Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Triada.940

Добавлен в вирусную базу Dr.Web: 2018-04-29

Описание добавлено:

Техническая информация

Вредоносные функции:
Отправляет СМС-сообщения:
  • 10658000: SSDS
  • 1065800830195200: 100#H9SXC01
  • 10690400330213: myqxt<IMSI>
  • 106904006189121: myqxt<IMSI>
Загружает на исполнение код следующих детектируемых угроз:
  • Android.DownLoader.441.origin
  • Android.SmsSend.21305
  • Android.SmsSend.23889
  • Android.Spy.205.origin
  • Android.Spy.398.origin
  • Android.Triada.236.origin
  • Android.Triada.243
  • Android.Triada.248.origin
  • Android.Triada.351.origin
  • Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(HTTP/1.1) pay.lik####.com:7820
  • TCP(HTTP/1.1) wap####.b####.com:80
  • TCP(HTTP/1.1) s####.tc.qq.com:80
  • TCP(HTTP/1.1) dws.you####.com.####.com:8080
  • TCP(HTTP/1.1) jx.ha####.com:80
  • TCP(HTTP/1.1) hm.b####.com:80
  • TCP(HTTP/1.1) tb1.bdst####.com:80
  • TCP(HTTP/1.1) mbd.n.sh####.com:80
  • TCP(HTTP/1.1) a####.xctr####.com:12580
  • TCP(HTTP/1.1) i####.b####.com:80
  • TCP(HTTP/1.1) a####.u####.com:80
  • TCP(HTTP/1.1) x####.ha####.com:80
  • TCP(HTTP/1.1) 1####.27.154.102:1234
  • TCP(HTTP/1.1) h5.b####.com:80
  • TCP(HTTP/1.1) p1.i####.cc:80
  • TCP(HTTP/1.1) pay.lik####.com:7830
  • TCP(HTTP/1.1) j####.b####.com:80
  • TCP(HTTP/1.1) s####.ha####.com:9999
  • TCP(HTTP/1.1) www.huangda####.com:80
  • TCP(HTTP/1.1) wap.n.sh####.com:80
  • TCP(HTTP/1.1) jx####.ha####.com:9999
  • TCP(TLS/1.0) b.bdst####.com:443
  • TCP(TLS/1.0) box.jom####.com:443
  • TCP(TLS/1.0) g####.bdst####.com:443
  • TCP(TLS/1.0) ti####.jom####.com:443
  • TCP(TLS/1.0) hpd.b####.com:443
  • TCP(TLS/1.0) wx.h5-####.com:443
  • TCP(TLS/1.0) ss0.b####.com:443
  • TCP(TLS/1.0) hm.b####.com:443
  • TCP(TLS/1.0) i####.b####.com:443
  • TCP(TLS/1.0) wap.n.sh####.com:443
Запросы DNS:
  • a####.u####.com
  • a####.xctr####.com
  • api.lik####.com
  • b.bdst####.com
  • do####.abc####.info
  • dws.you####.com
  • fex.bdst####.com
  • g####.bdst####.com
  • h5.b####.com
  • hm.b####.com
  • hpd.b####.com
  • i####.b####.com
  • j####.b####.com
  • jx####.ha####.com
  • jx.ha####.com
  • m.b####.com
  • mbd.b####.com
  • p1.i####.cc
  • pay.lik####.com
  • r####.wx.qq.com
  • s####.ha####.com
  • s.bdst####.com
  • ss0.b####.com
  • ss1.b####.com
  • ss2.b####.com
  • tb1.bdst####.com
  • timg####.b####.com
  • up####.abc####.info
  • wap####.b####.com
  • www.huangda####.com
  • wx.h5-####.com
  • x####.ha####.com
Запросы HTTP GET:
  • a####.xctr####.com:12580/log2?c=####
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.damai_p2018041...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.miwan_p2018041...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.myadv_p2017052...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.mysdk_p2018032...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.qipa_p20180419...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.shangan_p20180...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.taiku_p2017120...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.utadv_p2017081...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.yufeng_p201711...
  • dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.zhongzhi_p2018...
  • h5.b####.com/runtime/api/st?q=1524995916052&i=8c18f394-0183-e53c-9411-cd...
  • hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
  • hm.b####.com/hm.gif?cc=0&ck=1&cl=16-bit&ds=800x600&vl=681&et=0&ja=0&ln=e...
  • hm.b####.com/hm.js?7ba0390####
  • i####.b####.com/h5jscss/3de105a183436a4452e6cd6fca8f2dbd.main.css
  • i####.b####.com/h5jscss/4d0224539977a28fba31e20279a7644d.help.js
  • i####.b####.com/h5jscss/7724cc692e239d7be58b0c2a0bdfe3b9.main.js
  • i####.b####.com/h5jscss/9871c8b3762cf49d090f31d5239d7212.data.js
  • i####.b####.com/h5jscss/aio.js
  • i####.b####.com/h5jscss/b83d7a78ba26c52504856e7a947371a6_zepto.min.js
  • j####.b####.com/h5/bdprivilege.html?channel=####
  • jx####.ha####.com:9999/page/getPageContent.do?IMSI=####&V=####&imei=####...
  • jx.ha####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t=####...
  • mbd.n.sh####.com/tcbox?action=####&_=####&data=####
  • pay.lik####.com:7820/?igtcmd=####&iccid=####&imsi=####&imei=####&order=#...
  • pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####
  • pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&iccid=####&price=###...
  • pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&imsi=####
  • pay.lik####.com:7820/?igtcmd=####&order=####&state=####&paymsg=####&fing...
  • pay.lik####.com:7830/cdsapi?appid=####&merchantid=####&imsi=####&imei=##...
  • pay.lik####.com:7830/openplg?appid=####&channelid=####
  • s####.ha####.com:9999/log/stat.do?i=####&v=####&c=####&av=####&dm=####&t...
  • s####.tc.qq.com/open/js/jweixin-1.0.0.js
  • tb1.bdst####.com/tb/zt/yinyong02/jtb-0.5.0.min.js
  • wap####.b####.com/static/tj.gif?&_=####&cuid=####&pid=####&from=####&cha...
  • wap.n.sh####.com/
  • wap.n.sh####.com/static/searchbox/openjs/share.js?v=####
  • x####.ha####.com/getconfig.aspx
  • x####.ha####.com/getjar.aspx?pno=####
  • x####.ha####.com/versioncheck.aspx
Запросы HTTP POST:
  • a####.u####.com/app_logs
  • p1.i####.cc/index.php/MC/HB
  • pay.lik####.com:7820/
  • pay.lik####.com:7820/newsetlog
  • www.huangda####.com/doking/smsd!hiReect.action
Изменения в файловой системе:
Создает следующие файлы:
  • /data/anr/traces.txt
  • /data/data/####/.imprint
  • /data/data/####/0fbe2c48.apk
  • /data/data/####/3245C0D0r256c6j9y9i1o8p7g7r4u3.xml
  • /data/data/####/57CSXG4AkRf8mBYZ.zip
  • /data/data/####/5e996899-25e5-4740-827b-2b4024fae208.zip
  • /data/data/####/67FrdcF4gl2hImERCnpAug==.new
  • /data/data/####/CONFIG.xml
  • /data/data/####/DATA_DB-journal
  • /data/data/####/KooVrmclnZxDD3BodBEzDw==.new
  • /data/data/####/LGXEUljdGWi27Y-ctaxaHg==
  • /data/data/####/Signature_0.key
  • /data/data/####/aea56a9d18b3bc436e129e93e6e69f53.apk
  • /data/data/####/appStatus.xml
  • /data/data/####/base-1.apk
  • /data/data/####/base-1.dex
  • /data/data/####/base-1.dex (deleted)
  • /data/data/####/bbf7b44b-248b-4eba-828e-49d8cc82692b.zip
  • /data/data/####/config.xml
  • /data/data/####/data_0
  • /data/data/####/data_1
  • /data/data/####/data_2
  • /data/data/####/data_3
  • /data/data/####/dbinfo.xml
  • /data/data/####/done
  • /data/data/####/dp.apk
  • /data/data/####/eOaNAKS7ZFL-EL5m7K1DVQ==
  • /data/data/####/exchangeIdentity.json
  • /data/data/####/f_000001
  • /data/data/####/f_000002
  • /data/data/####/f_000003
  • /data/data/####/f_000004
  • /data/data/####/f_000005
  • /data/data/####/f_000006
  • /data/data/####/f_000007
  • /data/data/####/f_000008
  • /data/data/####/f_000009
  • /data/data/####/f_00000a
  • /data/data/####/f_00000b
  • /data/data/####/f_00000c
  • /data/data/####/f_00000d
  • /data/data/####/f_00000e
  • /data/data/####/f_00000f
  • /data/data/####/heajva_f.zip
  • /data/data/####/index
  • /data/data/####/j6c652r0D0C5423-journal
  • /data/data/####/n2-lXTPq9At8Dxrw
  • /data/data/####/net.tt.plugin.damai (deleted)
  • /data/data/####/net.tt.plugin.damai.apk
  • /data/data/####/net.tt.plugin.miwan (deleted)
  • /data/data/####/net.tt.plugin.miwan.apk
  • /data/data/####/net.tt.plugin.myadv (deleted)
  • /data/data/####/net.tt.plugin.myadv.apk
  • /data/data/####/net.tt.plugin.mysdk (deleted)
  • /data/data/####/net.tt.plugin.mysdk.apk
  • /data/data/####/net.tt.plugin.qipa (deleted)
  • /data/data/####/net.tt.plugin.qipa.apk
  • /data/data/####/net.tt.plugin.shangan (deleted)
  • /data/data/####/net.tt.plugin.shangan.apk
  • /data/data/####/net.tt.plugin.taiku (deleted)
  • /data/data/####/net.tt.plugin.taiku.apk
  • /data/data/####/net.tt.plugin.utadv (deleted)
  • /data/data/####/net.tt.plugin.utadv.apk
  • /data/data/####/net.tt.plugin.yufeng (deleted)
  • /data/data/####/net.tt.plugin.yufeng.apk
  • /data/data/####/net.tt.plugin.zhongzhi (deleted)
  • /data/data/####/net.tt.plugin.zhongzhi.apk
  • /data/data/####/plugin.jar
  • /data/data/####/pretw.xml
  • /data/data/####/rdata_comwjkziukz.new
  • /data/data/####/runtimeConfig.xml
  • /data/data/####/tmp.NK2073
  • /data/data/####/tmp.ed2073
  • /data/data/####/twc.xml
  • /data/data/####/umeng_general_config.xml
  • /data/data/####/umeng_it.cache
  • /data/data/####/webview.db-journal
  • /data/data/####/webviewCookiesChromium.db-journal
  • /data/data/####/wochi_v4.db-journal
  • /data/media/####/.config
  • /data/media/####/WyyyCrashLog_20180429095849_2169.log
  • /data/media/####/qsha_80001_5099.jar
  • /data/media/####/qshp_3003_2298.zip
  • /data/media/####/tw
  • /data/media/####/tw.jar
  • /data/media/####/u.apk
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/netcfg
  • cat /sys/block/mmcblk0/device/cid
  • chmod -R 755 <Package Folder>/Plugin
  • ls -l /system/bin/su
Загружает динамические библиотеки:
  • ghjazdfk
  • nmardfwc
Использует следующие алгоритмы для шифрования данных:
  • AES-CBC-PKCS5Padding
  • DES-ECB-NoPadding
  • DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
  • DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке