Technical information
Malicious functions:
Executes code of the following detected threats:
- Adware.Gexin.2.origin
Network activity:
Connects to:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) m.t####.cn:80
- TCP(HTTP/1.1) 2####.107.1.1:80
- TCP(HTTP/1.1) 2####.107.1.65:80
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) we####.g####.sina####.com:443
DNS requests:
- a####.man.aliy####.com
- and####.b####.qq.com
- hu####.hybrid
- m.t####.cn
- ws1.sin####.cn
HTTP GET requests:
- m.t####.cn/webapp/blade/common.js
- m.t####.cn/webapp/blade/data/abstract.storage.js?version=####
- m.t####.cn/webapp/blade/data/abstract.store.js?version=####
- m.t####.cn/webapp/blade/hybrid/ui.header.js?version=####
- m.t####.cn/webapp/blade/libs/fastclick.js
- m.t####.cn/webapp/blade/libs/raven.min.js
- m.t####.cn/webapp/blade/libs/require.js
- m.t####.cn/webapp/blade/libs/require.text.js?version=####
- m.t####.cn/webapp/blade/libs/swiper/swiper.jquery.min.js
- m.t####.cn/webapp/blade/libs/swiper/swiper.min.css
- m.t####.cn/webapp/blade/libs/underscore.extend.js
- m.t####.cn/webapp/blade/libs/underscore.js
- m.t####.cn/webapp/blade/libs/weui.min.css
- m.t####.cn/webapp/blade/libs/zepto.js
- m.t####.cn/webapp/blade/mvc/abstract.app.js?version=####
- m.t####.cn/webapp/blade/mvc/abstract.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.abstract.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.alert.html?version=####
- m.t####.cn/webapp/blade/ui/ui.alert.js?version=####
- m.t####.cn/webapp/blade/ui/ui.header.html?version=####
- m.t####.cn/webapp/blade/ui/ui.header.js?version=####
- m.t####.cn/webapp/blade/ui/ui.layer.js?version=####
- m.t####.cn/webapp/blade/ui/ui.loading.html?version=####
- m.t####.cn/webapp/blade/ui/ui.loading.js?version=####
- m.t####.cn/webapp/blade/ui/ui.mask.js?version=####
- m.t####.cn/webapp/blade/ui/ui.page.view.js?version=####
- m.t####.cn/webapp/blade/ui/ui.toast.html?version=####
- m.t####.cn/webapp/blade/ui/ui.toast.js?version=####
- m.t####.cn/webapp/login/common/c.highlight.js?version=####
- m.t####.cn/webapp/login/common/deal_after_login.js?version=####
- m.t####.cn/webapp/login/common/view.js?version=####
- m.t####.cn/webapp/login/homepage.html
- m.t####.cn/webapp/login/main.js
- m.t####.cn/webapp/login/pages/homepage/homepage.css?version=####
- m.t####.cn/webapp/login/pages/homepage/homepage.js?version=####
- m.t####.cn/webapp/login/pages/homepage/tpl.layout.html?version=####
- m.t####.cn/webapp/login/static/css/common.css?version=####
- m.t####.cn/webapp/login/static/img/eye-close-min.png
- m.t####.cn/webapp/login/static/img/eye-open-min.png
- m.t####.cn/webapp/login/static/img/homepage-dialog-logo-min.png
- m.t####.cn/webapp/login/static/img/quicklogin-qq-min.png
- m.t####.cn/webapp/login/static/img/quicklogin-renren-min.png
- m.t####.cn/webapp/login/static/img/quicklogin-taobao-min.png
- m.t####.cn/webapp/static/css/global.css
- m.t####.cn/webapp/tool/js/api.js?version=####
- m.t####.cn/webapp/tool/js/back.js?version=####
- m.t####.cn/webapp/tool/js/close_page.js?version=####
- m.t####.cn/webapp/tool/js/common_tool.js?version=####
- m.t####.cn/webapp/tool/js/costomer_service.js?version=####
- m.t####.cn/webapp/tool/js/focus_input.js?version=####
- m.t####.cn/webapp/tool/js/get_query_string.js?version=####
- m.t####.cn/webapp/tool/js/go_page.js?version=####
- m.t####.cn/webapp/tool/js/md5.min.js?version=####
- m.t####.cn/webapp/tool/js/net_check.js
- m.t####.cn/webapp/tool/js/set_eye.js?version=####
- m.t####.cn/webapp/tool/js/swiper.js?version=####
- m.t####.cn/webapp/tool/js/verify_mobile.js?version=####
HTTP POST requests:
- and####.b####.qq.com/rqd/async?aid=####
File system changes:
Creates the following files:
- /data/data/####/.jg.ic
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/ZfcSr358tFn3VZpbVBo727iVWC0.1353441176.tmp
- /data/data/####/bugly_db_-journal
- /data/data/####/com.shanjing.fanli.BETA_VALUES.xml
- /data/data/####/com.shanjing.fanli_preferences.xml
- /data/data/####/config
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/index
- /data/data/####/jsb.version
- /data/data/####/libjiagu1922265785.so
- /data/data/####/libweexjsb.so
- /data/data/####/local_crash_lock
- /data/data/####/native_record_lock
- /data/data/####/security_info
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/journal.tmp
Miscellaneous:
Executes the following shell scripts:
- /data/app-lib/<Package>-1//libweexjsb.so 66 67 1 <Package Folder>/app_crash/crash_dump.log
- /system/bin/sh -c getprop
- getprop
Loads the following dynamic libraries:
- Bugly
- bitmaps
- libjiagu1922265785
- memchunk
- weexcore
Uses the following algorithms to encrypt data:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Uses the following algorithms to decrypt data:
- AES-GCM-NoPadding
Uses special library to hide executable bytecode.
Gets information about phone status (number, IMEI, etc.).
Displays its own windows over windows of other apps.
