Android.Triada.4404

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.906.origin
Android.Triada.482.origin
Android.Triada.483.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1713464####.cn-hang####.fc.####.com:80
TCP(HTTP/1.1) y####.b####.com:12583
TCP(HTTP/1.1) o6####.ns####.cn:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) ff.s####.com:8080
TCP(HTTP/1.1) d####.wos####.com:80
TCP(HTTP/1.1) p####.ap####.net:80
TCP(HTTP/1.1) k####.kyli####.com.####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) p####.caiji####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) yun.b####.com:80
TCP(HTTP/1.1) e4####.0r####.com:10293
TCP(HTTP/1.1) le####.gl####.cn:80
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) ym####.89####.com:34656
TCP(HTTP/1.1) s####.caiji####.com:666
TCP(HTTP/1.1) 4####.52.35.71:80
TCP(HTTP/1.1) 6z####.njt####.com:10091
TCP(HTTP/1.1) a####.caiji####.com:80
TCP(SSL/3.0) api.c####.info####.cn:443
TCP(TLS/1.0) api.c####.info####.cn:443
TCP 4####.52.35.71:6666

Запросы DNS:

6z####.njt####.com
a####.caiji####.com
a.bjsd####.com
a3####.fj####.cn
adblo####.ap####.net
api.c####.info####.cn
c####.s####.com
d####.wos####.com
e4####.0r####.com
ff.s####.com
h####.c####.com
k####.kyli####.com
l####.tbs.qq.com
le####.gl####.cn
lg.ca####.com
o####.1####.com
o6####.ns####.cn
p####.ap####.net
p####.caiji####.com
php.sho####.com
s####.caiji####.com
sn####.kv####.com
y####.b####.com
ym####.89####.com
yun.b####.com
z####.heyc####.net
z12.c####.com
z2.c####.com
z3.c####.com
z6.c####.com
zc####.mj####.cn

Запросы HTTP GET:

1713464####.cn-hang####.fc.####.com/lg/?lg="0E"55si"55"4F"55hsobuXtcl"55...
1713464####.cn-hang####.fc.####.com/lg/?lg="0E"55si"55"4F"55khfcbu"55"5D...
d####.c####.l####.####.com/TTT020_016.y
ff.s####.com:8080/ttad/api/getAd/h0osc5PP6DbVjB6bQ1z8LA==
ff.s####.com:8080/ttad/api/jv5/h0osc5PP6DbVjB6bQ1z8LA==/c159657daa503498...
k####.kyli####.com.####.com/1574163217037_utils.ttf
le####.gl####.cn/c/wkdgdb.zip
le####.gl####.cn/c/wlqsimg.zip
o6####.ns####.cn/two/koslqod
o6####.ns####.cn/u/qwejsajdjqwjne
yun.b####.com/pw/765f73646b.jpg
yun.b####.com/tz/6173.jpg
yun.b####.com/xtz/1530249411.ico
z.c####.com/stat.htm?id=####&cnzz_eid=####

Запросы HTTP POST:

6z####.njt####.com:10091/wisdom/marking
a####.caiji####.com/v2/load/mobile
d####.wos####.com/upload/longheartbeat.jsp
d####.wos####.com/upload/sdklongheartbeat.jsp
e4####.0r####.com:10293/widlth/
e4####.0r####.com:10293/xkeila/
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
p####.ap####.net/public/adv/index/appcount
p####.caiji####.com/klv2/sdkkl/mobile
php.sho####.com/index.php?r=####
s####.caiji####.com:666/v1/config
y####.b####.com:12583/izzmx/
y####.b####.com:12583/r2bfp/
y####.b####.com:12583/r788p/
ym####.89####.com:34656/aowbg/
ym####.89####.com:34656/ixowf/
ym####.89####.com:34656/qdkle/
ym####.89####.com:34656/rqiea/
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/1486482519_rss_pl_cty.xml
/data/data/####/1486482519_rws_sp.xml
/data/data/####/1486482519_sp_iconfig.xml
/data/data/####/44367F39739CCD6BBF960E91E7DB78B2.xml
/data/data/####/4B8DB6B83129A65A2EF4DCFC1393C3B0.xml
/data/data/####/5706036940267e63e48cf9114bcfd2d6
/data/data/####/8EAD111D030291821E19A80E344C340A.xml
/data/data/####/A3AEECD8.dex
/data/data/####/FirstRun
/data/data/####/MultiDex.lock
/data/data/####/_p.xml
/data/data/####/_sh.xml
/data/data/####/atai.jar
/data/data/####/cache_1486482519_pl_sp.xml
/data/data/####/cache_update.xml
/data/data/####/classes.dex
/data/data/####/cm_cfgt_spf.xml
/data/data/####/com.kdouun.kjgipbg_preferences.xml
/data/data/####/core_info
/data/data/####/ctywcid.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/download_upload
/data/data/####/dpi
/data/data/####/dwssjb.data-journal
/data/data/####/dwswsss.data-journal
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/hid.db
/data/data/####/img-cache.zip
/data/data/####/index
/data/data/####/ip.db
/data/data/####/ip.db-journal
/data/data/####/le.xml
/data/data/####/libA3AEECD8_arm64-v8a.so
/data/data/####/libA3AEECD8_armeabi.so
/data/data/####/libjiagu-502899113.so
/data/data/####/libplomtw.so
/data/data/####/libplomtw.so-32
/data/data/####/libplomtw.so-64
/data/data/####/load_MTAwMF8xMjAxXzIxNjAwMTAw;.xml
/data/data/####/lqe.xml
/data/data/####/multidex.version.xml
/data/data/####/owfrdza.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/qwevsww.xml
/data/data/####/qwwevswes.data-journal
/data/data/####/rq_file.xml
/data/data/####/rq_p.xml
/data/data/####/share_data.xml
/data/data/####/spfn_MTAwMF8xMjAxXzIxNjAwMTAw;.xml
/data/data/####/sunn.jar
/data/data/####/sunn.tmp (deleted)
/data/data/####/sunn.x
/data/data/####/swwkghf.data-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tfsk.xml
/data/data/####/tsvx.xml
/data/data/####/wdmmof.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wiwsesf.xml
/data/data/####/wiwsesf.xml.bak
/data/data/####/wpxtjjwb.jar
/data/data/####/wwssax.xml
/data/data/####/yd_config_c.xml
/data/media/####/.6173.apk
/data/media/####/.765f73646b.apk
/data/media/####/.cjlocfile.txt
/data/media/####/.nid
/data/media/####/.nomedia
/data/media/####/.usdis
/data/media/####/.wo
/data/media/####/.ztk
/data/media/####/13397744574F5B3E0D4DF0493AB97AF9
/data/media/####/214441FEE27F85A6FAFB07984985701E.jar
/data/media/####/214441FEE27F85A6FAFB07984985701E.temp
/data/media/####/23AEEE436B7BDAE08419F44511555075
/data/media/####/29373610C573B838389D1978F23D444F
/data/media/####/29373610C573B838389D1978F23D444F.temp
/data/media/####/29373610C573B838389D1978F23D444F.zip
/data/media/####/3FB9E7CA13580B2695492E3725AB21D1
/data/media/####/9D89E737919B6A041D5C18A7518E185E
/data/media/####/E9261E80A17EF2C5B211E83EB453B65A.jar
/data/media/####/E9261E80A17EF2C5B211E83EB453B65A.temp
/data/media/####/FC428339D94C814CF2BC5DEE62BE0DA0.temp
/data/media/####/FC428339D94C814CF2BC5DEE62BE0DA0.zip
/data/media/####/ia
/data/media/####/miqn
/data/media/####/tbslog.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
cat /proc/version
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
getprop
getprop ro.board.platform
getprop ro.product.cpu.abi
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps

Загружает динамические библиотеки:

libA3AEECD8_arm64-v8a
libA3AEECD8_armeabi
libjiagu-502899113
libplomtw

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
DES
DES-CBC-PKCS5Padding
RSA-None-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней