Android.Triada.2533

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.440.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) dc.l####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) src.r####.com.####.com:80
TCP(HTTP/1.1) f####.mom####.cn:80
TCP(HTTP/1.1) sdk.c####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) an####.l####.com:443
TCP(TLS/1.0) res.k####.com:443
TCP(TLS/1.0) co####.in####.cn:443
TCP(TLS/1.0) o####.k####.com:443
TCP(TLS/1.0) s####.w.in####.cn:443
TCP(TLS/1.0) sdkc####.e.360.cn:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) w.vip.a####.####.cn:443
TCP 1####.121.49.106:7002
UDP s.j####.cn:19000

Запросы DNS:

a####.u####.com
an####.l####.com
and####.b####.qq.com
co####.in####.cn
dc.l####.com
f####.mom####.cn
i.w.in####.cn
imgc####.qq.com
log.k####.com
mi.g####.qq.com
o####.k####.com
p####.ugd####.com
qzones####.g####.cn
res.k####.com
s####.e.qq.com
s####.j####.cn
s####.w.in####.cn
s.j####.cn
sdk.c####.com
sdkc####.e.360.cn
src.r####.com
tj.a####.cn
up####.sdk.jig####.cn
v.g####.qq.com

Запросы HTTP GET:

f####.mom####.cn/upload/tmp/2018-11/9202f006842237c3ae921a884f481038.png
f####.mom####.cn/upload/tmp/2018-11/a34294b2b88445e4e8b2b5fd02d37149.png
f####.mom####.cn/upload/tmp/2018-11/b5914f1a23358c814f254f99fe1130fe.jpg
mi.g####.qq.com/gdt_mview.fcg?actual_width=####&count=####&r=####&templa...
mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.appcache
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.html
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/banner_close_b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg03.jpg
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg07.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close02.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close03.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon....
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon_...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/gdt_logo_black...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/icon-ad.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/sdk_bg.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tc-gdt-sdk-ope...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js-release/20170821/b...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js/lib/require.js
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android03/js-release/1.1.0/nati...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
s####.tc.qq.com/gdt/0/DAAcNp8AMgASwAAuBbmN6EAP3DLnM3.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAf_cCAUAALQABUBb49TlCAWgGr-L.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAf_cCAUAALQABfBb7NxTBzwPJLRZ.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OABIABIAAFBbru5iAxTpVtYb.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OABIABIAAIBbm3waC2ErbxTB.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OAMgASwABaBb2_83CeUlYKiD.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OAMgASwABfBb3_DnAXEIQ-_C.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAfs1OAMgASwABiBb2BBlDaZsPAlp.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAgPB_AUAALQABMBb6l_VDdfXRs_E.jpg/0?ck=####
src.r####.com.####.com/kubo/dex/luomi_9.1.20.dex

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
dc.l####.com/adLogs/adLog
dc.l####.com/hLogs/saveHeartbeatLog
dc.l####.com/startLog/startLog
dc.l####.com/wLog/wLog
s####.e.qq.com/activate
sdk.c####.com/versiontapi.php?v=####&type=####
up####.sdk.jig####.cn/v1/push/sdk/postlist
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0015f194-a654-4e7a-b276-46df62017e91
/data/data/####/1004
/data/data/####/2287.yaqcookie
/data/data/####/4d7333ab-d0c9-4442-a9eb-f7371be84587
/data/data/####/5242e938-ef78-4c02-88c5-b422a9493b14
/data/data/####/6d21d2d7-8217-40aa-913e-2d2c48f46e14
/data/data/####/8910ec4e-6bdf-4421-8389-850ec51c7334
/data/data/####/AKTorchDownload.db-journal
/data/data/####/ApplicationCache.db-journal
/data/data/####/BuglySdkInfos.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/JPushSA_Config.xml
/data/data/####/MultiDex.lock
/data/data/####/a0133b6f-ebb3-4847-9be8-2002d498dc73
/data/data/####/appPackageNames_v2
/data/data/####/ax_c.xml
/data/data/####/b9803847-86c6-495d-8b22-e36383947710
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/charge_config.xml
/data/data/####/cloud_switch_cache
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.im.keyValueStore.aes_key_store.xml
/data/data/####/com.im.keyValueStore.batch_processing_info.xml
/data/data/####/com.im.keyValueStore.config_store.xml
/data/data/####/com.im.keyValueStore.sdk_version_store.xml
/data/data/####/com.im.keyValueStore.user_info_store.xml
/data/data/####/com.im_7.1.1.db
/data/data/####/com.im_7.1.1.db-journal
/data/data/####/config.xml
/data/data/####/config_read_progress.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dd61bb37-5fac-4360-b051-21c8e4a3cc17
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/dexMethod.82894129.dat
/data/data/####/e82e7650-735b-4940-a622-61e7fb7d6d08
/data/data/####/e9114248-7904-40c0-828f-2914892399b9
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/finalcore.jar
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/gg.dex
/data/data/####/index
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/libjiagu-846876138.so
/data/data/####/libyaqbasic.82894129.so
/data/data/####/libyaqpro.82894129.so
/data/data/####/local_crash_lock
/data/data/####/locker
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/mc175.dex
/data/data/####/mc_cache.xml
/data/data/####/msg_queue
/data/data/####/multidex.version.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/torch_sdk_config.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/update_lc
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaqsdkcookie
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/0343ca5c8c482907948c6d290a7e6a8177a5cbdc9ab4e9....0.tmp
/data/media/####/03a0626daf96981f912b5a5c24025d26feeada9b32f4f6....0.tmp
/data/media/####/04256a2fc7a1fcabd73c66aa1e096e3bf4dc8bbdb56b3f....0.tmp
/data/media/####/058035a9c9b1e396a57ae78af54b40948f4f131515e2cf....0.tmp
/data/media/####/0bdef6cedd1b2207222a793ae1d1245dfe6def0938e523....0.tmp
/data/media/####/11a763f1c9869a88ca03e404f2c79ee8b6b376072f96ee....0.tmp
/data/media/####/14f99465017501cb719d8af324aac4f7720d8a03a40bb6....0.tmp
/data/media/####/1d214789c910915470480a900b32c69158dccc5213527a....0.tmp
/data/media/####/21c5c1a4c98d6e707ad535f18d97c4fbe5085b18025576....0.tmp
/data/media/####/304ec29f23f0f2ba94b146967e1049aeea1bfddea1894f....0.tmp
/data/media/####/30af405cff933a4041b2aab90b7dc8efbc7c1e4efaaa1b....0.tmp
/data/media/####/312a18b44b6ddf6d9a2b06db05b23ffb.0
/data/media/####/344c748235e4973c2a863ee4f45e8d7b04d767548571b6....0.tmp
/data/media/####/37a9e63fe392e9a683e44f1083ccec73b54996ea7753a5....0.tmp
/data/media/####/3c6696ca6cd5a3df185ca96f160930d9cc6eb1b5454b50....0.tmp
/data/media/####/3d98bc93066f87585ffbcd9279953cc7511a7aca2f69f6....0.tmp
/data/media/####/432490933e5e0741ab6fdb5d59afd55e63b7a44dfd7a20....0.tmp
/data/media/####/518d960719810f6e23d2f84ce9a8ffcde1be17c56ec83d....0.tmp
/data/media/####/55a2d8235813ef9a80c7e7c4184b561f56c70b5d3fd734....0.tmp
/data/media/####/5fc755c92edee97400689879cb83b52a77fa4acd1b6042....0.tmp
/data/media/####/6e64b5f0bd84f2a12b754bda3fd54cac4bfa0728cd45e5....0.tmp
/data/media/####/73900ee0a74b8240c8c05c228888f9b9fb944cd21826b5....0.tmp
/data/media/####/73fc3ce8994d264ff17ca75bbaa65812532de668339b03....0.tmp
/data/media/####/75775404eacafee7171f484ceb05cabedc5b439473ee4d....0.tmp
/data/media/####/768449a5b1dc75cc8272d7d76c122e8c54f12b01f86109....0.tmp
/data/media/####/775bf608c09408b6d2a23bce29b3dc3ec7642aa8556cf5....0.tmp
/data/media/####/7a20e943a07338e1aa0fa251bfafe689d623fbc479dd76....0.tmp
/data/media/####/7bda44075e81230a3573f497f81aae4bdcf54a43063dcc....0.tmp
/data/media/####/7c139a7fe42be4ff1df2114ffb1b7178e264ffe39f0c45....0.tmp
/data/media/####/7d968cc8c218e87b4dbbab5e475f7fb06a3753cb6b7c61....0.tmp
/data/media/####/9207eea79fee5151d0a26ecb145d53b6a61a038ecdf7e6....0.tmp
/data/media/####/922bcf05469c2377d479e03141d627de62ea6bb3b56c63....0.tmp
/data/media/####/94fad223e8705bf9795e0d390167639fa035b7cae35913....0.tmp
/data/media/####/96013d6bea21f3d374571a3517501603146d5f6ebbeb93....0.tmp
/data/media/####/99049e111e1abce390bb31186a1688e2eca54fa304773d....0.tmp
/data/media/####/9c6831962c7fdd4b5efeedf683c27a3c1c5fb3edf0eadc....0.tmp
/data/media/####/9f22732cd98ee7151a56a22ffbf77ca5c7dadd00c048e6....0.tmp
/data/media/####/a289ced842ba2f16652fd506580ddb60ae227b57f6a4ae....0.tmp
/data/media/####/a608890cb279526c7975f82749c3b0763236b54d1ae3c8....0.tmp
/data/media/####/ab3ce9ea43571eed4b59a6c3e7f5ef43c5811e57141320....0.tmp
/data/media/####/abc4b9db67160eeaad7111080b1055d9a94c353879f65c....0.tmp
/data/media/####/b7c02f9bd23feb36d55a6c09170150a2abbabd954b4ffc....0.tmp
/data/media/####/bcc6bc98dc9d3741dd80a74f1622b229.0
/data/media/####/bed305634ca52b2ca6f71e574aa2f871ca8a131c58c997....0.tmp
/data/media/####/cc6205c963c63129196aed22aaa9c1f4fc68fa6c49b453....0.tmp
/data/media/####/d78e1c1d0c3d070748fd28e2991088b366c990af6069ae....0.tmp
/data/media/####/de23cbdfc43414599be2b20975789ab6b76d4a3b79f797....0.tmp
/data/media/####/f47a460c66075fd67de32716f11b13ea38c8b8fee1c09b....0.tmp
/data/media/####/f6306fc9f988d7729fe9a48e2935eb79b836a99c715aa2....0.tmp
/data/media/####/fabb9196fc5be4c9a6fcab70273ef988e5711fd7eda90d....0.tmp
/data/media/####/journal.tmp
/data/media/####/uninstall_apk_list

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version

Загружает динамические библиотеки:

Bugly
jcore120
libjiagu-846876138
libyaqbasic.82894129
libyaqpro.82894129

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-ECB-nopadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней