Android.Triada.931

Техническая информация

Вредоносные функции:

Отправляет СМС-сообщения:

10658000: SSDS
1065800830195200: 100#H9SXC01
10690400330213: myqxt<IMSI>
106904006189121: myqxt<IMSI>

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.441.origin
Android.SmsSend.21305
Android.SmsSend.23889
Android.Spy.205.origin
Android.Spy.398.origin
Android.Triada.236.origin
Android.Triada.243
Android.Triada.248.origin
Android.Triada.351.origin
Android.Triada.373.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pay.lik####.com:7820
TCP(HTTP/1.1) box.jom####.com:80
TCP(HTTP/1.1) dws.you####.com.####.com:8080
TCP(HTTP/1.1) jx.ha####.com:80
TCP(HTTP/1.1) a####.xctr####.com:12580
TCP(HTTP/1.1) x####.ha####.com:80
TCP(HTTP/1.1) 1####.27.154.102:1234
TCP(HTTP/1.1) hpd.b####.com:80
TCP(HTTP/1.1) p1.i####.cc:80
TCP(HTTP/1.1) pay.lik####.com:7830
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) www.huangda####.com:80
TCP(HTTP/1.1) wap.n.sh####.com:80
TCP(HTTP/1.1) na0.bdst####.com.####.com:80
TCP(HTTP/1.1) supermo####.jom####.com:80
TCP(TLS/1.0) h5.c####.com.cn:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) ima####.m.c####.####.cn:443
TCP(TLS/1.0) box.jom####.com:443
TCP(TLS/1.0) hpd.b####.com:443
TCP(TLS/1.0) ss0.b####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) i####.c####.com:443
TCP(TLS/1.0) g####.bdst####.com:443
TCP(TLS/1.0) wap.n.sh####.com:443
TCP(TLS/1.0) ei.c####.com:443
TCP(TLS/1.0) na0.bdst####.com.####.com:443

Запросы DNS:

a####.u####.com
a####.xctr####.com
api.lik####.com
c.c####.com
do####.abc####.info
dws.you####.com
ei.c####.com
f####.b####.com
g####.bdst####.com
h5.c####.com.cn
hpd.b####.com
i####.c####.com
ima####.m.c####.####.cn
jx.ha####.com
m.b####.com
na0.bdst####.com
p1.i####.cc
pay.lik####.com
s.bdst####.com
s5.c####.com
sm.b####.com
ss0.b####.com
ss1.b####.com
ss2.b####.com
sv.bdst####.com
up####.abc####.info
www.huangda####.com
x####.ha####.com
z9.c####.com

Запросы HTTP GET:

a####.xctr####.com:12580/log2?c=####
box.jom####.com/common/openjs/openBox.js?_v=####
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.damai_p2018041...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.miwan_p2018041...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.myadv_p2017052...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.mysdk_p2018032...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.qipa_p20180419...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.shangan_p20180...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.taiku_p2017120...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.utadv_p2017081...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.yufeng_p201711...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.zhongzhi_p2018...
hpd.b####.com/v.gif?logid=####&ssid=####&sid=####&from=####&pu=####&ct=#...
hpd.b####.com/v.gif?logid=0083214735&ssid=0&sid=123087_114550_122048_122...
hpd.b####.com/v.gif?tid=####&ct=####&cst=####&logFrom=####&logInfo=####&...
hpd.b####.com/v.gif?tid=####&funcSta=####&sourceSta=####&actionSta=####&...
jx.ha####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t=####...
na0.bdst####.com.####.com/static/cover/static/shoubaiWapAds/nativeAds_73...
pay.lik####.com:7820/?igtcmd=####&iccid=####&imsi=####&imei=####&order=#...
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&iccid=####&price=###...
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&imsi=####
pay.lik####.com:7820/?igtcmd=####&order=####&state=####&paymsg=####&fing...
pay.lik####.com:7830/cdsapi?appid=####&merchantid=####&imsi=####&imei=##...
pay.lik####.com:7830/openplg?appid=####&channelid=####
supermo####.jom####.com/static/wiseindex/iconfont/iconfont_2681c2d.ttf
supermo####.jom####.com/static/wiseindex/img/ns_diff_color_v3_991d8b3.png
supermo####.jom####.com/static/wiseindex/js/lib/invoke/component/backgro...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/component/dialog_...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/component/firstCa...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/fnProvider_68bb75...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/invokeBox_1b7c9e6...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/serverDataFactory...
supermo####.jom####.com/static/wiseindex/js/lib/invoke/setInvokeCookie_b...
supermo####.jom####.com/static/wiseindex/js/package/backflow_8b40144.js
supermo####.jom####.com/static/wiseindex/js/package/newsActivity_da394fd...
supermo####.jom####.com/static/wiseindex/js/package/superframe_5b7bdae.js
supermo####.jom####.com/static/wiseindex/js/plugin/baiduappButton_83b553...
supermo####.jom####.com/static/wiseindex/js/plugin/safariicon_6bd009a.js
wap.n.sh####.com/
wap.n.sh####.com/?action=####&ms=####&version=####&callback=####&r=####&...
wap.n.sh####.com/?action=####&sid=####&ssid=####&from=####&pu=####&qid=#...
wap.n.sh####.com/his?callback=####&type=####&pic=####&lid=####&ishome=##...
wap.n.sh####.com/se/static/img/iphone/logo.png
wap.n.sh####.com/se/static/img/iphone/tab_loading__bg_logo.png
wap.n.sh####.com/se/static/js/base/ala/util_e135ec4.js
wap.n.sh####.com/se/static/js/base/atom/atomWrapper_450bec1.js
wap.n.sh####.com/se/static/js/service/index_polymer_8b250bc.js
wap.n.sh####.com/se/static/js/service/index_seloader_release.js?v=####
wap.n.sh####.com/static/index/plus/public/icon_police.png
wap.n.sh####.com/static/index/plus/public/tab_news.png
wap.n.sh####.com/static/search/clear.png
wap.n.sh####.com/static/tj.gif?time=####
wap.n.sh####.com/tc?tcreq4log=####&r=####&logid=####&from=####&pu=####&c...
wap.n.sh####.com/tcbox?service=####&action=####&ctv=####&cen=####&data={...
www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
x####.ha####.com/getconfig.aspx
x####.ha####.com/getjar.aspx?pno=####
x####.ha####.com/versioncheck.aspx

Запросы HTTP POST:

a####.u####.com/app_logs
p1.i####.cc/index.php/MC/HB
pay.lik####.com:7820/
pay.lik####.com:7820/newsetlog
www.huangda####.com/shop/shop_upload_log

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/0fbe2c48.apk
/data/data/####/57CSXG4AkRf8mBYZ.zip
/data/data/####/67FrdcF4gl2hImERCnpAug==.new
/data/data/####/72abee0f-296e-4b25-95c0-5011d327c488.zip
/data/data/####/DATA_DB-journal
/data/data/####/KooVrmclnZxDD3BodBEzDw==.new
/data/data/####/LGXEUljdGWi27Y-ctaxaHg==
/data/data/####/MaiStore.db-journal
/data/data/####/Signature_0.key
/data/data/####/abc9d29beba12ebc35eb8bfbfeb169d1.apk
/data/data/####/appStatus.xml
/data/data/####/base-1.apk
/data/data/####/base-1.dex
/data/data/####/base-1.dex (deleted)
/data/data/####/c6647d0d-c4d2-411b-a377-2593a356cc12.zip
/data/data/####/config.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/done
/data/data/####/dp.apk
/data/data/####/eOaNAKS7ZFL-EL5m7K1DVQ==
/data/data/####/exchangeIdentity.json
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/heajva_f.zip
/data/data/####/index
/data/data/####/n2-lXTPq9At8Dxrw
/data/data/####/net.tt.plugin.damai (deleted)
/data/data/####/net.tt.plugin.damai.apk
/data/data/####/net.tt.plugin.miwan (deleted)
/data/data/####/net.tt.plugin.miwan.apk
/data/data/####/net.tt.plugin.myadv (deleted)
/data/data/####/net.tt.plugin.myadv.apk
/data/data/####/net.tt.plugin.mysdk (deleted)
/data/data/####/net.tt.plugin.mysdk.apk
/data/data/####/net.tt.plugin.qipa (deleted)
/data/data/####/net.tt.plugin.qipa.apk
/data/data/####/net.tt.plugin.shangan (deleted)
/data/data/####/net.tt.plugin.shangan.apk
/data/data/####/net.tt.plugin.taiku (deleted)
/data/data/####/net.tt.plugin.taiku.apk
/data/data/####/net.tt.plugin.utadv (deleted)
/data/data/####/net.tt.plugin.utadv.apk
/data/data/####/net.tt.plugin.yufeng (deleted)
/data/data/####/net.tt.plugin.yufeng.apk
/data/data/####/net.tt.plugin.zhongzhi (deleted)
/data/data/####/net.tt.plugin.zhongzhi.apk
/data/data/####/plugin.jar
/data/data/####/pretw.xml
/data/data/####/rdata_comwjkziukz.new
/data/data/####/share_data.xml
/data/data/####/tmp.IF2078
/data/data/####/tmp.zM2078
/data/data/####/twc.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wochi_v4.db-journal
/data/media/####/.config
/data/media/####/qsha_80001_5096.jar
/data/media/####/qshp_3003_2272.zip
/data/media/####/tw
/data/media/####/tw.jar
/data/media/####/u.apk

Другие:

Запускает следующие shell-скрипты:

/system/bin/netcfg
cat /sys/block/mmcblk0/device/cid
chmod -R 755 <Package Folder>/Plugin

Загружает динамические библиотеки:

junyzflk
ugqthrwf

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней