Android.BackDoor.2530

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Backdoor.657.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) www.hzhu####.com:8082
TCP(HTTP/1.1) 1####.55.28.235:80
TCP(HTTP/1.1) a.v####.cn:80
TCP(HTTP/1.1) 47.1####.40.225:80
TCP(HTTP/1.1) 47.1####.44.93:80
TCP(HTTP/1.1) 1####.31.213.162:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) sf1-ttc####.ps####.com:80
TCP(HTTP/1.1) pic.ange####.cn:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) 47.97.2####.214:80
TCP(HTTP/1.1) api.e####.cn:80
TCP(TLS/1.0) dj####.jd.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) g####.jd.com:443
TCP(TLS/1.0) r####.jd.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 2####.58.211.106:443
TCP(TLS/1.0) c####.jd.com:443
TCP(TLS/1.0) b####.m.jd.com:443
TCP(TLS/1.0) wl.jd.com.####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sf1-ttc####.ps####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) ur####.jd.com:443
TCP(TLS/1.0) 1####.217.168.206:443
TCP(TLS/1.0) h####.m.jd.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) sf6-ttc####.ps####.com.####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) huo####.ta####.com:443
TCP(TLS/1.2) 2####.58.211.106:443
UDP s####.serv####.moz####.com:3478
TCP zb-cent####.m.ta####.com:80
TCP zb-cent####.m.ta####.com:443

Запросы DNS:

a####.m.jd.com
a####.man.aliy####.com
a.e####.cn
a.v####.cn
amdc####.m.ta####.com
and####.google####.com
api.e####.cn
black####.m.jd.com
c####.jd.com
dj####.jd.com
ex####.sn####.com
g####.jd.com
g####.jd.com
h####.m.jd.com
h5.360bu####.com
huo####.ta####.com
i####.360bu####.com
i####.360bu####.com
i####.360bu####.com
instant####.google####.com
is.sn####.com
m####.360bu####.com
m####.go####.com
m####.m.jd.com
m.360bu####.com
msg.umengc####.com
norma-e####.m####.com
p####.google####.com
pic.ange####.cn
plb####.u####.com
r####.jd.com
s####.serv####.moz####.com
s3.ps####.com
safebro####.google####.com
sf1-ttc####.ps####.com
sf3-ttc####.ps####.com
sf6-ttc####.ps####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
ur####.jd.com
w####.jd.com
w####.jd.com
wq.360bu####.com
www.hzhu####.com

Запросы HTTP GET:

a.e####.cn/favicon.ico
a.e####.cn/public/getClickUrlPoList.shtml?sd=####&androidid=####&sign=##...
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
a.v####.cn/se?e=MTU3M####&t=####
api.e####.cn/public/getSecondaryHomeData.shtml?app=####&machine=####&app...
api.e####.cn/public/getSecondaryHomeData.shtml?machine=####&appid=####&t...
norma-e####.m####.com/android/exchange/getpublickey.do
pic.ange####.cn/web/16239057.jpg!m720
pic.ange####.cn/web/228029828.jpg!m720
pic.ange####.cn/web/258794635.jpg
pic.ange####.cn/web/260324425.jpg!m720
pic.ange####.cn/web/262095154.jpg!s4
pic.ange####.cn/web/262327129.jpg!m720
pic.ange####.cn/web/262865891.jpg!s4
pic.ange####.cn/web/263062226.jpg!m720
pic.ange####.cn/web/263118407.jpg!s4
pic.ange####.cn/web/263252154.jpg!s4
pic.ange####.cn/web/263270763.jpg!m480
pic.ange####.cn/web/263369143.jpg!m480
pic.ange####.cn/web/263369709.jpg!m480
pic.ange####.cn/web/263372390.jpg!m480
pic.ange####.cn/web/263372436.jpg!m480
pic.ange####.cn/web/263372438.jpg!m480
pic.ange####.cn/web/263867991.jpg!s4
sf1-ttc####.ps####.com/img/ad.union.api/6f57de01d0321a1a77f3a3518a1903a3...
sf1-ttc####.ps####.com/img/ad.union.api/8ba5f1b2a201cd8696a524f6543a0627...
sf1-ttc####.ps####.com/img/web.business.image/201909195d0daa47d383e85249...
sf1-ttc####.ps####.com/obj/web.business.image/201910215d0d48d1c463833b43...
sf1-ttc####.ps####.com/pop/jfs/t1/76000/11/14109/80663/5db80133E9a5375f6...
www.hzhu####.com:8082/api/ad/im/monitor.jhtm?req=####

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
norma-e####.m####.com/push/android/external/add.do
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1127729055-1266689676
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/051177dee61600a6_0
/data/data/####/06d8a659f6501f78_0
/data/data/####/06d8a659f6501f78_1
/data/data/####/076b38e1778feb1e_0
/data/data/####/0cb94ea760d83ef7_0
/data/data/####/0d927f1934ea914c47de0847023d932b
/data/data/####/0d927f1934ea914c47de0847023d932b.tmp
/data/data/####/1021689741840853517
/data/data/####/1187126b11b833c9_0
/data/data/####/12807c3cfdcd4a5af97b17e2dfad83cd.xml
/data/data/####/143970178-1509997924
/data/data/####/1a6b72ab2778e0be_0
/data/data/####/1bcae3398300040b_0
/data/data/####/20a7be4a37e7726c_0
/data/data/####/2513146e6ee8404e8f3438eb9088bdeb
/data/data/####/2742cb6c8997ac05_0
/data/data/####/28f0468baf64d046_0
/data/data/####/29d7aa4d09c90288bf34d591f341c835
/data/data/####/29d7aa4d09c90288bf34d591f341c835.tmp
/data/data/####/2b736d18a7e6245d_0
/data/data/####/35520d3c59d2be63_0
/data/data/####/36f651a425be58c6_0
/data/data/####/3c38f58c4d9dbcd0_0
/data/data/####/44041c8ef9170d50_0
/data/data/####/44cd54788197eeee_0
/data/data/####/4f31ca49f87d1b12_0
/data/data/####/556ea2a5968c6e3d_0
/data/data/####/5730d4a2ed80e567_0
/data/data/####/579565eec49cc265_0
/data/data/####/579565eec49cc265_1
/data/data/####/57f19bb0f83d70e9_0
/data/data/####/5880b15ed345a146_0
/data/data/####/59e56c80d343e942_0
/data/data/####/59e56c80d343e942_1
/data/data/####/5e43e309e6af847c_0
/data/data/####/5e43e309e6af847c_1
/data/data/####/688ea3ce7d0e4aac9b7f7b21504d832d
/data/data/####/698d389f3de67898_0
/data/data/####/6c04e0194e7b4f5d_0
/data/data/####/7032759767be1176_0
/data/data/####/7032759767be1176_1
/data/data/####/70c1d51663b60f5e_0
/data/data/####/70caffe50a53ed636dcc5424279acc43
/data/data/####/70caffe50a53ed636dcc5424279acc43.tmp
/data/data/####/732195d6f5d6ea10_0
/data/data/####/76a12070ce601320_0
/data/data/####/7712bed22596e383_0
/data/data/####/7712bed22596e383_1
/data/data/####/77e131541f57e7fc_0
/data/data/####/7a0c86a9250a746c_0 (deleted)
/data/data/####/7a5f20e29bdb844a_0
/data/data/####/7c5783ce813f056b_0
/data/data/####/7c5783ce813f056b_1
/data/data/####/88a33c643e176ad4_0
/data/data/####/8909504094456b6c_0
/data/data/####/8bc61838284e4059_0
/data/data/####/8e1fe8fb5af55a02_0
/data/data/####/918cb8817448ee5f_0
/data/data/####/ACCS_BINDumeng;59aa5e16e88bad2aff001a84.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/AdloadStore.xml
/data/data/####/AdmobileApiAd_3.9.0.dex
/data/data/####/AdmobileApiAd_3.9.0.dex (deleted)
/data/data/####/AdmobileApiAd_3.9.0.dex.flock (deleted)
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/AndroidLogPlusXl_5.7.0.dex
/data/data/####/AndroidLogPlusXl_5.7.0.dex (deleted)
/data/data/####/AndroidLogPlusXl_5.7.0.dex.flock (deleted)
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/Ji.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a085dcb2722296a1_0
/data/data/####/a35971ac02240b48_0
/data/data/####/a41e4a91fa9da925_0
/data/data/####/a41e4a91fa9da925_1
/data/data/####/a5ab4f9de176551e_0
/data/data/####/a6b9c0786cdc4f6790a6967b7f473054
/data/data/####/a9d8c031a140d79c_0
/data/data/####/a9d8c031a140d79c_1
/data/data/####/a==7.3.2&&1.30.25_1572441535614_envelope.log
/data/data/####/ab8f95676d920354_0
/data/data/####/ab8f95676d920354_1
/data/data/####/ab9e5e035d50aaaf_0
/data/data/####/abac7dfcb866b04d_0
/data/data/####/abd4b75357999b4d_0
/data/data/####/accs.db-journal
/data/data/####/af05305fd322eacf_0
/data/data/####/agoo.pid
/data/data/####/app_crash_copy.xml
/data/data/####/b0c2a8e37ac7f76d_0
/data/data/####/b9d80ef15b750d6d_0
/data/data/####/c43aa4f0e117b27f_0
/data/data/####/c4496b3ac4fdbb93_0
/data/data/####/c51fe7d5be854a2d_0
/data/data/####/c98b7920894bd6bf_0
/data/data/####/c9af80a245812aed_0
/data/data/####/channel_umeng_common_config.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecook.xml.bak
/data/data/####/cn.ecookxuezuofan_preferences.xml
/data/data/####/collectiondatabase
/data/data/####/collectiondatabase-journal
/data/data/####/com.ciba.data.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.1.xml.bak
/data/data/####/com.x.y.2.xml
/data/data/####/d20c55af802202e8_0
/data/data/####/d6d2d02ae76a8367_0
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQxNTI1NjA2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQxNTIxMTg4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQxNTQ0NjAz;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTcyNDQxNTU0Nzgy;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1NzI0NDE1NDQ3MDY=;
/data/data/####/de09194789f22e60_0
/data/data/####/downloader.db-journal
/data/data/####/e9f4708ddb6b5e45_0
/data/data/####/eac7a311e081fc53_0
/data/data/####/ecookdatabase
/data/data/####/ecookdatabase-journal
/data/data/####/ed8635c036859eb6_0
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2af994fcf65aa9e_0
/data/data/####/f9a605e8bb64e6cd_0
/data/data/####/f9a605e8bb64e6cd_0 (deleted)
/data/data/####/fadbe73c1daa1389_0
/data/data/####/fadbe73c1daa1389_1
/data/data/####/fff6c7098a723f7b_0
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_cache.xml.bak
/data/data/####/https_h5.m.jd.com_0.localstorage-journal
/data/data/####/i==1.2.0&&1.30.25_1572441521174_envelope.log
/data/data/####/i==1.2.0&&1.30.25_1572441544610_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/libjiagu.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/mz_push_preference.xml
/data/data/####/proc_auxv
/data/data/####/sp_push_time.xml
/data/data/####/the-real-index
/data/data/####/tt_materialMeta.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/tt_splash.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopenadsdk.xml.bak
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/AdmobileApiAd_3.9.0.dex --oat-fd=86 --oat-location=/data/user/0/<Package>/app_admobile_api_dex/AdmobileApiAd_3.9.0.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/AndroidLogPlusXl_5.7.0.dex --oat-fd=98 --oat-location=/data/user/0/<Package>/app_android_log_plus_xl/AndroidLogPlusXl_5.7.0.dex --compiler-filter=speed
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-NONE-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней