Android.Gexin.928

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Gexin.1

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) ssl.google-####.com:443

DNS requests:

loc.map.b####.com
rep####.crashly####.com
sett####.crashly####.com
ssl.google-####.com

HTTP POST requests:

loc.map.b####.com/offline_loc

File system changes:

Creates the following files:

/data/anr/traces.txt
/data/data/####/102.png
/data/data/####/102_logo.png
/data/data/####/103.png
/data/data/####/103_logo.png
/data/data/####/104.png
/data/data/####/104_logo.png
/data/data/####/105.png
/data/data/####/105_logo.png
/data/data/####/1b6490fb9d3e01f9c182e19cf5cd662a.lu.png
/data/data/####/276ecb25dd788b5253eeaec67c39b158.lu.svg
/data/data/####/301.png
/data/data/####/301_logo.png
/data/data/####/302.png
/data/data/####/302_logo.png
/data/data/####/303.png
/data/data/####/303_logo.png
/data/data/####/304_logo.png
/data/data/####/305.png
/data/data/####/305_logo.png
/data/data/####/306.png
/data/data/####/306_logo.png
/data/data/####/307.png
/data/data/####/307_logo.png
/data/data/####/308.png
/data/data/####/308_logo.png
/data/data/####/309_logo.png
/data/data/####/310.png
/data/data/####/310_logo.png
/data/data/####/402f2f6ff85d5544facdf951da316f25.lu.png
/data/data/####/403.png
/data/data/####/403_logo.png
/data/data/####/4086bf9bae1d6ecacd4a2305f61c7603.lu.ttf
/data/data/####/502.png
/data/data/####/502_logo.png
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionApp.cls
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionCrash.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3E830110-0001-0880-984D83EBE138SessionUser.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138SessionCrash.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3E8E01D7-0002-0880-984D83EBE138SessionUser.cls_temp
/data/data/####/5FCF3E930170-0003-0880-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3E930170-0003-0880-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3E930170-0003-0880-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3E930170-0003-0880-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138SessionCrash.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3E990165-0001-0B2C-984D83EBE138SessionUser.cls_temp
/data/data/####/5FCF3EA80076-0002-0B2C-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3EA80076-0002-0B2C-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3EA80076-0002-0B2C-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3EA80076-0002-0B2C-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138SessionCrash.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138SessionOS.cls_temp
/data/data/####/5FCF3EAE0375-0001-0DD1-984D83EBE138SessionUser.cls_temp
/data/data/####/5FCF3EBB00D8-0002-0DD1-984D83EBE138BeginSession.cls_temp
/data/data/####/5FCF3EBB00D8-0002-0DD1-984D83EBE138SessionApp.cls_temp
/data/data/####/5FCF3EBB00D8-0002-0DD1-984D83EBE138SessionDevice.cls_temp
/data/data/####/5FCF3EBB00D8-0002-0DD1-984D83EBE138SessionOS.cls_temp
/data/data/####/67542f805727d0eb084e39433a56ba4e.lu.png
/data/data/####/769b856aa95a76a734ce45f3f212fb68.lu.woff
/data/data/####/8b354c8487d89e92312c72ae7bff8eef.lu.png
/data/data/####/8b6fe832bb525156e0d6006b7aaed34a.lu.png
/data/data/####/90706591c665b0e8211f6f8bf637ce21.lu.jpg
/data/data/####/9999.png
/data/data/####/A00.png
/data/data/####/A00_logo.png
/data/data/####/A01.png
/data/data/####/A01_logo.png
/data/data/####/AD@2x.png
/data/data/####/B89.png
/data/data/####/B89_logo.png
/data/data/####/CounterWorker.js
/data/data/####/Fea_1257_unbindBank.png
/data/data/####/LuButton.js
/data/data/####/LuPanel.js
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/VIP_empty_login.png
/data/data/####/a0c41b1c2373314ab28f521474e95150.lu.png
/data/data/####/a61484720bfbc43f612e1a6d2d549cfa.lu.svg
/data/data/####/alliance.css
/data/data/####/alliance.html
/data/data/####/alliance.js
/data/data/####/arrow_grey@2x.png
/data/data/####/arrow_toggle_fold1@2x.png
/data/data/####/arrow_toggle_unfold@2x.png
/data/data/####/assess@3x.png
/data/data/####/assess_question.css
/data/data/####/assess_question.html
/data/data/####/assess_question.js
/data/data/####/assess_question_bg@2x.png
/data/data/####/awardRule.css
/data/data/####/awardRule.html
/data/data/####/awardRule.js
/data/data/####/background.png
/data/data/####/be27f4b13fcc0046f23d9f7575499a7a.lu.eot
/data/data/####/bg.png
/data/data/####/bindImg.png
/data/data/####/blank.html
/data/data/####/border-9dacb6.png
/data/data/####/border-d4.png
/data/data/####/border-d8e2e9.png
/data/data/####/border-dash.png
/data/data/####/bundle.js
/data/data/####/button.js
/data/data/####/c3b9f0b1bd09e1521c33e66c707f4d40.lu.png
/data/data/####/cash@2x.png
/data/data/####/cash_amount.css
/data/data/####/cash_amount.html
/data/data/####/cash_amount.js
/data/data/####/cash_confirm.css
/data/data/####/cash_confirm.html
/data/data/####/cash_confirm.js
/data/data/####/cash_ok@2x.png
/data/data/####/cash_password.css
/data/data/####/cash_password.html
/data/data/####/cash_password.js
/data/data/####/cash_success.css
/data/data/####/cash_success.html
/data/data/####/cash_success.js
/data/data/####/certification.jpg
/data/data/####/checkbox_1.png
/data/data/####/checkin.html
/data/data/####/clock.png
/data/data/####/coin@2x.png
/data/data/####/coinlu@2x.png
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/common.js
/data/data/####/confirm.png
/data/data/####/coupon.png
/data/data/####/crash_marker
/data/data/####/d5db80480c60c4b2a039dd4eabc8f5da.lu.png
/data/data/####/dash.png
/data/data/####/demo.html
/data/data/####/desc.md
/data/data/####/detail.css
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/detail_btn.png
/data/data/####/dot@2x.png
/data/data/####/dotline@2x.png
/data/data/####/e1d9c0f60df0e1efaa4b83e4d62e2f79.lu.png
/data/data/####/effa1fe30925686a6379244a7e755b7e.lu.png
/data/data/####/expect@2x.png
/data/data/####/expired@3x.png
/data/data/####/f91f3c6e57223fb4a51d3e6e2ff8d2a0.lu.png
/data/data/####/failure.png
/data/data/####/fea49740fc4625d73e2091cac6c00fc3.lu.png
/data/data/####/feedback.css
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/finace_utility.js
/data/data/####/finance_bxinvest.css
/data/data/####/finance_bxinvest.html
/data/data/####/finance_bxinvest.js
/data/data/####/finance_bxrecords.css
/data/data/####/finance_bxrecords.html
/data/data/####/finance_bxrecords.js
/data/data/####/finance_cashdetail.css
/data/data/####/finance_cashdetail.html
/data/data/####/finance_cashdetail.js
/data/data/####/finance_dayreturn.css
/data/data/####/finance_dayreturn.html
/data/data/####/finance_dayreturn.js
/data/data/####/finance_detail.css
/data/data/####/finance_detail.html
/data/data/####/finance_detail.js
/data/data/####/finance_detailAbout.html
/data/data/####/finance_detailFactor.html
/data/data/####/finance_detailFiles.css
/data/data/####/finance_detailFiles.html
/data/data/####/finance_detailFiles.js
/data/data/####/finance_detailNotify.html
/data/data/####/finance_dianjinTrade.css
/data/data/####/finance_dianjinTrade.html
/data/data/####/finance_dianjinTrade.js
/data/data/####/finance_extract.css
/data/data/####/finance_extract.html
/data/data/####/finance_extract.js
/data/data/####/finance_fundScroll.js
/data/data/####/finance_fundcertification.css
/data/data/####/finance_fundcertification.html
/data/data/####/finance_fundcertification.js
/data/data/####/finance_funddetail.css
/data/data/####/finance_funddetail.html
/data/data/####/finance_funddetail.js
/data/data/####/finance_funddisclaimer.css
/data/data/####/finance_funddisclaimer.html
/data/data/####/finance_funddisclaimer.js
/data/data/####/finance_fundintroduction.css
/data/data/####/finance_fundintroduction.html
/data/data/####/finance_fundintroduction.js
/data/data/####/finance_fundlist.css
/data/data/####/finance_fundlist.html
/data/data/####/finance_fundlist.js
/data/data/####/finance_fundmydetail.css
/data/data/####/finance_fundmydetail.html
/data/data/####/finance_fundmydetail.js
/data/data/####/finance_fundmyposition.css
/data/data/####/finance_fundmyposition.html
/data/data/####/finance_fundmyposition.js
/data/data/####/finance_fundratedescription.css
/data/data/####/finance_fundratedescription.html
/data/data/####/finance_fundratedescription.js
/data/data/####/finance_fundredeem.css
/data/data/####/finance_fundredeem.html
/data/data/####/finance_fundredeem.js
/data/data/####/finance_fundreserverecord.css
/data/data/####/finance_fundreserverecord.html
/data/data/####/finance_fundreserverecord.js
/data/data/####/finance_fundreserveredeem.css
/data/data/####/finance_fundreserveredeem.html
/data/data/####/finance_fundreserveredeem.js
/data/data/####/finance_fundshare.css
/data/data/####/finance_fundshare.html
/data/data/####/finance_fundshare.js
/data/data/####/finance_fundsuccess.css
/data/data/####/finance_fundsuccess.html
/data/data/####/finance_fundsuccess.js
/data/data/####/finance_fundtransaction.css
/data/data/####/finance_fundtransaction.html
/data/data/####/finance_fundtransaction.js
/data/data/####/finance_help.css
/data/data/####/finance_help.html
/data/data/####/finance_help.js
/data/data/####/finance_ljbbeforeopen.css
/data/data/####/finance_ljbbeforeopen.html
/data/data/####/finance_ljbbeforeopen.js
/data/data/####/finance_ljbchoose.css
/data/data/####/finance_ljbchoose.html
/data/data/####/finance_ljbchoose.js
/data/data/####/finance_ljbopen.css
/data/data/####/finance_ljbopen.html
/data/data/####/finance_ljbopen.js
/data/data/####/finance_redeem.css
/data/data/####/finance_redeem.html
/data/data/####/finance_redeem.js
/data/data/####/finance_tradecancel.css
/data/data/####/finance_tradecancel.html
/data/data/####/finance_tradecancel.js
/data/data/####/finance_tradeconfirm.css
/data/data/####/finance_tradeconfirm.html
/data/data/####/finance_tradeconfirm.js
/data/data/####/finance_tradecontractlist.css
/data/data/####/finance_tradecontractlist.html
/data/data/####/finance_tradecontractlist.js
/data/data/####/finance_tradefailure.css
/data/data/####/finance_tradefailure.html
/data/data/####/finance_tradefailure.js
/data/data/####/finance_tradeprocess.css
/data/data/####/finance_tradeprocess.html
/data/data/####/finance_tradeprocess.js
/data/data/####/finance_tradepwd.css
/data/data/####/finance_tradepwd.html
/data/data/####/finance_tradepwd.js
/data/data/####/finance_tradesuccess.css
/data/data/####/finance_tradesuccess.html
/data/data/####/finance_tradesuccess.js
/data/data/####/firll.dat
/data/data/####/gaClientId
/data/data/####/gift-logo.png
/data/data/####/google_analytics_v2.db-journal
/data/data/####/highcharts.js
/data/data/####/hthfundlogo.png
/data/data/####/hybrid.zip
/data/data/####/icon-hammer.png
/data/data/####/icon_big_warn.png
/data/data/####/icon_coin.png
/data/data/####/icon_fb.png
/data/data/####/icon_fx.png
/data/data/####/icon_present.png
/data/data/####/icon_stoptrading.png
/data/data/####/icon_vip@2x.png
/data/data/####/icon_xk.png
/data/data/####/icon_xk@2x.png
/data/data/####/icon_ygj.png
/data/data/####/icon_zjrs.png
/data/data/####/icon_zr.png
/data/data/####/iconfont-framework.ttf
/data/data/####/iconfont-framework.woff
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/imini.css
/data/data/####/imini.js
/data/data/####/index.css
/data/data/####/index.html
/data/data/####/initialization_marker
/data/data/####/insuranceTaskParser.js
/data/data/####/invest_detail.css
/data/data/####/invest_detail.html
/data/data/####/invest_detail.js
/data/data/####/io.fabric.sdk.android;fabric;c.a.a.a.m.xml
/data/data/####/iscroll-probe.js
/data/data/####/jtright.png
/data/data/####/lfxfundlogo.png
/data/data/####/libexec.so
/data/data/####/libexecmain.so
/data/data/####/libexecoat.so
/data/data/####/license.jpg
/data/data/####/line_1.png
/data/data/####/line_2.png
/data/data/####/liquidity.css
/data/data/####/liquidity.js
/data/data/####/liquiditydetail.css
/data/data/####/liquiditydetail.html
/data/data/####/liquiditydetail.js
/data/data/####/liquiditypassword.css
/data/data/####/liquiditypassword.html
/data/data/####/liquiditypassword.js
/data/data/####/liquiditysuccess.css
/data/data/####/liquiditysuccess.html
/data/data/####/liquiditysuccess.js
/data/data/####/liquiditytrade.css
/data/data/####/liquiditytrade.html
/data/data/####/liquiditytrade.js
/data/data/####/list.html
/data/data/####/ljbcashdetail.css
/data/data/####/ljbcashdetail.html
/data/data/####/ljbcashdetail.js
/data/data/####/ljbcashfrereldetail.css
/data/data/####/ljbcashfrereldetail.html
/data/data/####/ljbcashfrereldetail.js
/data/data/####/loading-circle.png
/data/data/####/loading-text.png
/data/data/####/loading.gif
/data/data/####/lu@2x.png
/data/data/####/lufax.xml
/data/data/####/lufaxAnalytics-journal
/data/data/####/lufaxfont.ttf
/data/data/####/lufaxfont.woff
/data/data/####/lufont.ttf
/data/data/####/lufont.woff
/data/data/####/mask@2x.png
/data/data/####/multidex.version.xml
/data/data/####/my_asset.css
/data/data/####/my_asset.html
/data/data/####/my_asset.js
/data/data/####/my_coin_exchange.html
/data/data/####/my_coin_exchange.js
/data/data/####/myaccountTaskParser.js
/data/data/####/myaccount_bxlist.css
/data/data/####/myaccount_bxlist.html
/data/data/####/myaccount_bxlist.js
/data/data/####/myaccount_expected_field.css
/data/data/####/myaccount_expected_field.html
/data/data/####/myaccount_expected_field.js
/data/data/####/myaccount_investment_list.css
/data/data/####/myaccount_investment_list.html
/data/data/####/myaccount_investment_list.js
/data/data/####/myaccount_investment_statistics.css
/data/data/####/myaccount_investment_statistics.html
/data/data/####/myaccount_investment_statistics.js
/data/data/####/myaccount_transfer.css
/data/data/####/myaccount_transfer.html
/data/data/####/myaccount_transfer.js
/data/data/####/newline_1.png
/data/data/####/newpoint2.png
/data/data/####/no_data@2x.png
/data/data/####/no_data_1@2x.png
/data/data/####/nodata.png
/data/data/####/nodata_shadow.png
/data/data/####/notice.png
/data/data/####/nouse@2x.png
/data/data/####/odometer-theme-default.css
/data/data/####/odometer.min.js
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/openImg.png
/data/data/####/panel_border_1.png
/data/data/####/panic-buying.html
/data/data/####/paper@2x.png
/data/data/####/pc_only.png
/data/data/####/pdt_10_logo1.png
/data/data/####/pdt_11_logo1.png
/data/data/####/pdt_1_logo1.png
/data/data/####/pdt_2_logo1.png
/data/data/####/pdt_3_logo1.png
/data/data/####/pdt_4_logo1.png
/data/data/####/pdt_5_logo1.png
/data/data/####/pdt_6_logo1.png
/data/data/####/pdt_7_logo1.png
/data/data/####/pdt_9_logo1.png
/data/data/####/pdt_bxt_logo1.png
/data/data/####/pdt_djjh_logo1.png
/data/data/####/pdt_fund_logo1.png
/data/data/####/pdt_ygj_logo1.png
/data/data/####/pdt_zjrs_logo1.png
/data/data/####/phone_only.png
/data/data/####/point.png
/data/data/####/point2.png
/data/data/####/point3.png
/data/data/####/product_utility.js
/data/data/####/question-logo.png
/data/data/####/radius-border-cc.png
/data/data/####/refund_process.css
/data/data/####/refund_process.html
/data/data/####/refund_process.js
/data/data/####/refund_success.css
/data/data/####/refund_success.html
/data/data/####/refund_success.js
/data/data/####/risk_assess.css
/data/data/####/risk_assess.html
/data/data/####/risk_assess.js
/data/data/####/risklevel1.png
/data/data/####/risklevel2.png
/data/data/####/risklevel3.png
/data/data/####/risklevel4.png
/data/data/####/risklevel5.png
/data/data/####/risklevelover1.png
/data/data/####/risklevelover2.png
/data/data/####/risklevelover3.png
/data/data/####/risklevelover4.png
/data/data/####/risklevelover5.png
/data/data/####/sa_d32d20b9-e801-4a08-964b-2786ac508bf6_1607417481696.tap
/data/data/####/search.html
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/shadow@2x.png
/data/data/####/status_icon2.png
/data/data/####/stock_account.css
/data/data/####/stock_account.html
/data/data/####/stock_account.js
/data/data/####/success.png
/data/data/####/swiper.js
/data/data/####/sys_border_1.png
/data/data/####/sys_border_2.png
/data/data/####/tip.png
/data/data/####/transfer_confirm.css
/data/data/####/transfer_confirm.html
/data/data/####/transfer_confirm.js
/data/data/####/transfer_detail.css
/data/data/####/transfer_detail.html
/data/data/####/transfer_detail.js
/data/data/####/transfer_success.css
/data/data/####/transfer_success.html
/data/data/####/transfer_success.js
/data/data/####/use@2x.png
/data/data/####/vendors.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromium.db-journal (deleted)
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/whitecircle_bg.png
/data/data/####/widget.js
/data/data/####/withdrawTaskParser.js
/data/data/####/yfdfundlogo.png
/data/data/####/yx_tag.png
/data/data/####/zx_empty_login.png
/data/media/####/.cuid
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Miscellaneous:

Executes the following shell scripts:

/system/bin/cat /proc/cpuinfo
getprop ro.product.cpu.abi

Loads the following dynamic libraries:

crashlytics
libexec
libexecmain
locSDK6

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding

Accesses the ITelephony private interface.

Uses special library to hide executable bytecode.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Displays its own windows over windows of other apps.

Технологии

Термины

Обучение и просвещение

Мифы

Technical information

Рекомендации по лечению

Демо бесплатно на 14 дней