Android.Triada.937

Техническая информация

Вредоносные функции:

Отправляет СМС-сообщения:

10658000: SSDS
1065800830195200: 100#H9SXC01
10690400330213: myqxt<IMSI>
106904006189121: myqxt<IMSI>

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.441.origin
Android.SmsSend.21305
Android.SmsSend.23889
Android.Spy.205.origin
Android.Spy.398.origin
Android.Triada.236.origin
Android.Triada.243
Android.Triada.248.origin
Android.Triada.351.origin
Android.Triada.373.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pay.lik####.com:7820
TCP(HTTP/1.1) c.hiph####.b####.com:80
TCP(HTTP/1.1) feed####.gsh####.com:80
TCP(HTTP/1.1) dws.you####.com.####.com:8080
TCP(HTTP/1.1) jx.ha####.com:80
TCP(HTTP/1.1) a####.xctr####.com:12580
TCP(HTTP/1.1) x####.ha####.com:80
TCP(HTTP/1.1) p1.i####.cc:80
TCP(HTTP/1.1) pay.lik####.com:7830
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) www.huangda####.com:80
TCP(HTTP/1.1) wap.n.sh####.com:80
TCP(TLS/1.0) wap####.b####.com:443
TCP(TLS/1.0) ss0.bdst####.com:443
TCP(TLS/1.0) box.jom####.com:443
TCP(TLS/1.0) mbd.n.sh####.com:443
TCP(TLS/1.0) fex.bdst####.com:443
TCP(TLS/1.0) ti####.jom####.com:443
TCP(TLS/1.0) ext.b####.com:443
TCP(TLS/1.0) mb####.n.sh####.com:443
TCP(TLS/1.0) hpd.b####.com:443
TCP(TLS/1.0) baiji####.b####.com:443
TCP(TLS/1.0) ss0.b####.com:443
TCP(TLS/1.0) g####.b####.com:443
TCP(TLS/1.0) t####.jom####.com:443
TCP(TLS/1.0) f####.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) g####.bdst####.com:443
TCP(TLS/1.0) wap.n.sh####.com:443
TCP(TLS/1.0) na0.bdst####.com.####.com:443

Запросы DNS:

a####.u####.com
a####.xctr####.com
api.lik####.com
au####.b####.com
baiji####.b####.com
c.hiph####.b####.com
do####.abc####.info
dws.you####.com
ext.b####.com
f####.b####.com
f10.b####.com
f11.b####.com
f12.b####.com
fex.bdst####.com
g####.b####.com
g####.bdst####.com
h####.b####.com
hpd.b####.com
jx.ha####.com
m.b####.com
mbd.b####.com
mo.b####.com
na0.bdst####.com
p1.i####.cc
pay.lik####.com
pic.rmb.bdst####.com
s.bdst####.com
ss0.b####.com
ss0.bdst####.com
ss1.b####.com
ss2.b####.com
sv.bdst####.com
ti####.b####.com
timg####.b####.com
up####.abc####.info
wap####.b####.com
www.huangda####.com
x####.ha####.com

Запросы HTTP GET:

a####.xctr####.com:12580/log2?c=####
c.hiph####.b####.com/news/pic/item/42a98226cffc1e17c05a176d4390f603728de...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.damai_p2018041...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.miwan_p2018041...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.myadv_p2017052...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.mysdk_p2018032...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.qipa_p20180419...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.shangan_p20180...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.taiku_p2017120...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.utadv_p2017081...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.yufeng_p201711...
dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.zhongzhi_p2018...
feed####.gsh####.com/15237568750315559f0bf47bb9f799b6c083cdb242.png
feed####.gsh####.com/679fdd011493770a19166706f9f28fa9.jpg
feed####.gsh####.com/e9d0f7a7d558163b84986b7823f6d031.png
feed####.gsh####.com/fd1e45958b0c9c957602714b21de4460.jpg
jx.ha####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t=####...
pay.lik####.com:7820/?igtcmd=####&iccid=####&imsi=####&imei=####&order=#...
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&iccid=####&price=###...
pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&imsi=####
pay.lik####.com:7820/?igtcmd=####&order=####&state=####&paymsg=####&fing...
pay.lik####.com:7830/cdsapi?appid=####&merchantid=####&imsi=####&imei=##...
pay.lik####.com:7830/openplg?appid=####&channelid=####
wap.n.sh####.com/
x####.ha####.com/getjar.aspx?pno=####

Запросы HTTP POST:

a####.u####.com/app_logs
p1.i####.cc/index.php/MC/HB
pay.lik####.com:7820/
www.huangda####.com/doking/smsd!hiReect.action
www.huangda####.com/resource!plugUpdate

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/0fbe2c48.apk
/data/data/####/3245C0D0r256c6j9y9i1o8p7g7r4u3.xml
/data/data/####/57CSXG4AkRf8mBYZ.zip
/data/data/####/6019c10c-4e09-4ff8-837a-8741f08e6863.zip
/data/data/####/67FrdcF4gl2hImERCnpAug==.new
/data/data/####/CONFIG.xml
/data/data/####/DATA_DB-journal
/data/data/####/KooVrmclnZxDD3BodBEzDw==.new
/data/data/####/LGXEUljdGWi27Y-ctaxaHg==
/data/data/####/Signature_0.key
/data/data/####/a011752b-3965-4bd8-8281-ee54cdaf0246.zip
/data/data/####/appStatus.xml
/data/data/####/base-1.apk
/data/data/####/base-1.dex
/data/data/####/base-1.dex (deleted)
/data/data/####/cebd1594c13833728a763bd9da18896e.apk
/data/data/####/config.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/done
/data/data/####/dp.apk
/data/data/####/eOaNAKS7ZFL-EL5m7K1DVQ==
/data/data/####/exchangeIdentity.json
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/heajva_f.zip
/data/data/####/index
/data/data/####/j6c652r0D0C5423-journal
/data/data/####/n2-lXTPq9At8Dxrw
/data/data/####/net.tt.plugin.damai (deleted)
/data/data/####/net.tt.plugin.damai.apk
/data/data/####/net.tt.plugin.miwan (deleted)
/data/data/####/net.tt.plugin.miwan.apk
/data/data/####/net.tt.plugin.myadv (deleted)
/data/data/####/net.tt.plugin.myadv.apk
/data/data/####/net.tt.plugin.mysdk (deleted)
/data/data/####/net.tt.plugin.mysdk.apk
/data/data/####/net.tt.plugin.qipa (deleted)
/data/data/####/net.tt.plugin.qipa.apk
/data/data/####/net.tt.plugin.shangan (deleted)
/data/data/####/net.tt.plugin.shangan.apk
/data/data/####/net.tt.plugin.taiku (deleted)
/data/data/####/net.tt.plugin.taiku.apk
/data/data/####/net.tt.plugin.utadv (deleted)
/data/data/####/net.tt.plugin.utadv.apk
/data/data/####/net.tt.plugin.yufeng (deleted)
/data/data/####/net.tt.plugin.yufeng.apk
/data/data/####/net.tt.plugin.zhongzhi (deleted)
/data/data/####/net.tt.plugin.zhongzhi.apk
/data/data/####/pretw.xml
/data/data/####/tmp.Nl2079
/data/data/####/tmp.kt2079
/data/data/####/tpservices.xml
/data/data/####/twc.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wochi_v4.db-journal
/data/media/####/.config
/data/media/####/qsha_80001_5099.jar
/data/media/####/qshp_3003_2298.zip
/data/media/####/tw
/data/media/####/u.apk

Другие:

Запускает следующие shell-скрипты:

/system/bin/netcfg
cat /sys/block/mmcblk0/device/cid
chmod -R 755 <Package Folder>/Plugin

Загружает динамические библиотеки:

jhztlrnc
vsbfdykx

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES-ECB-NoPadding
DES-ECB-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней