-1.0.5.js
/data/data/####/edit_customer.html
/data/data/####/eje3cnc
/data/data/####/evolution_detail.html
/data/data/####/evolution_list.html
/data/data/####/exif.js
/data/data/####/exif_demo.html
/data/data/####/fapiao.png
/data/data/####/feedback-page.css
/data/data/####/feedback-page.js
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/field-binder.js
/data/data/####/file.png
/data/data/####/file_system.html
/data/data/####/finance_management.html
/data/data/####/firll.dat
/data/data/####/folder.png
/data/data/####/forget_password.html
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/global.js
/data/data/####/gx_sp.xml
/data/data/####/home-operation.js
/data/data/####/home.css
/data/data/####/home.html
/data/data/####/home.js
/data/data/####/home_register_details.html
/data/data/####/home_register_list.html
/data/data/####/home_register_operation.html
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/html5Geo.xml
/data/data/####/iconfont-old.css
/data/data/####/iconfont-tianjia.png
/data/data/####/iconfont.css
/data/data/####/iconfont.js
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/iconfont.woff2
/data/data/####/information.html
/data/data/####/informationn.css
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/inventory_query.css
/data/data/####/inventory_query.html
/data/data/####/invoice_apply.html
/data/data/####/invoice_list.html
/data/data/####/iscroll.js
/data/data/####/jia.png
/data/data/####/jifen.jpg
/data/data/####/jquery-1.11.1.js
/data/data/####/jquery.area.js
/data/data/####/jquery.js
/data/data/####/jquery.min.js
/data/data/####/jquery1.8.3.min.js
/data/data/####/js-loader.js
/data/data/####/json2.js
/data/data/####/kuaisubaojia.png
/data/data/####/labor_cost_list.html
/data/data/####/libcuid.so
/data/data/####/libjiagu389994680.so
/data/data/####/link-share.js
/data/data/####/list-common.css
/data/data/####/list.css
/data/data/####/location.css
/data/data/####/location.js
/data/data/####/log_card.css
/data/data/####/log_date.css
/data/data/####/log_detail.html
/data/data/####/log_list.html
/data/data/####/log_list.js
/data/data/####/login.html
/data/data/####/main.css
/data/data/####/main.html
/data/data/####/main.js
/data/data/####/manifest-cdwy.json
/data/data/####/manifest-saas.json
/data/data/####/manifest.json
/data/data/####/map.html
/data/data/####/masterbed_room.css
/data/data/####/material_edit.html
/data/data/####/material_list.html
/data/data/####/material_select.html
/data/data/####/materiallist.css
/data/data/####/message.css
/data/data/####/message.html
/data/data/####/message.type-status.js
/data/data/####/message_list.html
/data/data/####/month_detail.html
/data/data/####/mui-icons-extra.ttf
/data/data/####/mui.dtpicker.css
/data/data/####/mui.enterfocus.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.listpicker.css
/data/data/####/mui.locker.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.all.css
/data/data/####/mui.picker.css
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.nolink.js
/data/data/####/mui.previewimage.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multi-uploader-submit.js
/data/data/####/multidex.version.xml
/data/data/####/my.css
/data/data/####/my.html
/data/data/####/myIcon.png
/data/data/####/my_bac.png
/data/data/####/my_bac1.png
/data/data/####/my_old.html
/data/data/####/my_outreach.html
/data/data/####/mymain.html
/data/data/####/myservice.css
/data/data/####/myservice.html
/data/data/####/myview_bac.png
/data/data/####/neibu.png
/data/data/####/new_outreach.html
/data/data/####/newinspection.css
/data/data/####/next-bac.png
/data/data/####/njs-io.js
/data/data/####/no_authority.png
/data/data/####/no_data.png
/data/data/####/noteinformation.css
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/order-approve.js
/data/data/####/order.html
/data/data/####/order_approval_details.html
/data/data/####/order_approval_list.html
/data/data/####/order_details.html
/data/data/####/order_list.css
/data/data/####/order_list.html
/data/data/####/order_main.html
/data/data/####/order_new.css
/data/data/####/order_new.html
/data/data/####/order_operation.html
/data/data/####/order_rebate.html
/data/data/####/order_select.html
/data/data/####/order_statistics.html
/data/data/####/outreach_detail.html
/data/data/####/packe.css
/data/data/####/packe.html
/data/data/####/paging-list.js
/data/data/####/patching.html
/data/data/####/patrol_list.html
/data/data/####/payment_approval_detail.html
/data/data/####/payment_approval_list.html
/data/data/####/payment_detail.html
/data/data/####/payment_list.html
/data/data/####/payment_log.css
/data/data/####/payment_log.html
/data/data/####/pdr.xml
/data/data/####/performace_detail.html
/data/data/####/performance.html
/data/data/####/person-select.css
/data/data/####/person_selection.html
/data/data/####/photo.png
/data/data/####/picture-module-names.js
/data/data/####/picture-preview.css
/data/data/####/picture-tool.css
/data/data/####/picture-uploader.css
/data/data/####/picture-uploader.js
/data/data/####/pies.css
/data/data/####/piexif.js
/data/data/####/plusshare.js
/data/data/####/problem_feedback.html
/data/data/####/procurement_statistics.html
/data/data/####/product-select.css
/data/data/####/product_add.css
/data/data/####/product_add.html
/data/data/####/product_details.css
/data/data/####/product_details.html
/data/data/####/product_scan.html
/data/data/####/product_selection.html
/data/data/####/progress_detail.html
/data/data/####/progress_detail.js
/data/data/####/progress_operation.html
/data/data/####/project_acceptance.html
/data/data/####/project_inspection.html
/data/data/####/project_list.html
/data/data/####/project_list_room.html
/data/data/####/project_progress.html
/data/data/####/project_register_details.html
/data/data/####/project_register_list.html
/data/data/####/projectlist.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qianzhou_logo.png
/data/data/####/qihoo.png
/data/data/####/qq.png
/data/data/####/qrCode.html
/data/data/####/quick_quotation_add_image.png
/data/data/####/quickstart.md
/data/data/####/quote_main.css
/data/data/####/quote_main.html
/data/data/####/qykh.png
/data/data/####/reSize.js
/data/data/####/receipt.css
/data/data/####/receive-list.css
/data/data/####/receive_approval_detail.html
/data/data/####/receive_approval_list.css
/data/data/####/receive_approval_list.html
/data/data/####/receive_list.html
/data/data/####/receive_view_detail.html
/data/data/####/register.html
/data/data/####/register_list.css
/data/data/####/repair_form.html
/data/data/####/requisitions_add.html
/data/data/####/requisitions_details.html
/data/data/####/requisitions_list.html
/data/data/####/return_money.html
/data/data/####/ribao.png
/data/data/####/rule_view.html
/data/data/####/run.pid
/data/data/####/salary_detail.html
/data/data/####/salary_list.html
/data/data/####/saleContrct_detail.html
/data/data/####/saleContrct_list.html
/data/data/####/saleCustomer_list.html
/data/data/####/sale_detail.js
/data/data/####/scan_icon.png
/data/data/####/scheme_quotation.html
/data/data/####/selection_process.html
/data/data/####/send_message.html
/data/data/####/sent.css
/data/data/####/sent.html
/data/data/####/sh.png
/data/data/####/share.html
/data/data/####/share_list.html
/data/data/####/share_operation.html
/data/data/####/share_operation.js
/data/data/####/shenpi.png
/data/data/####/shenpi_bac.png
/data/data/####/shezhi.png
/data/data/####/shouhou.png
/data/data/####/signManage.html
/data/data/####/signline.png
/data/data/####/sinaweibo.png
/data/data/####/start_statistics_data.xml
/data/data/####/stream_permission.xml
/data/data/####/strophe-custom-2.0.0.js
/data/data/####/style.css
/data/data/####/subordinate_view.html
/data/data/####/superior_view.html
/data/data/####/supplementary_materials.html
/data/data/####/task_add.html
/data/data/####/task_details.html
/data/data/####/taskmanagement.css
/data/data/####/taskmanagement.html
/data/data/####/taskmanagement.js
/data/data/####/teamBm.js
/data/data/####/template-web.js
/data/data/####/template_form.css
/data/data/####/template_form.html
/data/data/####/template_list.html
/data/data/####/template_picture_uploader.html
/data/data/####/test_app
/data/data/####/timg.jpg
/data/data/####/tongguo.png
/data/data/####/tools_main.html
/data/data/####/touxiang_icon.png
/data/data/####/touxiang_icon2.png
/data/data/####/treatment.css
/data/data/####/treatment.html
/data/data/####/undeliverable.html
/data/data/####/unlock.html
/data/data/####/user_protocol.html
/data/data/####/util.js
/data/data/####/utils.js
/data/data/####/visit_detail.html
/data/data/####/wait_task_details.html
/data/data/####/wait_task_list.html
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal (deleted)
/data/data/####/week_detail.html
/data/data/####/weixin.png
/data/data/####/workers.css
/data/data/####/workers_assign.html
/data/data/####/workers_selection.html
/data/data/####/workers_template.html
/data/data/####/yanshou_banner.png
/data/data/####/ypg.png
/data/data/####/ywg.png
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.qianzhou.saas.bin
/data/media/####/com.qianzhou.saas.db
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Miscellaneous:

Executes the following shell scripts:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24714 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24714 300 0

Loads the following dynamic libraries:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu389994680
locSDK7a

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding

Uses special library to hide executable bytecode.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

技术

术语

教育培训

误区

Technical information

Curing recommendations

Free trial