Android.Triada.3442

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.363.origin
Android.DownLoader.691.origin
Android.RemoteCode.907
Android.Triada.248.origin
Android.Triada.464.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
TCP(HTTP/1.1) 1####.159.180.48:8090
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
TCP(HTTP/1.1) 1####.159.103.205:8090
TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) 1####.78.31.198:8030
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10002
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 1####.119.47.129:80
TCP(HTTP/1.1) l####.bigb####.com:6099
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) ot.prs.qin####.com:80
TCP(HTTP/1.1) d####.top:91
TCP(HTTP/1.1) fy.bigb####.com:6099
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) api.qiazhiw####.cn:8888
TCP(HTTP/1.1) 1####.159.152.136:8090
TCP(HTTP/1.1) www.palmfun####.cn:80
TCP(HTTP/1.1) ot.grb.qin####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:8888
TCP(HTTP/1.1) a####.on####.club:80

Запросы DNS:

a####.on####.club
a####.u####.com
and####.b####.qq.com
api.qiazhiw####.cn
d####.top
fy.bigb####.com
i####.api.qiazhiw####.cn
i####.api.qiazhiw####.cn
l####.bigb####.com
l.ace####.com
ot.cor.qin####.com
ot.grb.qin####.com
ot.m.qin####.com
ot.prs.qin####.com
pv.s####.com
re####.api.qiazhiw####.cn
sdk.api.qiazhiw####.cn
wn.qiazhiw####.cn
www.palmfun####.cn
z####.heyc####.net

Запросы HTTP GET:

a####.on####.club/fileupload/b102eb6f0aff7e3a.jar
gdv.a.s####.com/cityjson?ie=####
wn.qiazhiw####.cn.####.net/update/up03169499

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async
api.qiazhiw####.cn:8888/v2/api/report?app_id=####&imei=####&imsi=####&ha...
d####.top:91/d485b49/8b893
d####.top:91/o73f29/824eee0
d####.top:91/s3ff74f/8a5d5
d####.top:91/s5ddf4ea/77bc54
d####.top:91/s614/edad
d####.top:91/s6a832/b87e
d####.top:91/sf5e3857/32bf
fy.bigb####.com:6099/aps/
i####.api.qiazhiw####.cn:10003/v2/chis2
l####.bigb####.com:6099/aps/
ot.grb.qin####.com/JBVZVr/niyaei
ot.grb.qin####.com/ei6VRb/ZJnAba
ot.grb.qin####.com/zIFvYr/uaqmAn
ot.prs.qin####.com/7ziimi/QriUva
ot.prs.qin####.com/7ziimi/VJJfya
ot.prs.qin####.com/7ziimi/ieuYzm
ot.prs.qin####.com/JBVZVr/niyaei
ot.prs.qin####.com/ei6VRb/ZJnAba
sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/sdk/init2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
sdk.api.qiazhiw####.cn:10002/v2/callback/message?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v3/sdk/report?appId=####&t=####
sdk.api.qiazhiw####.cn:8888/v2/api/report?app_id=####&imei=####&imsi=###...
www.palmfun####.cn/fee/active
www.palmfun####.cn/fee/code
www.palmfun####.cn/fee/searchpc
www.palmfun####.cn/fee/searchpcNew
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/-7GKvTIyRYZe4S07wIHouQ==.new
/data/data/####/-sfe_UI_daBpZZkIxpzFsoHp-Tg=.new
/data/data/####/.dex
/data/data/####/.imprint
/data/data/####/.jar
/data/data/####/1554550874808
/data/data/####/1554550874809
/data/data/####/1554550876715
/data/data/####/1554550876831
/data/data/####/1554550878488
/data/data/####/1554550880516
/data/data/####/1554550882308
/data/data/####/1554550884326
/data/data/####/1554550889547
/data/data/####/1554550891503
/data/data/####/1554550892315
/data/data/####/1554550892584
/data/data/####/1554550892701
/data/data/####/1554550893612
/data/data/####/1554550895612
/data/data/####/1554550897617
/data/data/####/1554550905604
/data/data/####/1554550905741
/data/data/####/1554550905782
/data/data/####/1554550907451
/data/data/####/1554550908341
/data/data/####/1554550909179
/data/data/####/1554550911172
/data/data/####/1554550913269
/data/data/####/1554550915131
/data/data/####/1554550920360
/data/data/####/1554550922478
/data/data/####/1554550923140
/data/data/####/1554550923215
/data/data/####/1554550923275
/data/data/####/1554550924368
/data/data/####/1554550926318
/data/data/####/1554550928425
/data/data/####/1554550934219
/data/data/####/1554550934288
/data/data/####/1554550936294
/data/data/####/1554550936975
/data/data/####/1554550938182
/data/data/####/1554550940068
/data/data/####/1554550942065
/data/data/####/1554550943995
/data/data/####/1jb_O-SaUX11VeH2yUHs_0o-L4g=.new
/data/data/####/31rBB1BDFMDu5_H3DItj8OYcCOw=
/data/data/####/31rBB1BDFMDu5_H3DItj8OYcCOw=.new
/data/data/####/3VA-COoI5mEZm_n6Agx6jJb3IR8=.new
/data/data/####/3WfX0gqO6cNNc-sLwBExCy2H1S2m6YrT4qKinLp2OvY=.new
/data/data/####/5KfuLLaMWGjQAdDjc_WBGyLjfT6Km49N.new
/data/data/####/8ov80tD8Te40w5Hk.dex
/data/data/####/8ov80tD8Te40w5Hk.zip
/data/data/####/96VRUy97xxGKgqruyDSGvFacxYSVwQvl.new
/data/data/####/9ZcPA8n8ZcSCMe5214ebJA==.new
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_DUoRMS-snlFxNk...ournal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_DUoRMS-snlFxNkFuSdeEUQ==
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_GLYY8PgV2EJcIMsk
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_GLYY8PgV2EJcIMsk-journal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_KApB1TYoiIDXKdgi-journal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_obI-HmFND8uXof...X_dx4=
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_obI-HmFND8uXof...ournal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_x720lQjEEiwuLS13
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_x720lQjEEiwuLS13-journal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_xg5BWDUbeiUJu0...ournal
/data/data/####/H5EXlOj3JsbOAhhT7q7BU9hgmj_ZZ-6f_xg5BWDUbeiUJu0QriPV9Hw==
/data/data/####/Hk0FpXa0uDzwb7F-5__UjkPmRQ4=.new
/data/data/####/JiePay.xml
/data/data/####/LrnzWCZOARlXAXJDjSOwZMhmEvrIxvsJ.new
/data/data/####/Nyyi1DNry4g36QzxDwzYuLbk8cA=
/data/data/####/OLvJTSwBffrQsYQYFTxcAMFRHABaqh4g.new
/data/data/####/OuwPiPRzZQZubIjoigu4CN0fknCr0uWB.new
/data/data/####/PWxCWmXIWBIOBv7v2lJ-3A==
/data/data/####/QRUlPA-3O8cYA_aI7LsmSR8KoVWOI0n92j5w8w==.new
/data/data/####/Setting.xml
/data/data/####/SwDlgHtLDZytP9M3BXqgI9MOnsaAYTcG
/data/data/####/SwDlgHtLDZytP9M3BXqgI9MOnsaAYTcG.new
/data/data/####/XRpbIW4VbZEyKtsDEh4uf7kj6QA=.new
/data/data/####/XinZF.xml
/data/data/####/XinZF_conf.xml
/data/data/####/XinZFsmspay.db
/data/data/####/XinZFsmspay.db-journal
/data/data/####/YbJtYdTkD9TdkyfQ
/data/data/####/ZMdEd9Zr4u1bPrg5jIOJyr1t2js=.new
/data/data/####/_odJhXI9cfenKWiTJwVwbmqfvCQ=.new
/data/data/####/a_tmp
/data/data/####/am9KkoYb3PQapB_v.new
/data/data/####/bugly_db_legu
/data/data/####/bugly_db_legu-journal
/data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/config50224.xml
/data/data/####/config50224.xml.bak
/data/data/####/config50224.xml.bak (deleted)
/data/data/####/ctmdGJuK2NLXjsIad-1BcABC7x-bw6K8A8XsfQ==_GLYY8P...ournal
/data/data/####/ctmdGJuK2NLXjsIad-1BcABC7x-bw6K8A8XsfQ==_GLYY8PgV2EJcIMsk
/data/data/####/dCeP0ShTVRWG02-Rgc2OzHT2cktmHKxyZeYiHUlDp10=.new
/data/data/####/dQYUH2MAcXcWIPrhAN1IWBGKL_Y=
/data/data/####/dQYUH2MAcXcWIPrhAN1IWBGKL_Y=.new
/data/data/####/dpi
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fFnGMicXXXhqEHfntuDFnxHqGZLhC17FW8DjIw==.new
/data/data/####/fni5tgsnoijecxq
/data/data/####/fplay_arthc
/data/data/####/gebabg_f.dex
/data/data/####/gebabg_f.zip
/data/data/####/gkenbg_f.dex
/data/data/####/gkenbg_f.zip
/data/data/####/gpOd9z2bx6mRfi9LAs6M5mjmeXonmpDM2QZ9fA==.new
/data/data/####/hid.db
/data/data/####/jiepay_config.xml
/data/data/####/jiepaysmspay.db
/data/data/####/jiepaysmspay.db-journal
/data/data/####/kFpOxaw92kvGJggJ7iZY6jBsXYA=.new
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/nN47ZMXLR5UA7YJhK0TzNI2pnEjFHMuJ.new
/data/data/####/native_record_lock
/data/data/####/neSdMrK1vO06OG7OVM1qtYaVmfU=.new
/data/data/####/new_md.dex
/data/data/####/new_md.jar
/data/data/####/oRuPxWZfAmcD3D8iC89akMr3W7qamqZRGbuvNC-dh3M=.new
/data/data/####/one.dex
/data/data/####/onePayV3.xml
/data/data/####/onePay_SP.xml
/data/data/####/qs.db
/data/data/####/qs.db-journal
/data/data/####/qs_LcCache.xml
/data/data/####/rdata_comioowlquwvb.new
/data/data/####/runner_info.prop.new
/data/data/####/security_info
/data/data/####/tKxDgxoK8wt8-SGj
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/uid.f
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up03169499
/data/data/####/up03169499.dex
/data/data/####/up03169499.jar
/data/data/####/userData.xml
/data/data/####/userDatas.xml
/data/data/####/uwd288Wx9h4POQyxRk0_rDLqR59W-nOvgtQVyU0KHVo=.new
/data/data/####/v_C3ik-ZCAGXkfGv3KyGQQ==
/data/data/####/vneof.dfni5tg.snoijecxq.com.one.support.c.aOneP...ournal
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/data/####/woizqBzX9aHYABPT35Gfd0mdhaoiW77j.new
/data/data/####/xoaEMjWI5qjmlIxOidOSaQ==.new
/data/data/####/ydutl.cf
/data/data/####/ylWpMJwvC_CeNUQU8g6KVQ==.new
/data/data/####/zdbdf.dex
/data/data/####/zdbdf.jar
/data/media/####/.nid
/data/media/####/.uunique
/data/media/####/.uunique.new
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/log
/data/media/####/msg
/data/media/####/order
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/status

Другие:

Запускает следующие shell-скрипты:

./fplay_arthc
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/code-6018482/tKxDgxoK8wt8-SGj -p <Package> -a com.uu.action.client -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
chmod 777 <Package Folder>/files/fplay_arthc
chmod 777 <Package Folder>/fni5tgsnoijecxq
dd if <Package Folder>/files/fplay_arthc of <Package Folder>/fni5tgsnoijecxq
dd if=<Package Folder>/files/fplay_arthc of=<Package Folder>/fni5tgsnoijecxq
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps
sh
sh ./fplay_arthc
sh <Package Folder>/code-6018482/tKxDgxoK8wt8-SGj -p <Package> -a com.uu.action.client -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

Bugly
cocos2dcpp
engine
libnfix
libshella-2.9.1.2
libufix
n5fc86
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней