Android.Triada.4122

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.477.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ly-xiao####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) api.v2.sdk.####.cn:80
TCP(HTTP/1.1) api.b####.lie####.cn:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) j####.lie####.cn:80
TCP(HTTP/1.1) api.sdk.f####.cn:80
TCP(HTTP/1.1) oss-cn-####.aliy####.com:80
TCP(TLS/1.0) api.b####.lie####.cn:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) p####.ou####.com:4433
TCP(TLS/1.0) abc.abcdse####.com:8888
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) h####.b####.com:443

Запросы DNS:

a####.b####.qq.com
abc.abcdse####.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.b####.lie####.cn
api.map.b####.com
api.sdk.f####.cn
api.v2.sdk.####.cn
av1.x####.com
c####.x####.com
c####.x####.com
h####.b####.com
hm.b####.com
j####.lie####.cn
loc.map.b####.com
log.u####.com
ly-xiao####.oss-cn-####.aliy####.com
mt####.go####.com
oss-cn-####.aliy####.com
p####.ou####.com
plb####.u####.com
pv.s####.com
u####.u####.com

Запросы HTTP GET:

api.b####.lie####.cn/Api/start_pic/startpiclist
api.b####.lie####.cn/Book/homeBookNew?gender=####
api.b####.lie####.cn/Book/homeFindNew
api.b####.lie####.cn/Home/Book/getFindNewBookCircle?limit=####&page=####
api.b####.lie####.cn/Service/getAppVersion?channelId=####&packageName=##...
api.b####.lie####.cn/Service/reportDevice?factor=####&imei=####&imsi=###...
api.b####.lie####.cn/User/getAdFreeConfig?token=####
api.b####.lie####.cn/User/getInfo?token=####
api.b####.lie####.cn/index.php/Configure/getTypeActivity?activity_type=#...
api.b####.lie####.cn/service/getAdConfig?channelId=####&device_type=####...
api.sdk.f####.cn/v2/initUrl?appId=####
gd.a.s####.com/cityjson?ie=####
ly-xiao####.oss-cn-####.aliy####.com/book/book_cover/17724.jpg
ly-xiao####.oss-cn-####.aliy####.com/book/yumao/112138.jpg
ly-xiao####.oss-cn-####.aliy####.com/book/yumao/113502.jpg
ly-xiao####.oss-cn-####.aliy####.com/xiaoshuo/system_admin/2019-07-29/2f...
ly-xiao####.oss-cn-####.aliy####.com/xiaoshuo/user_avatar/2019_07_17/5d2...
ly-xiao####.oss-cn-####.aliy####.com/xiaoshuo/user_avatar/2019_08_02/5d4...
ly-xiao####.oss-cn-####.aliy####.com/xiaoshuo/user_avatar/2019_08_09/5d4...
ly-xiao####.oss-cn-####.aliy####.com/xiaoshuo/user_avatar/2019_08_13/5d5...
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-05/5d47963b3554f.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-05/5d4796b148277.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-05/5d479967d299f.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-05/5d47f33ab1d2b.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-21/5d5cec34f22fc.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-21/5d5cf24d4788b.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-22/5d5e06516a4a0.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-22/5d5e0a4d61fb2.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-22/5d5e60919cbc0.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-22/5d5e769e0d425.png
oss-cn-####.aliy####.com/ly-xiaoshuo/xiaoshuo/2019-08-22/5d5e76aada2ca.png

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
api.b####.lie####.cn/ReportStaticts/startUp
api.v2.sdk.####.cn/v2/aiList
j####.lie####.cn/v2/cp?appId=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/00a3059bc47361cd1e45cbdb35300eee25c187924bdf23f....0.tmp
/data/data/####/0b35816f19d038b994637fe3307059233e1bbd7a279488b....0.tmp
/data/data/####/110620.jar
/data/data/####/110817.jar
/data/data/####/1566605076157_2144
/data/data/####/1566605076352_2144
/data/data/####/1566605076469_2144
/data/data/####/1566605076960_2144
/data/data/####/1566605076993_2144
/data/data/####/1566605077142_2144
/data/data/####/1566605077674_2144
/data/data/####/1566605079797_2144
/data/data/####/1566605079967_2144
/data/data/####/1566605080120_2144
/data/data/####/1566605080432_2144
/data/data/####/1566605080563_2144
/data/data/####/1566605080603_2144
/data/data/####/1566605080659_2144
/data/data/####/1566605080695_2144
/data/data/####/1566605083359_2341
/data/data/####/1566605083734_2341
/data/data/####/1566605084084_2341
/data/data/####/1566605084439_2144
/data/data/####/1566605084616_2144
/data/data/####/1566605084855_2144
/data/data/####/1566605085051_2144
/data/data/####/1566605085205_2144
/data/data/####/1566605085239_2144
/data/data/####/1566605085282_2144
/data/data/####/1566605140575_2144
/data/data/####/1d8c6d63f28990dabdc1b5f8d24e3d4c771ea1f1fcfce13....0.tmp
/data/data/####/2422812c6642e0fdcd13b7e6fbe2f2138b70fd8b23e1775....0.tmp
/data/data/####/48b192df9016ff22858f22f927798a8dae37692a423179c....0.tmp
/data/data/####/5a56fa88e2e6479ce3e54862e54bb02cd79b9c81c0a4208....0.tmp
/data/data/####/6215cace0e7197a65fb4a67e7f0c8af30bdd8ce7bcc3e00....0.tmp
/data/data/####/75f028b38c11aa39aebb8ef108381e25658ac44c0088940....0.tmp
/data/data/####/88a32cb73bd2ffeabe2aa50d1d14e8f853d0b57147508a8....0.tmp
/data/data/####/8fc9b288d678c04ab5e64ac5bf486a123a91b2d12a3903a....0.tmp
/data/data/####/907309fa8645aea122eeb1bace7f1b28a3818e2dd72bcce....0.tmp
/data/data/####/92ecbb095639ef2cd57d64875ad47c5d84e950ec0fdf60c....0.tmp
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/LY_AD_KEY.xml
/data/data/####/PreferanceUtil.xml
/data/data/####/TDCloudSettingsConfig8B95F6FFB5124FA2A9AA840736F3E611.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1566605077170
/data/data/####/__send_data_1566605085325
/data/data/####/af5455188d1e91855a89fa158082cfacaaff34607aff0a7....0.tmp
/data/data/####/authStatus_com.qiyu.wang.readbook;remote.xml
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cac6140466ada9bcf4953ce6b75251ead0ce33ecd24ac93....0.tmp
/data/data/####/com.aikesi.app.DEFAULT_PREF.xml
/data/data/####/com.qiyu.wang.readbook_preference.xml
/data/data/####/d7b9bf79a49ec1fbffef28ac87baa3ca080135a8e7bde1c....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY2NjA1MDc1MDE0;
/data/data/####/dW1weF9zaGFyZV8xNTY2NjA1MDc3MDM1;
/data/data/####/dW1weF9zaGFyZV8xNTY2NjA1MDc3MDk1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/e4faffd29a7d22cd3294b18fc8cf6b018ce8f9f360e7148....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f8d6b3fcf4d79b36ef6d4e5c647df92c4f445ea08b4de0f....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/firll.dat
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&1.2.0_1566605075121_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init_urls.xml
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libcuid_v3.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/remote__local_last_session.json
/data/data/####/remote__local_stat_cache.json
/data/data/####/remote_umeng_common_config.xml
/data/data/####/salt
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/tdid.xml
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xiaoshuo.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/.umm.dat
/data/media/####/2019-08-24Crash.log
/data/media/####/7061814e9dbc292d08c13f1ba4793732.xml
/data/media/####/9cbf377cce9beb4e2573602286191266.xml
/data/media/####/9cbf377cce9beb4e2573602286191266.xml.bak
/data/media/####/channel-ly.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.display.id
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
crash_analysis
libnfix
libshella-2.9.1.2
libufix
locSDK7d
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
Des-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-GCM-NoPadding
Des-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней