Android.Triada.4510

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.906.origin
Android.Triada.482.origin
Android.Triada.483.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) api.xiub####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) 1####.27.70.235:80
TCP(HTTP/1.1) s.a.longy####.com:80
TCP(HTTP/1.1) awk.aoxun####.com:8199
TCP(HTTP/1.1) np.bul####.cn:6087
TCP(HTTP/1.1) zgx.powerle####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) z####.n####.com:20193
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) yq####.jn####.ltd:80
TCP(HTTP/1.1) ny.bul####.cn:666
TCP(HTTP/1.1) np.bul####.cn:666
TCP(HTTP/1.1) e4####.0r####.com:10293
TCP(HTTP/1.1) le####.gl####.cn:80
TCP(HTTP/1.1) j####.o####.com:20193
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) 6z####.njt####.com:10091
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) a####.quh####.com:443
TCP(TLS/1.0) a####.d####.com:443
TCP(TLS/1.0) ad1.azh####.com:9190

Запросы DNS:

6z####.njt####.com
a####.d####.com
a####.quh####.com
ad1.azh####.com
ad3.azh####.com
api.xiub####.com
awk.aoxun####.com
e4####.0r####.com
j####.o####.com
le####.gl####.cn
log.u####.com
np.bul####.cn
ny.bul####.cn
php.sho####.com
plb####.u####.com
pv.s####.com
s####.d####.com
s.a.longy####.com
u####.u####.com
w####.pcon####.com.cn
ym####.89####.com
yq####.jn####.ltd
z####.heyc####.net
z####.n####.com
z3.c####.com
zgx.powerle####.com

Запросы HTTP GET:

api.xiub####.com/wallpaper/default/index?name=####
le####.gl####.cn/one/390hjjij67ugy.zip
le####.gl####.cn/zz/390lkhjgyklvy.zip
yq####.jn####.ltd/sy/ojnnuwg
z.c####.com/stat.htm?id=####&cnzz_eid=####
zgx.powerle####.com/dnfile/cmm/PWrap191127F.jar
zgx.powerle####.com/dnfile/wmp/WG20190301110100_7N1022_0314.jar

Запросы HTTP POST:

6z####.njt####.com:10091/wisdom/marking
awk.aoxun####.com:8199/awk
e4####.0r####.com:10293/widlth/
gd.a.s####.com/cityjson
j####.o####.com:20193/h3wkt/
np.bul####.cn:6087/Sdk/netExrep
np.bul####.cn:6087/Sdk/patchPlayReport
np.bul####.cn:6087/Sdk/reportTask
np.bul####.cn:6087/Sdk/task
np.bul####.cn:666/slsdk/api_report.aspx
ny.bul####.cn:666/slsdk/getdata.aspx
ny.bul####.cn:666/slsdk/settings.aspx
php.sho####.com/index.php?r=####
s.a.longy####.com/
w####.pcon####.com.cn/ip.jsp
z####.heyc####.net/getlist
z####.heyc####.net/xlogin
z####.n####.com:20193/kaub9/
z####.n####.com:20193/xr8ex/

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/44367F39739CCD6BBF960E91E7DB78B2.xml
/data/data/####/4B8DB6B83129A65A2EF4DCFC1393C3B0.xml
/data/data/####/8285687079f726e81979764e271ed349
/data/data/####/8EAD111D030291821E19A80E344C340A.xml
/data/data/####/META_INFO.xml
/data/data/####/MultiDex.lock
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewBasePrefs.xml
/data/data/####/_p.xml
/data/data/####/_sh.xml
/data/data/####/appsmap2.xml
/data/data/####/asz.xml
/data/data/####/cca.xml
/data/data/####/com.baoruan.launcher3d.prefs.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5NzQwMTUy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5NzU4MzUz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5NzUwNDY5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5Nzg2MTI5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5NzkyNjAw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5ODAxODAy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc1NTU5ODM0MTUz;
/data/data/####/dW1weF9zaGFyZV8xNTc1NTU5NzQyNTI2;
/data/data/####/dW1weF9zaGFyZV8xNTc1NTU5NzQyNTg5;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dpi
/data/data/####/dwswsso.data-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/hid.db
/data/data/####/i==1.2.0&&4.8.9_1575559740347_envelope.log
/data/data/####/i==1.2.0&&4.8.9_1575559750520_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/irj.xml
/data/data/####/launcher.settings.prefs.xml
/data/data/####/launcher2.db-journal
/data/data/####/libjiagu945463913.so
/data/data/####/libkvcpum.so
/data/data/####/libkvcpum.so-32
/data/data/####/libkvcpum.so-64
/data/data/####/lkswwwaf.data-journal
/data/data/####/longyun_sdk.xml
/data/data/####/multidex.version.xml
/data/data/####/prdopt.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/quad_sdk.xml
/data/data/####/screen_lock_preference.xml
/data/data/####/share.db-journal
/data/data/####/swwwwsw.xml
/data/data/####/swwwwsw.xml.bak
/data/data/####/swwwwsw.xml.bak (deleted)
/data/data/####/t2pr.xml
/data/data/####/tdargs.xml
/data/data/####/tmp7.xml
/data/data/####/tools8977.xml
/data/data/####/tools8977New2.xml
/data/data/####/tools8978.xml
/data/data/####/u877.jar
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/vcwoqefu.jar
/data/data/####/vofssw.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wowwwsqf.xml
/data/data/####/yd_config_c.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nid
/data/media/####/.nomedia
/data/media/####/.qs
/data/media/####/.umm.dat
/data/media/####/.usdis
/data/media/####/0ADF329F76EF842FD27269ED799C169C.jar
/data/media/####/0ADF329F76EF842FD27269ED799C169C.temp
/data/media/####/0CCE2C5308E8F4A69DD26E659032FAD3
/data/media/####/457729F0AC196FA1AF6D520E1EA892E4.jar
/data/media/####/457729F0AC196FA1AF6D520E1EA892E4.temp
/data/media/####/7c841788168946d3ef5114bd0b4ddab7.xml
/data/media/####/87A770305560F41920C5A678042D505F
/data/media/####/D1AAB89A7C4C3F80C881F6B6BDC00026.temp
/data/media/####/_pn
/data/media/####/_shn
/data/media/####/engc.jar
/data/media/####/engc.jar.tmp
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/launcher_log.file
/data/media/####/plug.status
/data/media/####/sysid.dat
/data/media/####/tag2.datc917a6e0-59fe-4821-befc-3053d1fec503.tmp
/data/media/####/tbslog.txt
/data/media/####/tmpbl.jar
/data/media/####/u877.jar.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh
<Package Folder>/app_bin/watcher -p <Package> -b 0 -u http://apitest.baoruan.com/launcher/default/index?name=uninstall&un=2D7BB3B44FB1C3AEBAA9C51732BA4675&channelId=A3_ding_004&version=4.8.9&sdkversion=18&isUserInt=0
cat /proc/version
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
getprop
getprop ro.board.platform
getprop ro.product.cpu.abi
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

X86Bridge
ksmath
libjiagu945463913
libkvcpum
securityenv

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES
Des-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней