Adware.Gexin.18100

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Gexin.2.origin

File system changes:

Creates the following files:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/CustomIndex
/data/data/####/DVDirectory.cfg
/data/data/####/DVHotMap.cfg
/data/data/####/DVHotcity.cfg
/data/data/####/DVIndoor.cfg
/data/data/####/DVSDirectory.cfg
/data/data/####/DVVersion.cfg
/data/data/####/PPConfig
/data/data/####/ResPackIndoorMap.rs
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/authStatus_com.llt.pp.xml
/data/data/####/authStatus_com.llt.pp;remote.xml
/data/data/####/baseindoormap.sty
/data/data/####/bf73098f6ada
/data/data/####/bus.sty
/data/data/####/car.sty
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cycle.sty
/data/data/####/end.svg
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/hist.svg
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libcuid.so
/data/data/####/libjiagu156792347.so
/data/data/####/map.rs
/data/data/####/map.sty
/data/data/####/map.sty_seg
/data/data/####/map.sty_svc
/data/data/####/map1.rs
/data/data/####/map_pref.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/motion.svg
/data/data/####/multidex.version.xml
/data/data/####/mvmv.xml
/data/data/####/pp.db-journal
/data/data/####/pp_icon.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/reduct.rs
/data/data/####/reduct.sty
/data/data/####/run.pid
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/start.svg
/data/data/####/tdata_BAI450
/data/data/####/tdata_BAI450.jar
/data/data/####/tdata_Cye094
/data/data/####/tdata_Cye094.jar
/data/data/####/tdata_vGW305
/data/data/####/tdata_vGW305.jar
/data/data/####/top_time_0
/data/data/####/traffic.rs
/data/data/####/traffic.sty
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/ver.dat
/data/media/####/.artc_lock
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/1edlt6ldpmc82y7iq243mbsfg.tmp
/data/media/####/1ijijnxsua7wlkw2g2u5q9bd3.tmp
/data/media/####/2gl4u8jy6u24gq3bqfe2o99gb.tmp
/data/media/####/2sk0nscpz6rv62b41qryazcbj.tmp
/data/media/####/2uoo7wvfg9jv4k45h0nrmpugd.tmp
/data/media/####/2ywdfcdx5kbfuxmagw8qxb8vs.tmp
/data/media/####/37shvk3i7uz3vm97ktq2sf50s.tmp
/data/media/####/3kwomlrqol0v6lmom71nh386x.tmp
/data/media/####/5krk2xezulpdag22lqvb71ht5.tmp
/data/media/####/5m8bpky38q917dsr1m8toq2pq.tmp
/data/media/####/5p8atryvxtwfzw1trsrzvd6at.tmp
/data/media/####/62yofxib1m7tl625ztxxbar5i.tmp
/data/media/####/6oq87xbd7tkb0f3dk6nssbsyz.tmp
/data/media/####/DTTempdat.dat
/data/media/####/DTTempdat.idx
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.llt.pp.bin
/data/media/####/com.llt.pp.db
/data/media/####/gkt
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/sysid.dat
/data/media/####/tdata_BAI450
/data/media/####/tdata_Cye094
/data/media/####/tdata_vGW305
/data/media/####/test.0
/data/media/####/test.log

Miscellaneous:

Executes the following shell scripts:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.PushService 23967 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.services.PushService 23967 300 0

Loads the following dynamic libraries: