Android.Triada.3614

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.470.origin

Сетевая активность:

Подключается к:

TCP(/debug/cookie?callbac) gd.a.s####.com:80
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.50.63.227:8881
TCP(HTTP/1.1) 1####.1.170.12:8082
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) j.ya####.com:80
TCP(HTTP/1.1) f####.caiji####.com:80
TCP(HTTP/1.1) bj####.j####.cn:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) d####.wos####.com:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) 1####.26.106.206:8088
TCP(HTTP/1.1) weiboi####.g####.sina####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) p####.caiji####.com:80
TCP(HTTP/1.1) a####.b####.com:80
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) ad.q####.cn:80
TCP(HTTP/1.1) m.benb####.com:80
TCP(HTTP/1.1) ny.bul####.cn:666
TCP(HTTP/1.1) dn.bule####.com:80
TCP(HTTP/1.1) weib####.g####.sina####.com:80
TCP(HTTP/1.1) s####.caiji####.com:666
TCP(HTTP/1.1) a.ibit####.com:80
TCP(HTTP/1.1) at.al####.com:80
TCP(HTTP/1.1) gs.a.s####.com:80
TCP(HTTP/1.1) tvaxw####.g####.sina####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) ali-s####.j####.cn:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) tj.da####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) t####.j####.cn:443
TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.0) weib####.g####.sina####.com:443
TCP 1####.202.138.22:7005
UDP s.j####.cn:19000

Запросы DNS:

a####.b####.com
a.ibit####.com
a.xinxian####.com
ad.q####.cn
ali-s####.j####.cn
aliyuno####.oss-cn-####.aliy####.com
api.r####.com
at.al####.com
bj####.j####.cn
c.c####.com
chan####.itc.cn
chan####.s####.com
d####.wos####.com
dn.bule####.com
f####.caiji####.com
gd-s####.j####.cn
j.ya####.com
l####.tbs.qq.com
log.u####.com
m.benb####.com
m.qazw####.cn
ny.bul####.cn
p####.caiji####.com
plb####.u####.com
pv.s####.com
s####.caiji####.com
s.j####.cn
s96.c####.com
st####.xinxian####.com
t####.j####.cn
t####.sin####.cn
tj.da####.com
u####.u####.com
w####.pcon####.com.cn
ws3.sin####.cn
wx1.sin####.cn
wx2.sin####.cn
wx3.sin####.cn
z####.heyc####.net

Запросы HTTP GET:

a####.b####.com/libs/jquery/2.1.4/jquery.min.js
a.ibit####.com/c/strawberry_sdk
at.al####.com/t/font_1448978046_1349916.ttf
bj####.j####.cn/v1/appawake/status?uid=####&appkey=####&model=####&manuf...
c.c####.com/core.php?web_id=####&show=####&t=####
c.c####.com/z_stat.php?id=####&show=####
d####.c####.l####.####.com/sdk_bXlfY29tcHV0LnppcF8xNTU2NjA5NzM0MjIwX3Nka...
dn.bule####.com/dnfile/wmp/WG20190306154903_319L1519_0326.jar
gd.a.s####.com/
gd.a.s####.com/api/2/config/get/cytc3pbB2?callback=####
gd.a.s####.com/api/3/topic/liteload?callback=####&client_id=####&topic_u...
gd.a.s####.com/debug/cookie?callback=####
gd.a.s####.com/debug/cookie?setCook####&callback=####&Thu May####
gd.a.s####.com/upload/version-v3.js?1557412####
gs.a.s####.com//mdevp/extensions/longloop/002/longloop.js?_=####
gs.a.s####.com/mdevp/extensions/mobile-icp-tips/018/mobile-icp-tips.js
gs.a.s####.com/v3/v20190423992/src/adapter.min.js
gs.a.s####.com/v3/v20190423992/src/start.min.js
j.ya####.com/tt.json
m.benb####.com/
m.benb####.com/dsj/index_1_____addtime__1.html
m.benb####.com/dy/index_1_____addtime__1.html
m.benb####.com/js/20-4.js
m.benb####.com/js/20X4.js
m.benb####.com/js/dibu.js
m.benb####.com/js/tongji.js
m.benb####.com/js/uaredirectformobile.js
m.benb####.com/static/css/index.css
m.benb####.com/static/css/index_v3.css
m.benb####.com/static/js/common.min.js
m.benb####.com/static/js/global_v3.js?0####
m.benb####.com/static/js/home.js
m.benb####.com/static/js/iscroll.js
m.benb####.com/static/js/jquery-1.7.2.min.js
m.benb####.com/static/js/jquery-lazyload.js
m.benb####.com/static/js/jquery.base.js
m.benb####.com/static/js/km-package.js?0####
m.benb####.com/static/js/swiper-4.2.0.min.js
m.benb####.com/static/js/tj.js
m.benb####.com/zzp/zhongguolankui/
m.benb####.com/zzp/zhongguolankui/player-1-0.html
tvaxw####.g####.sina####.com/large/005BYqpggy1g0vvfq0x4xj30b40gg44v.jpg
tvaxw####.g####.sina####.com/large/005BYqpggy1g1otx37tn6j30b40frtfg.jpg
tvaxw####.g####.sina####.com/large/005BYqpgly1g1kspwvp3ej30b40fk7ah.jpg
tvaxw####.g####.sina####.com/mw690/006LS6P5gy1fxj1ykt5cxj30ci0hiqbe.jpg
tvaxw####.g####.sina####.com/mw690/006NJnzmgy1ffvpdyepezj30br0gomz5.jpg
tvaxw####.g####.sina####.com/orj360/005BYqpggy1g24jlwibcxj30b40fawg9.jpg
tvaxw####.g####.sina####.com/orj360/005BYqpggy1g29l557k6aj30b40fnjtt.jpg
tvaxw####.g####.sina####.com/orj360/0072Lfvtly1fy45uosuspj30b40fa78a.jpg
tvaxw####.g####.sina####.com/orj360/0072Lfvtly1fzx4erlxrfj30b40fk779.jpg
tvaxw####.g####.sina####.com/orj360/0072Lfvtly1g10i5ojvnpj30b40fk78t.jpg
weib####.g####.sina####.com/orj360/005BYqpggy1g2qjocj2vjj30a00e6dho.jpg
weib####.g####.sina####.com/orj360/0060lm7Tly1g2gh4o5fm3j30b40fk0vv.jpg
weib####.g####.sina####.com/orj360/0060lm7Tly1g2jytu2tvbj30b40fk77f.jpg
weib####.g####.sina####.com/orj360/0060lm7Tly1g2qfoongk6j30a00etq58.jpg
weiboi####.g####.sina####.com/large/005BYqpggy1g1nj8b1mmaj30go06xq6g.jpg
weiboi####.g####.sina####.com/large/005BYqpggy1g1njk729wfj30go06o0wx.jpg
weiboi####.g####.sina####.com/large/005BYqpggy1g1whfgyiwbj30go06o40x.jpg
weiboi####.g####.sina####.com/large/005BYqpgly1g1qk0j8bvuj30j608041s.jpg
weiboi####.g####.sina####.com/large/005BYqpgly1g1w986gn2nj30j6080whk.jpg
weiboi####.g####.sina####.com/orj360/0060lm7Tly1g2okm2hd6mj30a00e0tb5.jpg
weiboi####.g####.sina####.com/orj360/0060lm7Tly1g2sn1g0onbj30a00dcmys.jpg

Запросы HTTP POST:

ad.q####.cn/interfaces.do
d####.wos####.com/upload/event.jsp
d####.wos####.com/upload/event2.jsp
d####.wos####.com/upload/longheartbeat.jsp
f####.caiji####.com/v3/task/mobile
gd.a.s####.com/cityjson
j.ya####.com/encrypt/json/taokl
l####.tbs.qq.com/ajax?c=####&k=####
ny.bul####.cn:666/api_yi.aspx
ny.bul####.cn:666/slsdk/exrep.aspx
ny.bul####.cn:666/slsdk/getdata.aspx
ny.bul####.cn:666/slsdk/settings.aspx
p####.caiji####.com/klv2/sdkkl/mobile
s####.caiji####.com:666/v1/config
w####.pcon####.com.cn/ip.jsp
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/02cdea92-1d3e-487e-ad42-8e41ab839dd5
/data/data/####/21dae8de-4252-4e96-8f8b-7d8f128dac1f
/data/data/####/2fa444125c2715c0335dd22c8a697e29.0.tmp
/data/data/####/2fa444125c2715c0335dd22c8a697e29.1.tmp
/data/data/####/2fd10524-9697-4273-82c8-5aa15941841a
/data/data/####/3f51694ce0f45c9ff9ff3d7586c530d0.0.tmp
/data/data/####/3f51694ce0f45c9ff9ff3d7586c530d0.1.tmp
/data/data/####/40717bcde8d3a5a855fc0fba361119e1.0.tmp
/data/data/####/40717bcde8d3a5a855fc0fba361119e1.1.tmp
/data/data/####/4354bb8a999b5140acb73347ac3e53ab.0.tmp
/data/data/####/4354bb8a999b5140acb73347ac3e53ab.1.tmp
/data/data/####/4bb0cfa5d853f8091f771391ba5e697c.0.tmp
/data/data/####/4bb0cfa5d853f8091f771391ba5e697c.1.tmp
/data/data/####/4c0094bc30adddfe9aa48c95f4fd8961.0.tmp
/data/data/####/4c0094bc30adddfe9aa48c95f4fd8961.1.tmp
/data/data/####/51e6dce005e37df191b87c119ee0ac65.0.tmp
/data/data/####/51e6dce005e37df191b87c119ee0ac65.1.tmp
/data/data/####/51e6dce005e37df191b87c119ee0ac65.1.tmp (deleted)
/data/data/####/52aee0e168229cea79aafe16d5849b47.0.tmp
/data/data/####/52aee0e168229cea79aafe16d5849b47.1.tmp
/data/data/####/5797742fbd8848c80e8a9dbacfbae74f.0.tmp
/data/data/####/5797742fbd8848c80e8a9dbacfbae74f.1.tmp
/data/data/####/727cf9208ca5fa7395f142ccc236ddbb.0.tmp
/data/data/####/727cf9208ca5fa7395f142ccc236ddbb.1.tmp
/data/data/####/78f18fbd15ee2631680f11e403f26d7e.0.tmp
/data/data/####/78f18fbd15ee2631680f11e403f26d7e.1.tmp
/data/data/####/83d076b771bd1a2d3cd0791f90d96d5e.0.tmp
/data/data/####/83d076b771bd1a2d3cd0791f90d96d5e.1.tmp
/data/data/####/966ae8b70a35082e53cd837896efe984.0.tmp
/data/data/####/966ae8b70a35082e53cd837896efe984.1.tmp
/data/data/####/99b945ae00c6cd2a2c2d4cced8ea3468.0.tmp
/data/data/####/99b945ae00c6cd2a2c2d4cced8ea3468.1.tmp
/data/data/####/9d6d8936ab66d02805daa36ef3e7d7ed.0.tmp
/data/data/####/9d6d8936ab66d02805daa36ef3e7d7ed.1.tmp
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ContextData.xml
/data/data/####/Generated_350611370.jar
/data/data/####/JPushSA_Config.xml
/data/data/####/MovieRadar.db-journal
/data/data/####/MultiDex.lock
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/YXBwX3NwZl9zY2xp.xml
/data/data/####/a075e140-df0e-4440-8cf9-09306c4a7f4c
/data/data/####/a62345c6-1483-4700-8199-4360c823493c
/data/data/####/a==8.0.0&&5.0.0_1557412608939_envelope.log
/data/data/####/ad673423ac51eeea2fec4d3235094371.0.tmp
/data/data/####/ad673423ac51eeea2fec4d3235094371.1.tmp
/data/data/####/appPackageNames_v2
/data/data/####/apps.qylog
/data/data/####/bx_sdk.so
/data/data/####/c79675e0387ff5f94002118d074dd4af.0.tmp
/data/data/####/c79675e0387ff5f94002118d074dd4af.1.tmp
/data/data/####/cmcc.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml (deleted)
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/cn.jpush.preferences.v2.xml.bak
/data/data/####/config.xml
/data/data/####/core_info
/data/data/####/d04420b1-a073-482d-b552-32e6069cf4d9
/data/data/####/d6e8396f90e496e5bfdd49b3a41764a4.0.tmp
/data/data/####/d6e8396f90e496e5bfdd49b3a41764a4.1.tmp
/data/data/####/d7ff6d924052c755d8a64510b527dbcc.0.tmp
/data/data/####/d7ff6d924052c755d8a64510b527dbcc.1.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU3NDEyNTY2NTA3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU3NDEyNjA2NjY3;
/data/data/####/dW1weF9zaGFyZV8xNTU3NDEyNTY4MzI5;
/data/data/####/dW1weF9zaGFyZV8xNTU3NDEyNTY5NzA0;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/default.xml
/data/data/####/defaultpref1.xml
/data/data/####/download_upload
/data/data/####/dpi
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f6057e4d13b3497c7145a16b6236b282.0.tmp
/data/data/####/f6057e4d13b3497c7145a16b6236b282.1.tmp
/data/data/####/f74734c92e5fcc8db90a9939dd2a48a6.0.tmp
/data/data/####/f74734c92e5fcc8db90a9939dd2a48a6.1.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/fcbe59d5396d4153c070372a33d3ea61.0.tmp
/data/data/####/fcbe59d5396d4153c070372a33d3ea61.1.tmp
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.zip
/data/data/####/hid.db
/data/data/####/i==1.2.0&&5.0.0_1557412566701_envelope.log
/data/data/####/i==1.2.0&&5.0.0_1557412606901_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_uncaughtexception_file
/data/data/####/libjiagu1276065012.so
/data/data/####/load_MTAwMF8xMjAxXzE0OTAwMjAw;.xml
/data/data/####/mobclick_agent_cached_com.liuchao.sanji.movieheaven70
/data/data/####/multidex.version.xml
/data/data/####/prdopt.xml
/data/data/####/pushcore_umeng_common_config.xml
/data/data/####/qy_config.xml
/data/data/####/qy_rx.jar
/data/data/####/rd_rx.jar
/data/data/####/recover_umeng_common_config.xml
/data/data/####/recovery_silent_info.xml
/data/data/####/share.db-journal
/data/data/####/sp_config.xml
/data/data/####/t==8.0.0&&5.0.0_1557412568409_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdargs.xml
/data/data/####/temp.dat
/data/data/####/temp.png
/data/data/####/tmp7.xml
/data/data/####/tools8977.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nid
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/engc.jar
/data/media/####/sysid.dat
/data/media/####/tag2.dat58c581aa-59c8-4aa3-b4b9-71c76320c0b2.tmp
/data/media/####/tbslog.txt
/data/media/####/tmpbl.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
chmod 0755 <Package Folder>/app_cache/sdk/bx_sdk.so
chmod 0755 <Package Folder>/app_cache/sdk/temp.dat
getprop
getprop ro.product.cpu.abi
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

jcore127
libjiagu1276065012

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
DES

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней