Android.Triada.1254

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Triada.248.origin
Android.Triada.373.origin
Android.Xiny.1513

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10003
TCP(HTTP/1.1) l.ace####.com:80
TCP(HTTP/1.1) img.ace####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
TCP(HTTP/1.1) 1####.159.103.205:8090
TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10101
TCP(HTTP/1.1) api.y####.com:8080
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) larg####.c####.l####.####.com:80
TCP(HTTP/1.1) xz####.zhan####.com:10011
TCP(HTTP/1.1) 2####.73.211.68:5292
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) 1####.55.93.104:9004
TCP(HTTP/1.1) pa.angs####.com:8003
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) 1####.159.131.193:10201
TCP(HTTP/1.1) p1.i####.cc:80
TCP(HTTP/1.1) a####.angs####.com.####.com:5285
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) 1####.129.132.111:8001
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) 1####.159.152.136:8090
TCP(HTTP/1.1) www.palmfun####.cn:80
TCP(HTTP/1.1) v####.api.eeric####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
TCP(HTTP/1.1) d.angs####.com:5284
TCP(TLS/1.0) hm.b####.com:443
TCP 1####.196.192.72:9920

Запросы DNS:

a####.angs####.com
a####.b####.qq.com
a####.u####.com
a.funr####.cn
aexcep####.b####.qq.com
and####.b####.qq.com
api.y####.com
c####.api.qiazhiw####.cn
d.angs####.com
hm.b####.com
i####.api.qiazhiw####.cn
i####.api.qiazhiw####.cn
img.ace####.com
ji####.dl####.com
ji####.jieme####.com
l####.i####.cc
l.ace####.com
loc.map.b####.com
oc.u####.com
p1.i####.cc
pa.angs####.com
pv.s####.com
sdk.api.qiazhiw####.cn
v####.api.eeric####.com
wn.qiazhiw####.cn
www.palmfun####.cn
x####.bj####.cn
xz####.zhan####.com

Запросы HTTP GET:

a####.angs####.com.####.com:5285/AppDownLoad/apk/downloadAPK?appId=####
api.y####.com:8080/sdk/mobile-area?model=####&cellid=####&osbuild=####&i...
gdv.a.s####.com/cityjson?ie=####
img.ace####.com/ando-res/ads/20/29/52cf4fb4-927e-44f8-a34d-74fde8ecb410/...
img.ace####.com/ando-res/ads/26/29/746e67ba-3669-4541-be7b-a919a761b824/...
img.ace####.com/ando-res/ads/3/2/eff3c843-7d88-43f5-8d7e-c94c4a29226a/e1...
img.ace####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/...
l.ace####.com/ando/im/mn?k=####&d=####&m=####
l.ace####.com/ando/im/mn?k=####&d=####&t=####&m=####
larg####.c####.l####.####.com/fiction/image/banner3.jpg
larg####.c####.l####.####.com/fiction/image/man_1.jpg
larg####.c####.l####.####.com/fiction/image/man_2.jpg
larg####.c####.l####.####.com/fiction/image/man_3.jpg
larg####.c####.l####.####.com/fiction/image/man_4.jpg
larg####.c####.l####.####.com/fiction/image/man_5.jpg
larg####.c####.l####.####.com/html/wap/share4.html
q####.a####.com/jieplginf/wchenhddats23
q####.a####.com/znewxinzffe/zxkjsres71n
wn.qiazhiw####.cn.####.net/update/up06057081

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.u####.com/app_logs
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
d.angs####.com:5284/android.frontserver/pcsvc
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
l.ace####.com/ando/v2/ap?app_id=####&r=####
l.ace####.com/ando/v2/lv?app_id=####&r=####
l.ace####.com/ando/v2/qa?app_id=####&r=####
loc.map.b####.com/sdk.php
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
p1.i####.cc/index.php/MC/HB
p1.i####.cc/index.php/MC/LP
p1.i####.cc/index.php/MC/RP
p1.i####.cc/index.php/MC/UPM
pa.angs####.com:8003/pps
sdk.api.qiazhiw####.cn:10001/v2/adconfig/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/sdk/init?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
sdk.api.qiazhiw####.cn:10003/v2/chis
sdk.api.qiazhiw####.cn:10101/v2/order/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10101/v2/splog/config?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
v####.api.eeric####.com/api/payment/mobileInit.html
v####.api.eeric####.com/api/payment/payDynamic.html
www.palmfun####.cn/fee/active
www.palmfun####.cn/fee/code
www.palmfun####.cn/fee/searchpc
xz####.zhan####.com:10011/zxhypay/action/updatexzf.do

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/0C3E1782C1F853AF.jar.i
/data/data/####/0C3E1782C1F853AFwh.jar
/data/data/####/1B3A2967E5FD862EFD957606C65C8122
/data/data/####/1QMOEyCOjxpcWeaYLbWXBA==
/data/data/####/24d948e3-0a00-445a-9f00-4b0e2ec829dc.pic.temp
/data/data/####/2887A00B589C85A5FF5607D7EB45E7C8
/data/data/####/30592A6B8B0C769E3F7FDE6E1A033DF5
/data/data/####/32j5g0E0a216f699h9l168r7975473.xml
/data/data/####/347781996620052-journal
/data/data/####/3PtIaG2INHJz_5LvGjwU9dw0o1K-dYJo.new
/data/data/####/6933301f-a634-44c9-9311-8a9c6f303d76.pic.temp
/data/data/####/8Vs31qg7PW-S2mnbUuciHTpDlNWvnaP3.new
/data/data/####/925777de-23fd-47ed-ab4f-468e4b26839b.pic.temp
/data/data/####/9P7LGZ9oPpvoCblMQF3RNtcFX_c=.new
/data/data/####/AEE69129416B4F5D.jar.i
/data/data/####/AEE69129416B4F5Dwh.jar
/data/data/####/CetAiXqqc-uljHFm.zip
/data/data/####/Cn4bT4wuyfxkDty_CbHkp4b6FcXoppJmiMr7rQ==.new
/data/data/####/CqNjbnlk-P2QGBMyrJEFoA==.new
/data/data/####/D99494BB10D048C393648C204AF8AA38
/data/data/####/DgMmzVFCwk3xECNF.new
/data/data/####/DnppdxpICxI1tuOe-R5r8qQniEw=.new
/data/data/####/F85C58A2196623557E8A00D8A4680702
/data/data/####/GhoWRIuenYmvF7iImkf1bg0lEJil-6B4ADcBEQ==.new
/data/data/####/HPjlJC0UZXWdTCmCJHkOVp6r2eBqjEGEceSktXn71lQ=.new
/data/data/####/J4SVkVzpu2j8p4m5PETyAYdmJx13yLxp.new
/data/data/####/M0Tj02uzENJslMg8ze6CzS9WEY_7MREr.new
/data/data/####/NNEFnZ0iAhvVMN-ievWcgakwLtYH6Wx24MHd8rhaJn0=.new
/data/data/####/PyL5hUTrfigpPtVcAXXsxIsTbx0=.new
/data/data/####/RU-fKjRvucNjzWXUAxS6OeIbf_ZqI17HgSfEsfX_eUw=.new
/data/data/####/WiHfLesa2vMbs2IJvpNbIw==.new
/data/data/####/XinZF_conf.xml
/data/data/####/a3b0c5eb-99ce-4033-b490-bca2b746a30d.pic.temp
/data/data/####/a41ef78f80bd3e308dc65bb85a782673.xml
/data/data/####/bff4288d-7353-4269-a686-d356e293a292.pic
/data/data/####/bugly_db_legu-journal
/data/data/####/bugly_trace_1530174866951.txt
/data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.ysbb.akdgfhgjgf.com.sdk.a.a_mseg.db
/data/data/####/com.ysbb.akdgfhgjgf.com.sdk.a.a_mseg.db-journal
/data/data/####/com.ysbb.akdgfhgjgf.com.yf.y.f.init.pay.a.a_sms...ournal
/data/data/####/com.ysbb.akdgfhgjgf.com.yf.y.f.init.pay.a.a_smspay.db
/data/data/####/com.ysbb.akdgfhgjgf.xml
/data/data/####/com.ysbb.akdgfhgjgf.xml.bak (deleted)
/data/data/####/com.ysbb.akdgfhgjgf_preferences.xml
/data/data/####/com_android_command_nn_v.xml
/data/data/####/config50083.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db3284fc93bacac81bd058e5fb28483c.xml
/data/data/####/e2dcea10-c826-4a42-b213-5552319cb550.pic
/data/data/####/e5a7fd91687a94e8eba9a721ad5e9ded.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/h1u2Ty8r9F4vWZnnQITVP2Tiy88=.new
/data/data/####/ibIuUekHHWSupl_ennQMKN3DSGr3wJnU.new
/data/data/####/index
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/kb_idle.ini
/data/data/####/kb_sn.ini
/data/data/####/kv_cf.ini
/data/data/####/libnfix.so
/data/data/####/libshella-2.8.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/miQ0hX8mKs2msj4lxHjXwMNERrXKC2Jr51kj7_xThqU=.new
/data/data/####/mix.dex
/data/data/####/native_record_lock
/data/data/####/new_md.jar
/data/data/####/new_md.jar (deleted)
/data/data/####/nn_app.xml
/data/data/####/onlineconfig_agent_online_setting_com.ysbb.akdgfhgjgf.xml
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_0zlCiprQ2rdZb6PK
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_0zlCiprQ2rdZb6PK-journal
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_4ajA6-K2EB4=-journal
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_7VRmpU4RdfNayF...j4MTU=
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_7VRmpU4RdfNayF...ournal
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_IcSg7TzHRcdvnX--g942uw==
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_IcSg7TzHRcdvnX...ournal
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_VzHF2Gkn9TyR2h...ournal
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_VzHF2Gkn9TyR2hnJ2ZSQng==
/data/data/####/piecik_QSSlRy2rihoMcFJfwBp7IHimM_webview.db-journal
/data/data/####/ppashow.dat
/data/data/####/q9K1iW9lSMDw06bCoZqHPrbXMeMdYHEs.new
/data/data/####/rbKSWZFYhcoaD8i_FdD9TyK4cOIKBzO-NLHVmQ==.new
/data/data/####/rdata_comeuvnvnza.new
/data/data/####/runner_info.prop.new
/data/data/####/security_info
/data/data/####/shunpay_config
/data/data/####/sybg_f.zip
/data/data/####/uA6IDP_UUAivLXZ6Y_GVFcE5Mqc=.new
/data/data/####/uG0XhH_Mgb3Q_8s9
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up06057081
/data/data/####/up06057081.jar
/data/data/####/up06057081.jar (deleted)
/data/data/####/wXoTn34XGC1epjR_
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wkEATR0G2HFSCmFjAZkauqaoNeE=
/data/data/####/xBhMrWvqGhhz4ZOC676J_G58VHeudniK.new
/data/data/####/xHaDYYKIL3H1i1UBhzSd2g==
/data/data/####/xUf_gwD35wp8EDkE-_CHQzzELAYHUS2V.new
/data/data/####/xf35S87xCOWHC1UPgkldcry4cwQ=.new
/data/data/####/yf.apk
/data/data/####/yf.dex (deleted)
/data/data/####/yg5gb2yYf3jP7eQ6ZF0577Pg4NruHaKb.new
/data/data/####/yqbMdTmCmXEqS0D0WLiNEw==.new
/data/data/####/zxxinzf.apk
/data/data/####/zxxinzf.apkdata
/data/data/####/{6109AB2B-769CFABF}_{CB323FFC-04DCCC6C}.P2
/data/data/####/{BE2355DB-D785E335}.PC1
/data/data/####/{CB323FFC-04DCCC6C}.P1
/data/data/####/{CB323FFC-04DCCC6C}.P3
/data/media/####/.uunique
/data/media/####/.uunique.new
/data/media/####/0c053d11-f620-4483-a5c3-956f4671c03b.res
/data/media/####/1e7c3723-2227-435a-89db-2626f0eddec0.res
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/6d754368-4240-4d2d-8e62-9ed91b40bd5e.res
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/ec32493f-76ed-4707-bb14-508534cc1a90.res
/data/media/####/pConifg.ini
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/code-765412/uG0XhH_Mgb3Q_8s9 -p <Package> -c com.euvn.vnza.ufhhbw.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
cat /proc/cpuinfo
cat /sys/block/mmcblk0/device/cid
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.8.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.product.cpu.abi2
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/code-765412/uG0XhH_Mgb3Q_8s9 -p <Package> -c com.euvn.vnza.ufhhbw.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

Bugly
cocos2dcpp
libnfix
libshella-2.8
libufix
nfix
shunpay
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней