Android.Triada.4350

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.248.origin
Android.Triada.464.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) bran####.v####.com.cn:80
TCP(HTTP/1.1) adxst####.v####.com.####.com:80
TCP(HTTP/1.1) 1####.29.170.177:80
TCP(HTTP/1.1) ad-sh-s####.wagbr####.t####.####.com:80
TCP(TLS/1.0) bran####.v####.com.cn:443
TCP(TLS/1.0) a####.v####.com.cn:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) st-onli####.v####.com.####.com:443
TCP(TLS/1.0) 1####.171.140.176:443
TCP(TLS/1.0) adxlog-####.v####.com.cn:443
TCP(TLS/1.0) adxst####.v####.com.####.com:443
TCP(TLS/1.0) dsp.pindu####.com:443

Запросы DNS:

a####.v####.com.cn
adxlog-####.v####.com.cn
adxst####.v####.com.cn
bran####.v####.com.cn
df.t####.com
dsp.pindu####.com
ef-dong####.t####.com
im####.pindu####.com
l.ace####.com
plb####.u####.com
st-onli####.v####.com.cn
u####.u####.com
w####.pcon####.com.cn

Запросы HTTP GET:

ad-sh-s####.wagbr####.t####.####.com/spf3?e=####&k=####&i=####&p=####
ad-sh-s####.wagbr####.t####.####.com/tanx?p=AQsMS####&e=####&k=####
ad-sh-s####.wagbr####.t####.####.com/tanx?p=AQsOz####&e=####&k=####
ad-sh-s####.wagbr####.t####.####.com/tanx?p=AQu3J####&e=####&k=####
ad-sh-s####.wagbr####.t####.####.com/tanx?p=AQv54####&e=####&k=####
ad-sh-s####.wagbr####.t####.####.com/tanx?p=AQv55####&e=####&k=####
adxst####.v####.com.####.com/marketing_api/2019-07-24/fc02d449-c399-4ca4...
adxst####.v####.com.####.com/marketing_api/2019-07-25/3d53bd83-88a6-47e5...
adxst####.v####.com.####.com/marketing_api/2019-08-30/10ddcfb0-306e-419b...
bran####.v####.com.cn/adnet/log/show?ip=####&timestamp=####&triggerId=##...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/3LusLk1EggQZqZB70XQI2lLCCXLGKltl_cKj27uVjewegzmDm-journal
/data/data/####/4-UCfig8gxa-fkzbfmDVBYoqOUg=.new
/data/data/####/4282777b0238321b4199e596f6d2e845_38c3ce82d83000...428434
/data/data/####/4d1508668d7112f6fb24008896da42e5_50039100000452...429154
/data/data/####/692d8b4c495491e30116bc505fea3d60_50039100000199...451574
/data/data/####/6nGREltV0Ed3f8AAggpxXw==.new
/data/data/####/6tZ-SvIANo-F2g0W.zip
/data/data/####/9EBuLn1Z4VPL2qOXB8-YnQ==.new
/data/data/####/EsOoB-nNaCXbYY4sa8Ae90f71Lo=.new
/data/data/####/HOhSZwKrhQG-pxbrywIW0R_PK5s=.new
/data/data/####/M8LDClQJCFzL4b8nEoEUPBpra2Y=.new
/data/data/####/MPl57WABD4EQg7NItl0i3Q==
/data/data/####/MWFySjbItBmKZG6Lr2YQ-pSqLDY=.new
/data/data/####/QZxbFY9OA2XmhqW-MDdbMzkOgXg=.new
/data/data/####/T03WAnX5NqYsjdCf8BbH6w==
/data/data/####/VivoOpenAdSDK.xml
/data/data/####/a==7.5.3&&1.2_1573449426497_envelope.log
/data/data/####/b15df60409662ce551db2c65fcc36500_38c3ce82d83000...452960
/data/data/####/com.dlyq.sjfy.vivo_preferences.xml
/data/data/####/crashSp.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTczNDQ5NDE4NDIx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTczNDQ5NDIxNzEw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTczNDQ5NDM2NjMz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTczNDQ5NDQxNDk3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTczNDQ5NDY4MDI2;
/data/data/####/e95fcbd51b4fa800f702a59e7c1832d7_50039100000202...478010
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f39d50ef2cc22d26a96e3e28459e4ac3_38c3ce82d83000...444902
/data/data/####/i==1.2.0&&1.2_1573449418486_envelope.log
/data/data/####/i==1.2.0&&1.2_1573449436585_envelope.log
/data/data/####/i==1.2.0&&1.2_1573449468033_envelope.log
/data/data/####/icqDCoH13rUsYZEv.new
/data/data/####/info.xml
/data/data/####/mTnbzf3Hgfx1LQrAunCL_Q==.new
/data/data/####/mygame_aggregationgame.xml
/data/data/####/ntKicfAIC8FzFzhvJy8BXw==.new
/data/data/####/oTtgbPQoQ0fIULDB
/data/data/####/prefs_vivounionsdk.xml
/data/data/####/q7mz-a0dj8qu5kJR2xAWR-XLue5jnRng.new
/data/data/####/rdata_comdlyqsjfy.new
/data/data/####/runner_info.prop.new
/data/data/####/senubw_f.zip
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vivoopenadsdk.db
/data/data/####/vivoopenadsdk.db-journal
/data/data/####/vivounionsdk.res
/data/data/####/webview.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/.uunique.new
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.vivo.os.version
getprop ro.yunos.version
ls /sys/class/thermal

Загружает динамические библиотеки:

cocos2djs
vivo_account_sdk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней