Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Triada.454

Добавлен в вирусную базу Dr.Web: 2018-01-26

Описание добавлено:

Техническая информация

Вредоносные функции:
Отправляет СМС-сообщения:
  • 106904006189121: myqxt<IMSI>
Загружает на исполнение код следующих детектируемых угроз:
  • Android.Exploit.52
  • Android.SmsSend.21305
  • Android.SmsSend.23744
  • Android.Spy.398.origin
  • Android.Triada.235.origin
  • Android.Triada.236.origin
  • Android.Triada.243
  • Android.Triada.248.origin
  • Android.Triada.351.origin
  • Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(HTTP/1.1) api.lik####.com:7830
  • TCP(HTTP/1.1) pus####.to####.net:80
  • TCP(HTTP/1.1) l.ace####.com:80
  • TCP(HTTP/1.1) dws.you####.com.####.com:8080
  • TCP(HTTP/1.1) up####.abc####.info:6020
  • TCP(HTTP/1.1) up####.abc####.info:8200
  • TCP(HTTP/1.1) up####.abc####.info:8010
  • TCP(HTTP/1.1) wap.n.sh####.com:80
  • TCP(HTTP/1.1) sdk.hzzr####.com:80
  • TCP(HTTP/1.1) 1####.27.154.102:1234
  • TCP(HTTP/1.1) s####.hzzr####.com:80
  • TCP(HTTP/1.1) up####.abc####.info:80
  • TCP(HTTP/1.1) api.lik####.com:7840
  • TCP(HTTP/1.1) 1####.55.94.48:9999
  • TCP(HTTP/1.1) pay.lik####.com:7820
  • TCP(HTTP/1.1) a####.xctr####.com:12580
  • TCP(HTTP/1.1) j####.hzzr####.com:9999
  • TCP(HTTP/1.1) up####.abc####.info:8400
  • TCP(TLS/1.0) www.go####.com:443
  • TCP(TLS/1.0) wap.n.sh####.com:443
Запросы DNS:
  • a####.xctr####.com
  • air.abc####.info
  • api.lik####.com
  • d####.abc####.info
  • d####.to####.net
  • do####.abc####.info
  • dws.you####.com
  • j####.hzzr####.com
  • l.ace####.com
  • m.b####.com
  • pay.lik####.com
  • pus####.to####.net
  • pus####.tou####.cn
  • s####.hzzr####.com
  • sdk.hzzr####.com
  • up####.abc####.info
  • www.go####.com
Запросы HTTP GET:
  • a####.xctr####.com:12580/log2?c=####
  • api.lik####.com:7830/openplg?appid=####&channelid=####
  • api.lik####.com:7840/gselfc?iccid=####&price=####&imsi=####&imei=####&ap...
  • api.lik####.com:7840/gselfpi?appid=####&channel=####
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.damai_p2017091...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.miwan_p2017090...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.myadv_p2017052...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.mysdk_p2018011...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.qipa_p20171206...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.shangan_p20171...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.taiku_p2017120...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.utadv_p2017081...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.yufeng_p201711...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.zhongzhi_p2017...
  • j####.hzzr####.com:9999//main/uploadDeviceInfo.wckj?IMSI=####&V=####&mob...
  • j####.hzzr####.com:9999/main/getFeeData.wckj?IMSI=####&V=####&imei=####&...
  • pay.lik####.com:7820/?igtcmd=####&gameid=####
  • pus####.to####.net/czfiles/plugindp
  • s####.hzzr####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t...
  • sdk.hzzr####.com/getconfig.aspx
  • sdk.hzzr####.com/getjar.aspx?pno=####
  • sdk.hzzr####.com/versioncheck.aspx
  • up####.abc####.info/update/plugin-release-v4.9.3.zip
  • wap.n.sh####.com/
Запросы HTTP POST:
  • l.ace####.com/ando/v1/x/ap?app_id=####&r=####
  • l.ace####.com/ando/v1/x/lv?app_id=####&r=####
  • pay.lik####.com:7820/
  • up####.abc####.info:6020/
  • up####.abc####.info:8010/
  • up####.abc####.info:8200/
  • up####.abc####.info:8400/
Изменения в файловой системе:
Создает следующие файлы:
  • <Package Folder>/Plugin/####/-1ej-90hY8dgpZFnXdGXyP3e032rLfCY.new
  • <Package Folder>/Plugin/####/18dKS0jKFXXF6HalFwWP1otR11A=.new
  • <Package Folder>/Plugin/####/1rXpPyYzCKAqb3j1W1LyfNjNnQbm74Gq7p...w=.new
  • <Package Folder>/Plugin/####/4f4ST6b0kSqqaIMBEjTjqQ7iGI7AlzB6.new
  • <Package Folder>/Plugin/####/55tF9Nps4lZ76vqEHg3Pf1EB3WQ=.new
  • <Package Folder>/Plugin/####/57CSXG4AkRf8mBYZ.zip
  • <Package Folder>/Plugin/####/5b3DPdn1zt39YgFwHCTqawtv6i3q2lvb.new
  • <Package Folder>/Plugin/####/5deb07ad-6f9f-4033-b643-90b084a72814.zip
  • <Package Folder>/Plugin/####/67FrdcF4gl2hImERCnpAug==.new
  • <Package Folder>/Plugin/####/6d491b79-d6f4-49d8-b7c5-58344f9acd67.zip
  • <Package Folder>/Plugin/####/8GiD6PkdvQ2nFyeg6l6m9g==.new
  • <Package Folder>/Plugin/####/8guDZ8SX6ry5btJM9VQX4N5WVWpIa0K7.new
  • <Package Folder>/Plugin/####/98yrN6pnyVgK_kW9
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_I...0qfrU=
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_I...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_o...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_r...P3zA==
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_r...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_w...BnKg==
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_w...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_x...b0cxwe
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_x...ournal
  • <Package Folder>/Plugin/####/DATA_DB-journal
  • <Package Folder>/Plugin/####/DapT0cBicj31Ukwa-g2Kz6FfvSqZIAQL.new
  • <Package Folder>/Plugin/####/KooVrmclnZxDD3BodBEzDw==
  • <Package Folder>/Plugin/####/KooVrmclnZxDD3BodBEzDw==.new
  • <Package Folder>/Plugin/####/LGXEUljdGWi27Y-ctaxaHg==
  • <Package Folder>/Plugin/####/OcSDK_statistics_prom-journal
  • <Package Folder>/Plugin/####/RoDxUpDbrSU_8GIlF7_LfGhidwSK2PQBR4kzVA==.new
  • <Package Folder>/Plugin/####/Signature_0.key
  • <Package Folder>/Plugin/####/Ze2Srj9jcX87736oGlLXNtJ61ts=
  • <Package Folder>/Plugin/####/_4NCQbCuGHS2st_xtb9iS28J7RKr8YEJiQZ_Vg==.new
  • <Package Folder>/Plugin/####/af4c98ec-8cdb-4f4d-adf2-47676a1c00b5.tmp
  • <Package Folder>/Plugin/####/appStatus.xml
  • <Package Folder>/Plugin/####/base-1.apk
  • <Package Folder>/Plugin/####/base-1.dex
  • <Package Folder>/Plugin/####/base-1.dex (deleted)
  • <Package Folder>/Plugin/####/cZE3q-a0CAERcsO7m5Q11FGMShc=.new
  • <Package Folder>/Plugin/####/config.xml
  • <Package Folder>/Plugin/####/d5f9d7b0-e931-4c03-bd9b-4481a781a4f9.zip
  • <Package Folder>/Plugin/####/dKufBqJ-8F65yEJ1fFZteoI1RFQc54RrA0...8=.new
  • <Package Folder>/Plugin/####/dbA1bcrZRocMyMCZ05QEAl6ZnSUN0FMK.new
  • <Package Folder>/Plugin/####/dbinfo.xml
  • <Package Folder>/Plugin/####/eOaNAKS7ZFL-EL5m7K1DVQ==
  • <Package Folder>/Plugin/####/ebp_HxP3SX7Fvj5GPr_D3Xx7uwooqGSPU2...Y=.new
  • <Package Folder>/Plugin/####/heajva_f.zip
  • <Package Folder>/Plugin/####/ieZdbxCYWcZKKZLTK058LLErN74908hmlH3b5g==.new
  • <Package Folder>/Plugin/####/iyYUMG9EnSXpYfLn8ZDoPrpjqYVUYPZk.new
  • <Package Folder>/Plugin/####/mDkcatoA8ABe4p_66sbNblmtgNk=
  • <Package Folder>/Plugin/####/mDkcatoA8ABe4p_66sbNblmtgNk=.new
  • <Package Folder>/Plugin/####/msXnADIn5f8wu6eiCqHRb91C0LpW5oPQ.new
  • <Package Folder>/Plugin/####/n2-lXTPq9At8Dxrw
  • <Package Folder>/Plugin/####/o1dL_wOqU1J7z9hZzaAnSP4D6kQ=.new
  • <Package Folder>/Plugin/####/ocean_primary_ad_sp.xml
  • <Package Folder>/Plugin/####/plugin.jar
  • <Package Folder>/Plugin/####/qYQcDVOKZu713Pzv_HcA_uARzYGrcMgAy6...A=.new
  • <Package Folder>/Plugin/####/qYQcDVOKZu713Pzv_HcA_uARzYGrcMgAy6r6oi890sA=
  • <Package Folder>/Plugin/####/rdata_comwjkziukz.new
  • <Package Folder>/Plugin/####/runner_info.prop.new
  • <Package Folder>/Plugin/####/runtimeConfig.xml
  • <Package Folder>/Plugin/####/smsJx_v4.xml
  • <Package Folder>/Plugin/####/tmp.HT2079
  • <Package Folder>/Plugin/####/tmp.Hl2079
  • <Package Folder>/Plugin/####/update.db
  • <Package Folder>/Plugin/####/update.db-journal
  • <Package Folder>/Plugin/####/wKYCDh6Vqr7To9kk.new
  • <Package Folder>/Plugin/####/wochi_v4.db-journal
  • <Package Folder>/app_payload_lib/done
  • <Package Folder>/app_payload_lib/libcocos2dcpp.so
  • <Package Folder>/app_payload_lib/libcrypt_sign.so
  • <Package Folder>/app_payload_lib/libgoldcoast.so
  • <Package Folder>/app_payload_lib/libkjOnlinePay.so
  • <Package Folder>/cache/####/data_0
  • <Package Folder>/cache/####/data_1
  • <Package Folder>/cache/####/data_2
  • <Package Folder>/cache/####/data_3
  • <Package Folder>/cache/####/index
  • <Package Folder>/databases/webview.db-journal
  • <Package Folder>/databases/webviewCookiesChromium.db-journal
  • <Package Folder>/files/3cfd96f20c3f3ce948e13c532497f4c4.apk
  • <Package Folder>/files/a0c175d0.apk
  • <Package Folder>/files/dp.apk
  • <Package Folder>/files/net.tt.plugin.damai (deleted)
  • <Package Folder>/files/net.tt.plugin.damai.apk
  • <Package Folder>/files/net.tt.plugin.miwan (deleted)
  • <Package Folder>/files/net.tt.plugin.miwan.apk
  • <Package Folder>/files/net.tt.plugin.myadv (deleted)
  • <Package Folder>/files/net.tt.plugin.myadv.apk
  • <Package Folder>/files/net.tt.plugin.mysdk (deleted)
  • <Package Folder>/files/net.tt.plugin.mysdk.apk
  • <Package Folder>/files/net.tt.plugin.qipa (deleted)
  • <Package Folder>/files/net.tt.plugin.qipa.apk
  • <Package Folder>/files/net.tt.plugin.shangan (deleted)
  • <Package Folder>/files/net.tt.plugin.shangan.apk
  • <Package Folder>/files/net.tt.plugin.taiku (deleted)
  • <Package Folder>/files/net.tt.plugin.taiku.apk
  • <Package Folder>/files/net.tt.plugin.utadv (deleted)
  • <Package Folder>/files/net.tt.plugin.utadv.apk
  • <Package Folder>/files/net.tt.plugin.yufeng (deleted)
  • <Package Folder>/files/net.tt.plugin.yufeng.apk
  • <Package Folder>/files/net.tt.plugin.zhongzhi (deleted)
  • <Package Folder>/files/net.tt.plugin.zhongzhi.apk
  • <Package Folder>/shared_prefs/session.xml
  • <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
  • <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
  • <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
  • <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
  • <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
  • <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
  • <SD-Card>/.d080d3a37b0be7bc7c15c0a5ac76bc64/####/ead26adc-ac3c-...bd.zip
  • <SD-Card>/.d080d3a37b0be7bc7c15c0a5ac76bc64/.config
  • <SD-Card>/.env/.uunique
  • <SD-Card>/.env/.uunique.new
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/netcfg
  • <Package Folder>/Plugin/net.tt.plugin.utadv/data/net.tt.plugin.utadv/code-1903620/98yrN6pnyVgK_kW9 -p net.tt.plugin.utadv -c com.wjkz.iukz.buwvq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
  • chmod -R 755 <Package Folder>/Plugin
  • ls -l /system/bin/su
  • sh <Package Folder>/Plugin/net.tt.plugin.utadv/data/net.tt.plugin.utadv/code-1903620/98yrN6pnyVgK_kW9 -p net.tt.plugin.utadv -c com.wjkz.iukz.buwvq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
  • qxaetofs
  • rxhadsnw
Использует следующие алгоритмы для шифрования данных:
  • DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
  • DES-ECB-NoPadding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке