Adware.Gexin.292

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.2.origin

Network activity:

Connecting to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 4####.90.34.98:99
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
TCP(HTTP/1.1) edu.anran####.cn:90
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) edu.anran####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP x####.wei####.net:5222

DNS requests:

a####.u####.com
api.map.b####.com
edu.anran####.cn
log.u####.com
oc.u####.com
s####.u####.com
sdk.o####.p####.####.com
www.hongkon####.com
x####.wei####.net

HTTP GET requests:

edu.anran####.cn/pic/gif/1522632144.jpg
edu.anran####.cn/pic/gif/1522632153.jpg
edu.anran####.cn/pic/gif/1522632260.jpg
edu.anran####.cn/pic/gif/1522632403.jpg
edu.anran####.cn/pic/gif/1522632454.jpg
edu.anran####.cn/pic/gif/1522632468.jpg
edu.anran####.cn/pic/gif/1522632717.jpg
edu.anran####.cn/pic/gif/1522632767.jpg
edu.anran####.cn/pic/gif/1522632775.jpg
edu.anran####.cn/pic/gif/1522632795.jpg
edu.anran####.cn/pic/gif/1522632804.jpg
edu.anran####.cn/pic/gif/1522632825.jpg
edu.anran####.cn/pic/gif/1522632840.jpg
edu.anran####.cn/pic/gif/1522632853.jpg
edu.anran####.cn/pic/gif/1522632891.jpg
edu.anran####.cn/pic/gif/1522632906.jpg
edu.anran####.cn/pic/gif/1522632916.jpg
edu.anran####.cn/pic/gif/1522632927.jpg
edu.anran####.cn/pic/gif/1522632941.jpg
edu.anran####.cn/pic/gif/1522809858.jpg
edu.anran####.cn/pic/gif/1522809867.jpg
edu.anran####.cn/pic/gif/1522809881.jpg
edu.anran####.cn/pic/gif/1522809896.jpg
edu.anran####.cn/pic/gif/1522809906.jpg
edu.anran####.cn/pic/gif/1522809916.jpg
edu.anran####.cn/pic/gif/1522809926.jpg
edu.anran####.cn/pic/gif/1522809936.jpg
edu.anran####.cn/pic/gif/1522809958.jpg
edu.anran####.cn/pic/gif/1522809973.jpg
edu.anran####.cn/pic/gif/1522809982.jpg
edu.anran####.cn/pic/gif/1522809991.jpg
edu.anran####.cn/pic/gif/1522810007.jpg
edu.anran####.cn/pic/gif/1522810014.jpg
edu.anran####.cn/pic/gif/1522810023.jpg
edu.anran####.cn/pic/gif/1522810030.jpg
edu.anran####.cn/pic/gif/1522810285.jpg
edu.anran####.cn/pic/gif/1522810315.jpg
edu.anran####.cn/pic/gif/1522810330.jpg
edu.anran####.cn/pic/gif/1522810365.jpg
edu.anran####.cn/pic/gif/1522810374.jpg
edu.anran####.cn/pic/gif/1522810770.jpg
edu.anran####.cn/pic/gif/1522811100.jpg
edu.anran####.cn/pic/gif/1522811177.jpg
edu.anran####.cn/pic/gif/1522811281.jpg
edu.anran####.cn/pic/gif/1522811403.jpg
edu.anran####.cn/pic/gif/1522811446.jpg
edu.anran####.cn/pic/gif/1522811571.jpg
edu.anran####.cn/pic/gif/1522811609.jpg
edu.anran####.cn/pic/gif/1522811731.jpg
edu.anran####.cn/pic/gif/1522812396.jpg
edu.anran####.cn/pic/gif/1522812563.jpg
edu.anran####.cn/pic/gif/1522812584.jpg
edu.anran####.cn/pic/gif/1522812600.jpg
edu.anran####.cn/pic/gif/1522812616.jpg
edu.anran####.cn/pic/gif/1522812631.jpg
edu.anran####.cn/pic/gif/1522812643.jpg
edu.anran####.cn/pic/gif/1522812653.jpg
edu.anran####.cn/pic/gif/1522812663.jpg
edu.anran####.cn/pic/gif/1522812678.jpg
edu.anran####.cn/pic/gif/1522812696.jpg
edu.anran####.cn/pic/gif/1522812729.jpg
edu.anran####.cn/pic/gif/1522812740.jpg
edu.anran####.cn/pic/gif/1522812776.jpg
edu.anran####.cn/pic/gif/1522812956.jpg
edu.anran####.cn/pic/gif/1522813004.jpg
edu.anran####.cn/pic/gif/1522813150.jpg
edu.anran####.cn/pic/gif/1522813164.jpg
edu.anran####.cn/pic/gif/1522813178.jpg
edu.anran####.cn/pic/gif/1522813247.jpg
edu.anran####.cn/pic/gif/1522813279.jpg
edu.anran####.cn/pic/gif/1522813578.jpg
edu.anran####.cn:90/?m=####&a=####&id=####&jhsh=####&uid=####
edu.anran####.cn:90/Public/app/css/base.css
edu.anran####.cn:90/Public/app/css/style.css
edu.anran####.cn:90/Upload/2018/02/07/5a7a40606ba77.jpg
edu.anran####.cn:90/Upload/2018/02/07/5a7a4070ebae0.jpg
edu.anran####.cn:90/Upload/2018/03/08/5aa0a562a2204.jpg
edu.anran####.cn:90/Upload/2018/03/08/5aa0a57566f56.jpg
edu.anran####.cn:90/Upload/2018/04/08/5ac97520388ed.jpg
edu.anran####.cn:90/Upload/2018/04/08/5ac975f647d08.jpg
edu.anran####.cn:90/Upload/2018/06/22/5b2c66aab9f2f.jpg
edu.anran####.cn:90/Uploads/public/3177/3177/5b1b914fe5beb.jpg
sh.wagbr####.alibaba####.com/bar/get/5a66e2f38f4a9d3b3e0001cc/?ud_get=####

HTTP POST requests:

a####.u####.com/app_logs
edu.anran####.cn:90/?m=####&a=####
edu.anran####.cn:90/?m=####&i####
oc.u####.com/check_config_update
sdk.o####.p####.####.com/api.php?format=####&t=####

Modified file system:

Creates the following files:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1526453962986.log
/data/data/####/_leyuantiandi.db
/data/data/####/_leyuantiandi.db-journal
/data/data/####/android_kefu_sdk.xml
/data/data/####/appkefu4.db-journal
/data/data/####/authStatus_com.huizhong.anran.xml
/data/data/####/authStatus_com.huizhong.anran;pushservice.xml
/data/data/####/com.huizhong.anran_preferences.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/f_000046
/data/data/####/f_000047
/data/data/####/f_000048
/data/data/####/getui_sp.xml
/data/data/####/index
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu-633757581.so
/data/data/####/mobclick_agent_online_setting_com.huizhong.anran.xml
/data/data/####/multidex.version.xml
/data/data/####/pri_tencent_analysis.db-journal
/data/data/####/tencent_analysis.db
/data/data/####/tencent_analysis.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/2lb58brbw1jqon5qjawk6edef.tmp
/data/media/####/2o9qz6owkyfgy0qmap5wjtdjo.tmp
/data/media/####/2xsp44mw4hgt2qikje3tbu8hu.tmp
/data/media/####/5tvaokbtx7htuimtk2bklne89.tmp
/data/media/####/5xkrm5xsak1dkuea965yyo8yo.tmp
/data/media/####/6bbyiw79cdii4cja1siywo34n.tmp
/data/media/####/6rg1viuj99aebatixz9vbc75y.tmp
/data/media/####/d8nabw3nqk0oyn6a0sq08399.tmp
/data/media/####/s02uomzec2iwvgzpvew1j57k.tmp

Miscellaneous:

Executes next shell scripts:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
chmod 755 <Package Folder>/.jiagu/libjiagu-633757581.so
getprop

Loads the following dynamic libraries:

BaiduMapSDK_base_v4_0_0
MtaNativeCrash
getuiext2
libjiagu-633757581

Uses the following algorithms to encrypt data:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding

Uses the following algorithms to decrypt data:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding

Uses special library to hide executable bytecode.

Gains access to network information.

Gains access to telephone information (number, imei, etc.).

Adds tasks to the system scheduler.

Displays its own windows over windows of other applications.

Tecnologías

Términos

Formación y educación

Mitos

Technical information

Curing recommendations

Free trial