Android.Backdoor.1408

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Backdoor.657.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) cdn.avazutr####.net:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) wn.pos.b####.com:80
TCP(HTTP/1.1) c####.360.cn:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) ap####.adi####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) pic.e####.cn:80
TCP(HTTP/1.1) adalli####.zmen####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 1####.26.247.23:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) apilo####.a####.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) api.e####.cn:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224
TCP 4####.62.94.2:443
TCP 1####.11.52.16:443
TCP 47.74.1####.156:5222

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a.e####.cn
acc####.m.ta####.com
adalli####.zmen####.com
ag####.m.ta####.com
amdc####.m.ta####.com
ap####.adi####.com
api####.a####.com
api.e####.cn
api.map.b####.com
api.s####.mob.com
c####.360.cn
c####.g####.ig####.com
c-h####.g####.com
c.appj####.com
c.d####.mob.com
cdn.avazutr####.net
m.d####.mob.com
pic.e####.cn
plb####.u####.com
regi####.xm####.xi####.com
reso####.msg.xi####.net
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com
umen####.m.ta####.com
wn.pos.b####.com

Запросы HTTP GET:

a.e####.cn/public/getClickUrlPoList.shtml?lng=####&sd=####&screenheight=...
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/setMachineUa.shtml?lng=####&sd=####&screenheight=####&...
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
adalli####.zmen####.com/zmtmobads/v1/impl.do?param=####
ap####.adi####.com/tj?key=####&rd=####&req=####&token=####
api.map.b####.com/location/ip?ak=####&coor=####
api.map.b####.com/location/ip?ak=####&qq-pf-to=####&machine=####&version...
cdn.avazutr####.net/images/201806/039/b70802c0cc9e62b88a99390012daff68_3...
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
pic.e####.cn/web/239358613.jpg!s1
pic.e####.cn/web/242249312.jpg!s1
pic.e####.cn/web/243178223.jpg!s1
pic.e####.cn/web/244101828.jpg!s1
pic.e####.cn/web/246739396.jpg!s1
pic.e####.cn/web/247034964.jpg!s1
pic.e####.cn/web/247677289.jpg!m3
pic.e####.cn/web/249866838.jpg!s1
pic.e####.cn/web/253194412.jpg!m3
pic.e####.cn/web/253297261.jpg!s1
pic.e####.cn/web/254155803.jpg!m3
pic.e####.cn/web/255210088.jpg!s1
pic.e####.cn/web/256298592.jpg!s1
pic.e####.cn/web/256449852.jpg!s1
pic.e####.cn/web/256449958.jpg!s1
pic.e####.cn/web/256455071.jpg!s1
pic.e####.cn/web/256532691.jpg!s1
pic.e####.cn/web/256950788.jpg!s1
pic.e####.cn/web/257236981.jpg!s1
pic.e####.cn/web/257468645.jpg!s1
pic.e####.cn/web/257664338.jpg!m4
pic.e####.cn/web/258117537.jpg!s1
pic.e####.cn/web/258214556.jpg!s1
pic.e####.cn/web/258304032.jpg!s1
pic.e####.cn/web/258604369.jpg!s1
pic.e####.cn/web/258807042.jpg!s1
pic.e####.cn/web/259071380.jpg!s1
pic.e####.cn/web/260020967.jpg!s1
pic.e####.cn/web/260029491.jpg!s1
pic.e####.cn/web/260518387.jpg!s1
pic.e####.cn/web/260543089.jpg!s1
pic.e####.cn/web/260600215.jpg!m4
pic.e####.cn/web/260607748.jpg!m4
pic.e####.cn/web/260607813.jpg!m4
pic.e####.cn/web/260608008.jpg!m4
pic.e####.cn/web/260608354.jpg!m4
pic.e####.cn/web/260608574.jpg!m4
pic.e####.cn/web/260609925.jpg!m4
pic.e####.cn/web/260610026.jpg!m4
pic.e####.cn/web/260610152.jpg!s1
pic.e####.cn/web/260629393.jpg!s1
pic.e####.cn/web/260799906.jpg!s1
pic.e####.cn/web/261032738.jpg!m720
pic.e####.cn/web/261033063.jpg!m720
pic.e####.cn/web/261033074.jpg!m720
pic.e####.cn/web/261036262.jpg!m4
pic.e####.cn/web/261041986.jpg!m720
pic.e####.cn/web/261041988.jpg!m720
pic.e####.cn/web/261045172.jpg!m4
pic.e####.cn/web/46069981.jpg!m4
pic.e####.cn/web/46886268.jpg!s1
pic.e####.cn/web/47425732.jpg!m4
pic.e####.cn/web/47588187.jpg!m4
pic.e####.cn/web/50486975.jpg!s1
reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
t####.c####.q####.####.com/tdata_LhB659
t####.c####.q####.####.com/tdata_SzD730
ti####.c####.l####.####.com/config/hz-hzv3.conf
wn.pos.b####.com/adx.php?c=####&ext=####

Запросы HTTP POST:

a####.exc.mob.com/errconf
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
api.s####.mob.com/conn
api.s####.mob.com/snsconf
apilo####.a####.com/v3/log/init
c####.360.cn/stra_packet
c-h####.g####.com/api.php?format=####&t=####
c.appj####.com/ad/splash/stats.html
c.d####.mob.com/v3/cdata
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgrpa.xml
/data/data/####/.lock
/data/data/####/.log.lock
/data/data/####/.log.rpa
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/034ec2a930f220b8974782e3d46c996eb0cdbf1af941ecc....0.tmp
/data/data/####/0956209985467d3c2bcf1ff92b6d3215694ccd53a9fb99d....0.tmp
/data/data/####/0c1a092f8978836c2f77f156e088524e61f60f1e8274db1....0.tmp
/data/data/####/0d01bff880625b573b2789b12720640ff1d12eb121dff23....0.tmp
/data/data/####/1c2d25da86f2759fcfa2cea62108c31735930c8cfb06b91....0.tmp
/data/data/####/229e13cc7925f6fe249945ce3709e3e1435056a16c9c582....0.tmp
/data/data/####/232955ac80301417e9fc12d6da20ba268097000ab00ea8b....0.tmp
/data/data/####/2c3163fa863e31f620ea7ad1ce4cbfcd3e8a114f7921a1e....0.tmp
/data/data/####/2caa19bfffce346ca6c943103762197c9a47a12e3e1b5ec....0.tmp
/data/data/####/31baa00d406bb7b22fbeef8d3bba75e9fd8e90ee90c4682....0.tmp
/data/data/####/382c92a6417193fc9c5a8a729d2e358d2e079a5d5522065....0.tmp
/data/data/####/3c8233a23f30f51a44ebfadc1bae294585a4983999c02c3....0.tmp
/data/data/####/445bd4fb4980bc12e86ab8c4247860ad1d94cb2a19037b0....0.tmp
/data/data/####/451ea53e69f4312c72289e99faf6a4dc982fbdae6398783....0.tmp
/data/data/####/4551c5f999024dadde09174ffabb53792498de85d529cf7....0.tmp
/data/data/####/50b0d4a571f2d36803fe53d8034e957701fb16fc2f7c14b....0.tmp
/data/data/####/52adc37732c1cc1062f8010a09fe86ed4ede9661d2efa0f....0.tmp
/data/data/####/530e664f33ba12755b27735d0abf54f6b6d716bf4029f83....0.tmp
/data/data/####/566f99444a31474eb29fa54a4aa446f90855495489fc3a1....0.tmp
/data/data/####/56b49f22d79c92a3dee49b66d2d7441cd868579ea74216e....0.tmp
/data/data/####/573821bf0624183918e0a26320c13e5c2f6dababe048bc3....0.tmp
/data/data/####/6478419892117855703037ed86f5926aed885cfc5491d47....0.tmp
/data/data/####/6cd285e2cb6bb1baf8aaf4aa1519de58ae29d42a5fffcc2....0.tmp
/data/data/####/727c2200b6a8b5c0df6fcb112a07c855bfbd97511018900....0.tmp
/data/data/####/72f4447955b48733765cd6e24e49e8b28f7dce37a635534....0.tmp
/data/data/####/76048c73ede7db500751e851ec41b879fab5e119fb5d2ae....0.tmp
/data/data/####/7b01dce246bc4e8dc488a0b959eb728a21a12c0504cf854....0.tmp
/data/data/####/7e8071ded664bbcc86a9d54562190309f0035caca257231....0.tmp
/data/data/####/8e7b95b514fc02a0cd8275de15ea555d10bd972e0699732....0.tmp
/data/data/####/94ae243df987a05435669828e9866d98839413b775ed88d....0.tmp
/data/data/####/967ed2500463f26197fe119d2173a933127e8b21e38ca80....0.tmp
/data/data/####/97a07604eca70f3761dc6ad2a482036c9c2a1d829774b01....0.tmp
/data/data/####/ACCS_BINDumeng;4f84d47f527015462b00002a.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UserAgent.xml
/data/data/####/XMPushServiceConfig.xml
/data/data/####/a12d5870fbeff11912dc96f4face3e42582df1fe4082413....0.tmp
/data/data/####/a437de87e6e3a0182f8c12007cb338a1efa3c05e5607b0b....0.tmp
/data/data/####/a86128a712a45b22adc13c706155a76aaa4a0ea59e6a902....0.tmp
/data/data/####/a==7.3.2&&13.9.2_1529783409540_envelope.log
/data/data/####/accs.db-journal
/data/data/####/ad_show_time.xml
/data/data/####/afd2680bc261f9c2279ef93b4009960256c8b2975ae2fb7....0.tmp
/data/data/####/agoo.pid
/data/data/####/b5ee6b6a7e736fb072cb3f4c1e6f4eb947642d81ca82f5f....0.tmp
/data/data/####/b627c6799729b6b0b2cf19766cc60d865372ed31c96b4b5....0.tmp
/data/data/####/b7e2ece49f234ce2c4e18e63fe40d99a48e92e10eed0e4d....0.tmp
/data/data/####/bbedd428ffb0e9266201eb47ecd3ef353bf5d9c66dfde39....0.tmp
/data/data/####/c162ed052ec51b40aace471ddd52d5512fb5718978ba3b1....0.tmp
/data/data/####/c9c77f24f1ac1fdaca2ee8df26c7f95646d9dc6306bedc2....0.tmp
/data/data/####/c9e12061480e606e35899b8080f87d2d4a79c193ea48379....0.tmp
/data/data/####/cfb218c835a7b26fcb61907332bcb91f03a64cab76212ef....0.tmp
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecook;pushservice
/data/data/####/com.google.android.gms.analytics.prefs.xml
/data/data/####/d629b2470e856c71475d9368f979bf5e663102188a4c255....0.tmp
/data/data/####/d90d8388e48a5ebde8342f9b81a906bd0895d818e24cc93....0.tmp
/data/data/####/d==7.3.2&&13.9.2_1529783409793_envelope.log
/data/data/####/d==7.3.2&&13.9.2_1529783414504_envelope.log
/data/data/####/d==7.3.2&&13.9.2_1529783450639_envelope.log
/data/data/####/d==7.3.2&&13.9.2_1529783453726_envelope.log
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dbd747c5816b1e179eae59bf7a3b5601cb04b0e04924aea....0.tmp
/data/data/####/dc2e855c0fec85af4ff426d570a70bc766fd415d4571c3e....0.tmp
/data/data/####/e8dd3256e4ac5994ab8a9a8b84159c06a835386d90fc8cf....0.tmp
/data/data/####/ebef3f45b1f2872c0a3050a3725c06db583fc6711c36a76....0.tmp
/data/data/####/ee6084590b7bf62ec74820f1835545cb8d6e876a7e026a5....0.tmp
/data/data/####/ee6f01759731a71cc0aac416ab6103f088687a6c3eb9a19....0.tmp
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f7b2f1f9242dd59885eba3eedc112b1fc1aa2a45d2a299a....0.tmp
/data/data/####/f9826850d88588dea5db87b4eb1b68e4afbd71da661d2a9....0.tmp
/data/data/####/fb130f6ce3970d5ba201b20562e708b503b707bc710328d....0.tmp
/data/data/####/gaClientId
/data/data/####/gdaemon_20161017
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/google_analytics_v4.db-journal
/data/data/####/gx_sp.xml
/data/data/####/i==1.2.0&&13.9.2_1529783408213_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/journal.tmp
/data/data/####/last_know_location.xml
/data/data/####/libjiagu-1002325160.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/share_sdk_1
/data/data/####/tdata_LhB659
/data/data/####/tdata_LhB659.jar
/data/data/####/tdata_SzD730
/data/data/####/tdata_SzD730.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lesd_lock
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.umm.dat
/data/media/####/230cfe14d60d42dcab2bb4d407389852
/data/media/####/3e2cb406225c47dfad79324224ed3105
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/cn.ecook.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/deviceToken
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/log.lock
/data/media/####/log1.txt
/data/media/####/tdata_LhB659
/data/media/####/tdata_SzD730
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:4f84d47f527015462b00002a","utdid":"Wy6kcJOp6WADAGdzx1EdqnD5","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 23784 300 0
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu-1002325160.so
ls /
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

getuiext2
libjiagu-1002325160
pldroidplayer
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней