ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Triada.1005

Добавлен в вирусную базу Dr.Web: 2018-05-10

Описание добавлено:

Техническая информация

Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
  • Adware.Egame.1
  • Android.Triada.248.origin
  • Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(HTTP/1.1) sd####.cm####.com:80
  • TCP(HTTP/1.1) a####.u####.com:80
  • TCP(HTTP/1.1) l.ace####.com:80
  • TCP(HTTP/1.1) 2####.86.5.167:14840
  • TCP(HTTP/1.1) wap.cm####.com:7758
  • TCP(HTTP/1.1) app####.m####.cn:8080
  • TCP(HTTP/1.1) img.ace####.com:80
  • TCP(HTTP/1.1) 1####.159.18.80:8001
  • TCP(HTTP/1.1) and####.b####.qq.com:80
  • TCP(HTTP/1.1) int.d####.s####.####.cn:80
  • TCP(HTTP/1.1) sdk.cm####.com:80
  • TCP(HTTP/1.1) drm.cm####.com:80
  • TCP(HTTP/1.1) zvi####.v.qin####.com:80
  • TCP(HTTP/1.1) loc.map.b####.com:80
  • TCP(HTTP/1.1) 2####.111.8.140:8080
  • TCP(HTTP/1.1) 1####.159.18.80:8000
  • TCP(TLS/1.0) ssp.v####.com.####.com:443
  • TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
  • a####.u####.com
  • and####.b####.qq.com
  • app####.m####.cn
  • drm.cm####.com
  • f.up.v####.####.cn
  • img.ace####.com
  • int.d####.s####.####.cn
  • l.ace####.com
  • loc.map.b####.com
  • pay.v####.com.cn
  • sd####.cm####.com
  • sdk.cm####.com
  • ssp.v####.com.cn
  • wap.cm####.com
Запросы HTTP GET:
  • drm.cm####.com/egsb/game/getclientProvince?tel=####&iccid=####&imsi=####
  • drm.cm####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
  • drm.cm####.com/egsb/verification/checkSDKModuleUpdate?sdkVersion=####&co...
  • img.ace####.com/ando-res/ads/17/20/a8d34291-2bc8-4b2c-bd8b-4d09542c533e/...
  • img.ace####.com/ando-res/ads/31/19/0031a27f-36c1-4947-87d6-ef825ea8a691/...
  • sdk.cm####.com/download//moduleVersion/marketing_115_20180427154454422.jar
Запросы HTTP POST:
  • a####.u####.com/app_logs
  • and####.b####.qq.com/rqd/async
  • app####.m####.cn:8080/migusdk/tl/tcttl
  • app####.m####.cn:8080/migusdk/verification/checkSdkUpdate
  • drm.cm####.com/egsb/dataPlan/privateSwith
  • drm.cm####.com/egsb/desktopShortcut/queryAll
  • drm.cm####.com/egsb/discount/getPreQueryResult
  • drm.cm####.com/egsb/game/getPaymentCapability
  • drm.cm####.com/egsb/gshare/switches
  • drm.cm####.com/egsb/message/queryPushMessages
  • drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
  • drm.cm####.com/egsb/recommendGame/getAdvertisementList
  • drm.cm####.com/egsb/thirdPay/queryThirdPayInfo
  • int.d####.s####.####.cn/iplookup/iplookup.php
  • l.ace####.com/ando/v3/ap?app_id=####&r=####
  • l.ace####.com/ando/v3/lv?app_id=####&r=####
  • l.ace####.com/ando/v3/qa?app_id=####&r=####
  • loc.map.b####.com/sdk.php
  • sd####.cm####.com/behaviorLogging/eventLogging/accept?
  • wap.cm####.com:7758/normandie/QueryConfigPolicy
  • zvi####.v.qin####.com/usrsys/reportUsrsys?version=####
Изменения в файловой системе:
Создает следующие файлы:
  • /data/data/####/-1143945219847306209
  • /data/data/####/.imprint
  • /data/data/####/1tOy0WMF0P2G4l8LIygLEaaKAP8ne5lp.new
  • /data/data/####/2076.dex
  • /data/data/####/2076.dex (deleted)
  • /data/data/####/2275.dex
  • /data/data/####/370uh5B-Lb6p0J4WipGJNqoAeyUho3jn.new
  • /data/data/####/6EmuxvmsEVZH6o7fE1Ixfty7i-PU_rSW.new
  • /data/data/####/7qlBvrQnK9kzk68v_cthiF4-o1yV5KaM.new
  • /data/data/####/Alvin2.xml
  • /data/data/####/CbtBLAJclWDUsNDM
  • /data/data/####/CitiGame.ini.xml
  • /data/data/####/ContextData.xml
  • /data/data/####/DvweOs8TWZU02rn7xLhdEh1KqR7MEarF.new
  • /data/data/####/ED.ini
  • /data/data/####/GwJ1eCtBkAytYRNiuoxr0z7XK0Fm_cVX.new
  • /data/data/####/IAxXELMgIBI5gFiiR8COg0xDGRZq4b3b.new
  • /data/data/####/IplH7ry_t5uGdr8GliU8Ew==.new
  • /data/data/####/JApy2sXys2kw8leQ29py4kMKWwOsVwHeQXCbig==.new
  • /data/data/####/JELl3zFieE42r-QM.dex
  • /data/data/####/JELl3zFieE42r-QM.zip
  • /data/data/####/JWab5QhOiGAz0nJ4iSNq0Q==.new
  • /data/data/####/K5ogz-Z6APf1tigBEtbEGYrlBnk=.new
  • /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.cod
  • /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.dat
  • /data/data/####/MxG2vkSIT_LdJupZjQkU4Q==
  • /data/data/####/OWrjaRUYOYAwvLCYfmEDjkWSeX8=.new
  • /data/data/####/QqnIKKGQF5rO49sFCFnUmmGMVlE=.new
  • /data/data/####/Rrs7ioFH2s2vsrJ1X_pPNZrBhXwPl7ET.new
  • /data/data/####/Rs7dopGGtzbTXXd3pTVskY-L52pQOGDtgLaQC5qVlMo=.new
  • /data/data/####/SW1iZ8xiYpuiVcFqWOF7nw==.new
  • /data/data/####/UnzR99UPUjSt1BDltC7XTcuModcraSdmFGTZ8dsIl6Y=.new
  • /data/data/####/VivoOpenAdSDK.xml
  • /data/data/####/a8437ed3-1cca-4f12-8808-a994863b1870.pic.temp
  • /data/data/####/ab36d3b7-892d-4d6f-86a2-64814a836b83.pic
  • /data/data/####/abc.dex
  • /data/data/####/abc.jar
  • /data/data/####/abc.jar.temp
  • /data/data/####/abc.jpg
  • /data/data/####/abc.jpg.temp
  • /data/data/####/abc.jpg.temp (deleted)
  • /data/data/####/bugly_db_legu-journal
  • /data/data/####/c4e16189-887a-4384-8008-d9216071ce67.pic
  • /data/data/####/cc.db
  • /data/data/####/cc.db-journal
  • /data/data/####/com.zsfz.jpbc.vivo_preferences.xml
  • /data/data/####/d0a28977-e778-4963-ab7f-6f408a787448.pic.temp
  • /data/data/####/exchangeIdentity.json
  • /data/data/####/exid.dat
  • /data/data/####/gamedata.xml
  • /data/data/####/haHxprI_TGTg93oPaPGQTznkSvGoi2lFtm1W6A==.new
  • /data/data/####/libmgRun_05.22.09_01.so
  • /data/data/####/libmiguED.so
  • /data/data/####/libshella-2.8.so
  • /data/data/####/libufix.so
  • /data/data/####/local_crash_lock
  • /data/data/####/mgAS.dat
  • /data/data/####/mgSS.dat
  • /data/data/####/mgid.dat
  • /data/data/####/miguGameBillingRequestMonitor.xml
  • /data/data/####/mix.dex
  • /data/data/####/mvF1UCDd2zHpFyRJ2F-xaXiKCqM=.new
  • /data/data/####/nKntnmGchBoOj2GkG_Tu6NtGo5k=.new
  • /data/data/####/native_record_lock
  • /data/data/####/nvIUROgvRD1_-I79tbNevQ==
  • /data/data/####/oZIhRBjNwYV3_J1irOMedrXM-9Y=
  • /data/data/####/oz9ThTw6qBoXQxDdy9XZOkh005Q=.new
  • /data/data/####/playerData
  • /data/data/####/prefs_vivounionsdk.xml
  • /data/data/####/q8T1vcg1Xu9FZOUZEdg0gXwTFJiEaiTcgIB2hgo1YMI=.new
  • /data/data/####/q8yPtU7kB7WcIqe3Hsa03M9BaNPC4k2apEBLpw==.new
  • /data/data/####/rdata_comzsfzjpbcvivo.new
  • /data/data/####/runner_info.prop.new
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_8QbLwI...L1ZA==
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_8QbLwI...ournal
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_962PKj...ournal
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_962PKjTd4t_Giw_X
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_BfOPks...gM3p4=
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_BfOPks...ournal
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_FNvJ6s...i_3Q==
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_FNvJ6s...ournal
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_FwrVOz...ournal
  • /data/data/####/sY_-RzJ1dh5j3cNg67jIlDnWaXYDiPjPOnTiRg==_FwrVOzvo_Z2LWolp
  • /data/data/####/savefile.xml
  • /data/data/####/sdk_prefs
  • /data/data/####/security_info
  • /data/data/####/share.xml
  • /data/data/####/tlXy
  • /data/data/####/tlXy.dex
  • /data/data/####/tlXy.jar
  • /data/data/####/trackevents.db-journal
  • /data/data/####/tvXa_Dx70jaoibJz
  • /data/data/####/txjyaa_f.dex
  • /data/data/####/txjyaa_f.zip
  • /data/data/####/ua.db
  • /data/data/####/ua.db-journal
  • /data/data/####/ue-j8Ren3B8BiEUAdFeZ26Lp5tlNbcv-FWCf6tsjEa4=.new
  • /data/data/####/umeng_general_config.xml
  • /data/data/####/umeng_it.cache
  • /data/data/####/unionuserinfo.db-journal
  • /data/data/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
  • /data/data/####/wN75g-kdPsCsuqfHH2tSPygT2Zk=.new
  • /data/data/####/wOK5pG52D85QvkvX.new
  • /data/data/####/xcngame.xml
  • /data/media/####/.uunique.new
  • /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
  • /data/media/####/Alvin2.xml
  • /data/media/####/ContextData.xml
  • /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
  • /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
  • /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
  • /data/media/####/ShareData.txt
  • /data/media/####/c580d46c-75eb-429a-9a7b-4ebe4917790f.res
  • /data/media/####/ddbf0016-2e72-4cb7-96c8-028373c7ac2d.res
  • /data/media/####/deviceId
  • /data/media/####/marketing_115.jar
  • /data/media/####/pushDB.txt
  • /data/media/####/pushTime.txt
  • /data/media/####/pushTotal.txt
  • /data/media/####/r_pkDgN4OhnkSa0D
  • /data/media/####/sdk_prefs.txt
  • /data/media/####/sdkaccountinfo.db
  • /data/media/####/sdkaccountinfo.db-journal
  • /data/media/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
  • /system/bin/sh -c getprop ro.aa.romver
  • /system/bin/sh -c getprop ro.board.platform
  • /system/bin/sh -c getprop ro.build.fingerprint
  • /system/bin/sh -c getprop ro.build.nubia.rom.name
  • /system/bin/sh -c getprop ro.build.rom.id
  • /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
  • /system/bin/sh -c getprop ro.build.version.emui
  • /system/bin/sh -c getprop ro.build.version.opporom
  • /system/bin/sh -c getprop ro.gn.gnromvernumber
  • /system/bin/sh -c getprop ro.lenovo.series
  • /system/bin/sh -c getprop ro.lewa.version
  • /system/bin/sh -c getprop ro.meizu.product.model
  • /system/bin/sh -c getprop ro.miui.ui.version.name
  • /system/bin/sh -c getprop ro.vivo.os.build.display.id
  • /system/bin/sh -c type su
  • <Package Folder>/code-5960293/CbtBLAJclWDUsNDM -p <Package> -c <Package>.solid.OrangeReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
  • chmod 700 <Package Folder>/tx_shell/libnfix.so
  • chmod 700 <Package Folder>/tx_shell/libshella-2.8.so
  • chmod 700 <Package Folder>/tx_shell/libufix.so
  • chmod 777 <Package Folder>/files/abc.jar
  • getprop ro.aa.romver
  • getprop ro.board.platform
  • getprop ro.build.fingerprint
  • getprop ro.build.nubia.rom.name
  • getprop ro.build.rom.id
  • getprop ro.build.tyd.kbstyle_version
  • getprop ro.build.version.emui
  • getprop ro.build.version.opporom
  • getprop ro.gn.gnromvernumber
  • getprop ro.lenovo.series
  • getprop ro.lewa.version
  • getprop ro.meizu.product.model
  • getprop ro.miui.ui.version.name
  • getprop ro.vivo.os.build.display.id
  • getprop ro.vivo.os.version
  • getprop ro.yunos.version
  • logcat -d -v threadtime
  • sh <Package Folder>/code-5960293/CbtBLAJclWDUsNDM -p <Package> -c <Package>.solid.OrangeReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
  • Bugly
  • libmiguED
  • libnfix
  • libshella-2.8
  • libufix
  • megjb
  • nfix
  • ufix
  • vivo_account_sdk
Использует следующие алгоритмы для шифрования данных:
  • AES-CBC-PKCS5Padding
  • AES-CBC-PKCS7Padding
  • AES-GCM-NoPadding
  • DES-ECB-PKCS5Padding
  • RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
  • AES-GCM-NoPadding
  • DES-CBC-PKCS5Padding
  • DES-ECB-PKCS5Padding
  • RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

© «Доктор Веб»
2003 — 2022

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, д.2, корп.12А