Android.Gexin.11

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Gexin.1

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 1####.217.19.206:443
TCP sdk.o####.t####.####.com:5224
TCP cm-1####.ig####.com:5225

DNS requests:

7j####.c####.z0.####.com
a.appj####.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.ig####.com
cm-1####.ig####.com
g####.if.ani####.####.cn
mt####.go####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

HTTP GET requests:

cdn-sdk####.g####.com.####.com/tdata_dkP635
q####.c####.l####.####.com/config/hz-hzv6.conf
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_SzD730

HTTP POST requests:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####

File system changes:

Creates the following files:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/H58979525.xml
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_dkP635
/data/data/####/tdata_dkP635.jar
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/Gruntfile.js
/data/media/####/LArea.css
/data/media/####/LArea.js
/data/media/####/LAreaData1.js
/data/media/####/LAreaData2.js
/data/media/####/Makefile
/data/media/####/Moxie.swf
/data/media/####/Moxie.xap
/data/media/####/NO.1@2x.png
/data/media/####/NO.2-@2x.png
/data/media/####/NO.3@2x.png
/data/media/####/QQ@2x.png
/data/media/####/README.md
/data/media/####/Star-icon@2x.png
/data/media/####/Star-little@2x.png
/data/media/####/YingYuLiuShang.png
/data/media/####/about.css
/data/media/####/about.html
/data/media/####/about@2x.png
/data/media/####/add-address.png
/data/media/####/add_goods@2x.png
/data/media/####/address-doc@2x.png
/data/media/####/address-empty@2x.png
/data/media/####/addressLogo.png
/data/media/####/ajax.js
/data/media/####/all@2x.png
/data/media/####/ani-icon@2x.png
/data/media/####/aniany-01.png
/data/media/####/aniany_down@2x.png
/data/media/####/aniany_icon.png
/data/media/####/aniany_login_blue.png
/data/media/####/aniany_login_buttom.png
/data/media/####/anianya_close.png
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/app_pay.js
/data/media/####/app_pay2.js
/data/media/####/app_script.js
/data/media/####/app_script2.js
/data/media/####/articleInformation.js
/data/media/####/article_detail.css
/data/media/####/article_detail.html
/data/media/####/article_detail.js
/data/media/####/article_detail_yabao.css
/data/media/####/article_detail_yabao.js
/data/media/####/article_detail_yabao1.css
/data/media/####/article_detail_yabao1.html
/data/media/####/article_info_1.css
/data/media/####/article_info_1.html
/data/media/####/article_info_1.js
/data/media/####/article_pay.css
/data/media/####/article_pay.html
/data/media/####/article_pay.js
/data/media/####/article_ranking.css
/data/media/####/article_ranking.html
/data/media/####/article_ranking.js
/data/media/####/audit.html
/data/media/####/back-white.png
/data/media/####/back.png
/data/media/####/back@2x.png
/data/media/####/back@login.png
/data/media/####/back_home@2x.png
/data/media/####/background@2x.png
/data/media/####/backgrounds.gif
/data/media/####/banner-zw.png
/data/media/####/banner.jpg
/data/media/####/banner1.jpg
/data/media/####/banner2.jpg
/data/media/####/banner_zw@2x.png
/data/media/####/bannerzhanwei@2x.png
/data/media/####/base.css
/data/media/####/bases.css
/data/media/####/bd.png
/data/media/####/bg-coup@2x.png
/data/media/####/bg-pic-01.png
/data/media/####/bg-pitch.png
/data/media/####/bg@2x.png
/data/media/####/bower.json
/data/media/####/brand-more.gif
/data/media/####/brand-return.png
/data/media/####/brands.css
/data/media/####/brands.html
/data/media/####/brands.js
/data/media/####/brandsJK.js
/data/media/####/but-active.png
/data/media/####/buttons-disabled.png
/data/media/####/buttons.png
/data/media/####/buy-me@2x.png
/data/media/####/car-b.png
/data/media/####/car@2x.png
/data/media/####/cart.html
/data/media/####/cart.js
/data/media/####/cart.png
/data/media/####/cart@2x.png
/data/media/####/cart_blue.png
/data/media/####/cash-coupon@2x.png
/data/media/####/category-zw.png
/data/media/####/category-zw@2x.png
/data/media/####/category.js
/data/media/####/category_1.js
/data/media/####/checkPayServices.js
/data/media/####/city.data-3.js
/data/media/####/city.data.js
/data/media/####/classify-zw.png
/data/media/####/clickpraise.png
/data/media/####/close@2x.png
/data/media/####/closeimg.png
/data/media/####/collect-empty@2x.png
/data/media/####/collect-selected.png
/data/media/####/collect.png
/data/media/####/com.aniany.anishop.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/come-cart@2x.png
/data/media/####/comm.js
/data/media/####/comment.js
/data/media/####/comment@2x.png
/data/media/####/comment_star@2x.png
/data/media/####/commentstar.png
/data/media/####/commentstar_pitch.png
/data/media/####/common.css
/data/media/####/common.js
/data/media/####/compass-gray808080.png
/data/media/####/compassFilled-red990000-48.png
/data/media/####/compassFilled-red990000.png
/data/media/####/config.js
/data/media/####/config.js.example
/data/media/####/confirm-btn.png
/data/media/####/confirm-order-btn.png
/data/media/####/confirm-order.html
/data/media/####/confirm-order.js
/data/media/####/coupon-cash@2x.png
/data/media/####/coupon_main.css
/data/media/####/coupons-empty@2x.png
/data/media/####/coupons.css
/data/media/####/coupons.html
/data/media/####/coupons.js
/data/media/####/coupons_mine.html
/data/media/####/coupons_mine.js
/data/media/####/customer.html
/data/media/####/daikaijiang.png
/data/media/####/danmu.css
/data/media/####/danmu.html
/data/media/####/danmu.js
/data/media/####/danmu_head.png
/data/media/####/danmu_head_bg.png
/data/media/####/danmuoff@2x.png
/data/media/####/danmuon.png
/data/media/####/dashang-new.png
/data/media/####/dashang.png
/data/media/####/data.js
/data/media/####/default.png
/data/media/####/default@2x.png
/data/media/####/defaultcount@2x.png
/data/media/####/delete-btn.png
/data/media/####/delete.gif
/data/media/####/delete@2x.png
/data/media/####/descending-icon.png
/data/media/####/detail-zw@11x.png
/data/media/####/detail-zw@2x.png
/data/media/####/diamad-b.png
/data/media/####/diamand-little@2x.png
/data/media/####/diamand@2x.png
/data/media/####/doc@2x.png
/data/media/####/done.gif
/data/media/####/editor-into.png
/data/media/####/error.gif
/data/media/####/error_img.png
/data/media/####/error_refresh.png
/data/media/####/evaluate-dowm.png
/data/media/####/evaluate.png
/data/media/####/favicon.ico
/data/media/####/favorites.js
/data/media/####/feedback-page.js
/data/media/####/feedback.js
/data/media/####/fenlei-blue@2x.png
/data/media/####/fenlei.png
/data/media/####/fl@2x.png
/data/media/####/flash-buy.png
/data/media/####/flash_buy.js
/data/media/####/follow_up.html
/data/media/####/follow_up.js
/data/media/####/footprint.html
/data/media/####/gif.gif
/data/media/####/givemoney.png
/data/media/####/givemoneyicon@2x.png
/data/media/####/go_alipay.js
/data/media/####/go_weixinpay.js
/data/media/####/goback.png
/data/media/####/gologin.css
/data/media/####/goods-comment.css
/data/media/####/goods-comment.js
/data/media/####/goods-customer@2x.png
/data/media/####/goods-detail.js
/data/media/####/goods-details.css
/data/media/####/goods-details.html
/data/media/####/goods-info@2x.png
/data/media/####/goods-list-empty.png
/data/media/####/goods-more.gif
/data/media/####/goods-search.png
/data/media/####/goods.js
/data/media/####/goodslist-zw.png
/data/media/####/goodslist.html
/data/media/####/goodslist.js
/data/media/####/gorecharge.png
/data/media/####/gosearch.png
/data/media/####/guidePage.css
/data/media/####/gushiji.jpg
/data/media/####/hammer.js
/data/media/####/has-choose-cart.png
/data/media/####/has-choose-img.png
/data/media/####/has-choose.png
/data/media/####/hasover.png
/data/media/####/highlight.css
/data/media/####/highlight.js
/data/media/####/home-coupons-close.png
/data/media/####/home-coupons-img.png
/data/media/####/home-new.png
/data/media/####/home-now-register.png
/data/media/####/home-search-2.png
/data/media/####/home-search-title.png
/data/media/####/home-search-title@2x.png
/data/media/####/home-search@2x.png
/data/media/####/home.png
/data/media/####/homePage.js
/data/media/####/home_blue.png
/data/media/####/home_search.png
/data/media/####/home_search_input.png
/data/media/####/homepage.css
/data/media/####/homepage.html
/data/media/####/homepage.js
/data/media/####/homepage_1.css
/data/media/####/html5shiv.js
/data/media/####/iconfont-tianjia.png
/data/media/####/immersed.js
/data/media/####/index.css
/data/media/####/index.html
/data/media/####/index.js
/data/media/####/index.jsp
/data/media/####/information.css
/data/media/####/information.html
/data/media/####/information.js
/data/media/####/into.png
/data/media/####/iscroll-zoom.js
/data/media/####/jionyabao.png
/data/media/####/jquery-1.11.1.min.js
/data/media/####/jquery-1.9.1.min.js
/data/media/####/jquery.countdown.css
/data/media/####/jquery.countdown.js
/data/media/####/jquery.js
/data/media/####/jquery.lazyload.min.js
/data/media/####/jquery.min.js
/data/media/####/jquery.min.map
/data/media/####/jquery.photoClip.js
/data/media/####/jquery.plupload.queue.css
/data/media/####/jquery.plupload.queue.js
/data/media/####/jquery.plupload.queue.min.js
/data/media/####/jquery.ui.plupload.css
/data/media/####/jquery.ui.plupload.js
/data/media/####/jquery.ui.plupload.min.js
/data/media/####/jweixin-1.0.0.js
/data/media/####/lazyload.js
/data/media/####/lazyload_old.js
/data/media/####/like-on@2x.png
/data/media/####/like@2x.png
/data/media/####/littlecar.png
/data/media/####/loading.gif
/data/media/####/loading_1.gif
/data/media/####/login-back@2x.png
/data/media/####/login-but-end.png
/data/media/####/login-but-next@2x.png
/data/media/####/login-but.png
/data/media/####/login-code.js
/data/media/####/login.css
/data/media/####/login.html
/data/media/####/login.js
/data/media/####/login01.png
/data/media/####/login02.png
/data/media/####/login_1.css
/data/media/####/login_1.html
/data/media/####/loginimg.png
/data/media/####/look_comment.html
/data/media/####/look_comment.js
/data/media/####/lookcomment.png
/data/media/####/main.css
/data/media/####/main.js
/data/media/####/manbi1@2x.png
/data/media/####/manbi2@2x.png
/data/media/####/manbi@2x.png
/data/media/####/manifest.json
/data/media/####/mengban.png
/data/media/####/mine-editor.png
/data/media/####/mine-order.png
/data/media/####/mine-tongzhi.png
/data/media/####/mine.html
/data/media/####/mine.js
/data/media/####/mine.png
/data/media/####/mine_back1.png
/data/media/####/mine_blue.png
/data/media/####/mine_collect@2x.png
/data/media/####/mine_footer@2x.png
/data/media/####/mine_new.css
/data/media/####/mine_news_no.png
/data/media/####/mine_news_yes.png
/data/media/####/ml_search.png
/data/media/####/money@2x.png
/data/media/####/most-popular.js
/data/media/####/most-popular.png
/data/media/####/moxie.js
/data/media/####/moxie.min.js
/data/media/####/mui.enterfocus.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.locker.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.picker.min.css
/data/media/####/mui.picker.min.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.view.js
/data/media/####/mui_scroll.js
/data/media/####/multiple.html
/data/media/####/multiple.js
/data/media/####/myicon_fukuan.png
/data/media/####/myicon_shouhuo.png
/data/media/####/myicon_tuixiu.png
/data/media/####/new-praise.png
/data/media/####/new-product.js
/data/media/####/new-share.png
/data/media/####/new-unpraise.png
/data/media/####/news-2-head@2x.png
/data/media/####/news-next@2x.png
/data/media/####/news-no.png
/data/media/####/news-yes.png
/data/media/####/news.css
/data/media/####/newsItem.css
/data/media/####/newsItem.html
/data/media/####/newsItem.js
/data/media/####/newsListFirst.css
/data/media/####/newsListFirst.html
/data/media/####/newsListFirst.js
/data/media/####/news_other_page.js
/data/media/####/next_wuliu.png
/data/media/####/no-choose.png
/data/media/####/no.png
/data/media/####/none-order.png
/data/media/####/noreward@2x.png
/data/media/####/not-been-selected.png
/data/media/####/notenough.png
/data/media/####/notenoughbg.png
/data/media/####/notenoughbg1.png
/data/media/####/notice-no.png
/data/media/####/notice-yes.png
/data/media/####/num@2x.png
/data/media/####/number@2x.png
/data/media/####/numkuang.png
/data/media/####/omit.png
/data/media/####/order-bottom01.png
/data/media/####/order-bottom02.png
/data/media/####/order-bottom03.png
/data/media/####/order-bottom04.png
/data/media/####/order-bottom05.png
/data/media/####/order-empty@2x.png
/data/media/####/order.css
/data/media/####/order.js
/data/media/####/orderList.html
/data/media/####/order_details.html
/data/media/####/outer_link_page.html
/data/media/####/package.json
/data/media/####/page_bg_center.jpg
/data/media/####/pay-btn.png
/data/media/####/pay.js
/data/media/####/pay@2x.png
/data/media/####/payback@2x.png
/data/media/####/paybg-1.png
/data/media/####/paybg.png
/data/media/####/payment-zhifubao.png
/data/media/####/payment.html
/data/media/####/payment.js
/data/media/####/payment2.html
/data/media/####/phone.js
/data/media/####/phone.png
/data/media/####/photo@2x1.png
/data/media/####/photoClipInterface.js
/data/media/####/plupload.dev.js
/data/media/####/plupload.full.min.js
/data/media/####/plupload.min.js
/data/media/####/plupload.png
/data/media/####/plusMath-grayCCCCCC.png
/data/media/####/praise.png
/data/media/####/praisenull.png
/data/media/####/prizerule.png
/data/media/####/product-zw@2x.png
/data/media/####/progress_list.html
/data/media/####/publicbtn.png
/data/media/####/publish_comment.css
/data/media/####/publish_comment.html
/data/media/####/publish_comment.js
/data/media/####/qihoo.png
/data/media/####/qiniu.js
/data/media/####/qiniu.min.js
/data/media/####/qiniu.min.map
/data/media/####/qq.png
/data/media/####/re-back.png
/data/media/####/readme.txt
/data/media/####/receiving-address-add.js
/data/media/####/receiving-address.css
/data/media/####/receiving-address.js
/data/media/####/receiving.html
/data/media/####/receiving.js
/data/media/####/receiving_address.html
/data/media/####/receiving_address_add.html
/data/media/####/receiving_mine.html
/data/media/####/redheart.gif
/data/media/####/redu.png
/data/media/####/refresh.js
/data/media/####/refresh_page.js
/data/media/####/registerimg.png
/data/media/####/respond.min.js
/data/media/####/return.html
/data/media/####/revision_audit.css
/data/media/####/revision_audit.js
/data/media/####/revision_brand.css
/data/media/####/revision_cart.css
/data/media/####/revision_confirm_order.css
/data/media/####/revision_confirm_order.js
/data/media/####/revision_follow_up.css
/data/media/####/revision_footprint.css
/data/media/####/revision_footprint.js
/data/media/####/revision_goodslist.js
/data/media/####/revision_order_datails.js
/data/media/####/revision_order_details.css
/data/media/####/revision_order_list.css
/data/media/####/revision_order_list.js
/data/media/####/revision_payment.css
/data/media/####/revision_progree_list.js
/data/media/####/revision_receiving.js
/data/media/####/revision_receiving_address_add.css
/data/media/####/revision_receiving_mine.js
/data/media/####/revision_receving.css
/data/media/####/revision_return.css
/data/media/####/revision_return.js
/data/media/####/revision_treasure.js
/data/media/####/reward@2x.png
/data/media/####/rewardbtnimg.png
/data/media/####/right-icon.png
/data/media/####/rule.png
/data/media/####/screening-icon.png
/data/media/####/script.js
/data/media/####/search-input.png
/data/media/####/search.css
/data/media/####/search.html
/data/media/####/search.js
/data/media/####/search_jk.js
/data/media/####/second-cart.html
/data/media/####/second-common.css
/data/media/####/server.js
/data/media/####/setting.html
/data/media/####/setting.js
/data/media/####/share.js
/data/media/####/share.png
/data/media/####/share@2x.png
/data/media/####/shine@2x.png
/data/media/####/shipping-address.png
/data/media/####/shoppingCart.js
/data/media/####/sinaweibo.png
/data/media/####/smallplus@2x.png
/data/media/####/solt-out@2x.png
/data/media/####/sonic.js
/data/media/####/speechBubble-gray808080.png
/data/media/####/speechBubbleFilled-red990000.png
/data/media/####/star-b.png
/data/media/####/style.css
/data/media/####/styles.css
/data/media/####/tab.css
/data/media/####/tab.html
/data/media/####/tab.js
/data/media/####/tap-down@2x.png
/data/media/####/tap-fg@2x.png
/data/media/####/tap-up@2x.png
/data/media/####/tdata_dkP635
/data/media/####/third_party.png
/data/media/####/thrid_login.js
/data/media/####/throbber.gif
/data/media/####/tile_bg.jpg
/data/media/####/title-login.png
/data/media/####/token.js
/data/media/####/top@2x.png
/data/media/####/topMenu.css
/data/media/####/topMenu.js
/data/media/####/transp50.png
/data/media/####/treasure.html
/data/media/####/ui.js
/data/media/####/unpraise.png
/data/media/####/user-photo.png
/data/media/####/user.js
/data/media/####/userMale-gray808080.png
/data/media/####/userMale-white.png
/data/media/####/userMaleFilled-red990000.png
/data/media/####/util.js
/data/media/####/uuid.js
/data/media/####/vs.png
/data/media/####/vsleft.png
/data/media/####/vsright.png
/data/media/####/wait-take .png
/data/media/####/wait-to-pay.png
/data/media/####/waitkaijiang.png
/data/media/####/weixin-pay.png
/data/media/####/weixin.png
/data/media/####/weixin@2x.png
/data/media/####/win@2x.png
/data/media/####/wuliu.js
/data/media/####/wuliu_car.png
/data/media/####/wuliusearch.html
/data/media/####/wuliusearch.js
/data/media/####/wxShare.js
/data/media/####/wxShareJk.js
/data/media/####/wx_article_detail.js
/data/media/####/wx_article_detail_yabao.js
/data/media/####/wx_goods_detail.js
/data/media/####/wx_login.js
/data/media/####/wx_pay.js
/data/media/####/wx_pay2.js
/data/media/####/wx_script.js
/data/media/####/yabao.png
/data/media/####/yabaoranking@2x.png
/data/media/####/yabaotanchuang.png
/data/media/####/yes.png
/data/media/####/zh_CN.js
/data/media/####/zhanwei@2x.png
/data/media/####/zixun.png
/data/media/####/zixun_blue.png
/data/media/####/zw-goodslist.jpg
/data/media/####/zw.png

Miscellaneous:

Executes the following shell scripts:

chmod 755 <Package Folder>/.jiagu/libjiagu.so

Loads the following dynamic libraries:

getuiext2
libjiagu

Uses the following algorithms to encrypt data:

RSA-NONE-OAEPWithSHA1AndMGF1Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Uses special library to hide executable bytecode.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial