Android.Triada.4555

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.906.origin
Android.RemoteCode.256.origin
Android.Triada.482.origin
Android.Triada.483.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.DownLoader.906.origin
Android.DownLoader.909.origin

Сетевая активность:

Подключается к:

UDP(DNS) 1####.114.114.114:53
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.d####.com:80
TCP(HTTP/1.1) v.sho####.com:80
TCP(HTTP/1.1) 1713464####.cn-hang####.fc.####.com:80
TCP(HTTP/1.1) tfs.alipayo####.com:80
TCP(HTTP/1.1) cdn.clou####.xyz:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) res####.a####.top:80
TCP(HTTP/1.1) o6####.ns####.cn:80
TCP(HTTP/1.1) i####.doub####.com:80
TCP(HTTP/1.1) dup.baidust####.com:80
TCP(HTTP/1.1) ip.j####.com:999
TCP(HTTP/1.1) oi####.kenanta####.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) ny.bul####.cn:666
TCP(HTTP/1.1) api.meiju####.net:80
TCP(HTTP/1.1) pic.s####.cn.####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) q####.0####.com:13967
TCP(HTTP/1.1) bd-m-ba####.1####.com:80
TCP(HTTP/1.1) j####.o####.com:13967
TCP(HTTP/1.1) jp####.njt####.com:10091
TCP(HTTP/1.1) yun.b####.com:80
TCP(HTTP/1.1) v1.xm####.com.####.com:80
TCP(HTTP/1.1) d####.dd7####.com:80
TCP(HTTP/1.1) t####.a####.top:80
TCP(HTTP/1.1) pos.b####.com:80
TCP(HTTP/1.1) a3####.fj####.cn:80
TCP(HTTP/1.1) e4####.0r####.com:20149
TCP(HTTP/1.1) filt####.a####.top:80
TCP(HTTP/1.1) tin####.c####.l####.####.com:80
TCP(HTTP/1.1) jx.lyh####.com:80
TCP(HTTP/1.1) m####.net:80
TCP(HTTP/1.1) ff.s####.com:8080
TCP(HTTP/1.1) le####.gl####.cn:80
TCP(HTTP/1.1) s.zhito####.com:808
TCP(HTTP/1.1) s.zhito####.com:807
TCP(HTTP/1.1) e4####.0r####.com:10293
TCP(HTTP/1.1) ym####.89####.com:34656
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) d.sho####.com:80
TCP(SSL/3.0) api.c####.info####.cn:443
TCP(SSL/3.0) cili####.cn:443
TCP(TLS/1.0) wtc.d####.com:443
TCP(TLS/1.0) img1-do####.b0.a####.com:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) cili####.cn:443
TCP(TLS/1.0) dup.baidust####.com:443
TCP(TLS/1.0) lhyysdk####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) img.kuy####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) qdl.d####.com:443
TCP(TLS/1.0) i####.doub####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) id.d####.com:443
TCP(TLS/1.0) g####.b####.com:443
TCP(TLS/1.0) i####.doub####.com.####.com:443
TCP(TLS/1.0) ssls####.jom####.com:443
TCP(TLS/1.0) i####.d####.com:443
TCP(TLS/1.0) sw4.d####.com:443
TCP(TLS/1.0) pos.b####.com:443
TCP(TLS/1.0) api.icinep####.com:443
TCP(TLS/1.0) bd-m-ba####.1####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) api.c####.info####.cn:443
TCP(TLS/1.0) ad1.azh####.com:9190

Запросы DNS:

a####.d####.com
a3####.fj####.cn
ad1.azh####.com
api.c####.info####.cn
api.icinep####.com
api.meiju####.net
api.meiju####.net/
b####.qutou####.net
c####.mm####.com
c.c####.com
cdn####.f####.top
cdn.clou####.xyz
cgi.con####.qq.com
cili####.cn
d####.dd7####.com
d.sho####.com
d1.sho####.com
dup.baidust####.com
e4####.0r####.com
ff.s####.com
filt####.a####.top
g####.b####.com
g####.bdst####.com
h####.c####.com
hm.b####.com
i####.d####.com
i####.doub####.com
i####.doub####.com
i####.doub####.com
id.d####.com
img.kuy####.com
ip.j####.com
ip.remo####.com
j####.o####.com
jp####.njt####.com
jx.lyh####.com
le####.gl####.cn
lg.ca####.com
lhyysdk####.oss-cn-####.aliy####.com
m####.net
ny.bul####.cn
o6####.ns####.cn
oi####.kenanta####.com
php.sho####.com
pic.s####.cn
plb####.u####.com
pos.b####.com
pv.s####.com
px####.jueco####.com
q####.0####.com
qdl.d####.com
res####.a####.top
s####.caiji####.com
s.zhito####.com
s4.c####.com
s5.c####.com
sn####.kv####.com
sw4.d####.com
t####.a####.top
tfs.alipayo####.com
u####.a####.top
u####.u####.com
v.sho####.com
v1.xm####.com
wtc.d####.com
ww1.sin####.cn
www.me####.com
xt####.g8####.com
ym####.89####.com
yun.b####.com
z####.heyc####.net
z12.c####.com
z3.c####.com
z9.c####.com

Запросы HTTP GET:

1713464####.cn-hang####.fc.####.com/lg/?lg="0E"55si"55"4F"55hsobuXtcl"55...
1713464####.cn-hang####.fc.####.com/lg/?lg="0E"55si"55"4F"55khfcbu"55"5D...
a####.d####.com/rewrite?fromid=####
a3####.fj####.cn/c/jdigwuislgori32387s87w87s.zip
api.meiju####.net/plugins/80s.json
api.meiju####.net/plugins/kuaikan66.json
api.meiju####.net/plugins/micaitu.json
bd-m-ba####.1####.com/download/qutoutiao_6656_apkfile
cdn.clou####.xyz/jar/365admo.jar
cdn.clou####.xyz/jar/cf0110.jar
cdn.clou####.xyz/jar/cf1231.jar
cdn.clou####.xyz/jar/kp1224.jar
cdn.clou####.xyz/jar/so0108.jar
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
d####.dd7####.com//upload/plog/cvfd.jar
d####.dd7####.com//upload/sdk2/SDK442dex20200106.jar
d####.dd7####.com/upload/plog/bghu.jar
d####.dd7####.com/upload/sdk2/zawdex20200106.jar
d####.dd7####.com/upload/sdk3/kzddex20191224.jar
dup.baidust####.com/js/os.js
ff.s####.com:8080/ttad/api/jv5/mlGTc0ehU30gjMysddUMFw==/c159657daa503498...
filt####.a####.top/filter_control_617.json
gd.a.s####.com/cityjson
i####.doub####.com/large/683cb5a1gy1g1mbi0xz6bj20go08cdg8.jpg
ip.j####.com:999/wap/index.php?0####
jx.lyh####.com/img/61.jpg
le####.gl####.cn/tp/qutt.jpg
m####.net/Public/images/meiju_share.png
o6####.ns####.cn/one/qwertyuiot.zip
o6####.ns####.cn/u/qwertyuioc.jar
oi####.kenanta####.com/c/lwwsys.zip
oi####.kenanta####.com/c/wlimqseg.zip
pic.s####.cn.####.com/img/5d9dab198a9f3.jpg
pos.b####.com/ucem?psi=bed5f46bf7b3dcfcb0595292650c732e&di=6611856&dri=0...
res####.a####.top/LHYY.png
res####.a####.top/sdk1.png
res####.a####.top/sdk13_2.png
res####.a####.top/sdk17.png
res####.a####.top/sdk18.png
res####.a####.top/sdk5_2.png
s.zhito####.com:807/528/jf0622.html
s.zhito####.com:808/0622/index.html
s.zhito####.com:808/0622/yrc_001mobile.js
t####.a####.top/channl_adong5.png
t####.a####.top/percent.json
t####.a####.top/req.json
tfs.alipayo####.com/L1/71/100/and/alipay_2088131876115982_279.apk
tin####.c####.l####.####.com/TTT053_0014.y
v1.xm####.com.####.com//xmy//upflie/apk/1359_0/2019/12/26/com.haoliang.a...
yun.b####.com/pw/70777777.jpg
yun.b####.com/pw/765f73646b.jpg
yun.b####.com/tz/6173.jpg
yun.b####.com/xtz/1530249411.ico
z.c####.com/stat.htm?id=####&cnzz_eid=####

Запросы HTTP POST:

api.meiju####.net/
d.sho####.com/index.php?r=####
d.sho####.com/index.php?r=####&uid=####&tm=####&model=####&density=####&...
e4####.0r####.com:10293/widlth/
e4####.0r####.com:10293/xkeila/
e4####.0r####.com:20149/kysd7h/
j####.o####.com:13967/d0oer/
j####.o####.com:13967/nheae/
jp####.njt####.com:10091/wisdom/marking
ny.bul####.cn:666/slsdk/settings.aspx
php.sho####.com/index.php?r=####
q####.0####.com:13967/x5qn0/
v.sho####.com/index.php?r=####
ym####.89####.com:34656/aowbg/
ym####.89####.com:34656/ixowf/
ym####.89####.com:34656/ntmjv/
ym####.89####.com:34656/qdkle/
ym####.89####.com:34656/rqiea/

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/00993f511c8b1b878830aa908a599c16c3d7ae512bc2c46....0.tmp
/data/data/####/1.jar
/data/data/####/110
/data/data/####/134
/data/data/####/142
/data/data/####/155
/data/data/####/177
/data/data/####/18873752c3fbe12ffe85ee4952f33c449532fba942089c4....0.tmp
/data/data/####/1CC348654F9CF9BAD5D972EB721574B9.xml
/data/data/####/206
/data/data/####/209
/data/data/####/210
/data/data/####/222
/data/data/####/234
/data/data/####/235
/data/data/####/236
/data/data/####/242
/data/data/####/249
/data/data/####/251
/data/data/####/27f2dd6b1ceca7b927c695cad6d8d546.0.tmp
/data/data/####/27f2dd6b1ceca7b927c695cad6d8d546.1.tmp
/data/data/####/33
/data/data/####/34
/data/data/####/36bd1ba46f08b1f74e67523b148cad7501751d6bb3c8789....0.tmp
/data/data/####/402a3c145e89fe017738b95148df3bc9.0.tmp
/data/data/####/402a3c145e89fe017738b95148df3bc9.1.tmp
/data/data/####/42e3379b554d697429c03f7f78da57aa.0.tmp
/data/data/####/42e3379b554d697429c03f7f78da57aa.1.tmp
/data/data/####/44367F39739CCD6BBF960E91E7DB78B2.xml
/data/data/####/4B8DB6B83129A65A2EF4DCFC1393C3B0.xml
/data/data/####/592meiju_data.xml
/data/data/####/5_2.jar
/data/data/####/60452bcf50447b6904770abceceb843ddbb16d8c4582a3a....0.tmp
/data/data/####/6b0046aa35b4ccb58938330566f1083b.0.tmp
/data/data/####/6b0046aa35b4ccb58938330566f1083b.1.tmp
/data/data/####/71
/data/data/####/7295ece1696c2c3e0ee9a8b27f4b49a3.db
/data/data/####/76924073b8c910199fef670575272677.db
/data/data/####/77e45a4bd2464b65012d12713c208e3498b862f051e3ec5....0.tmp
/data/data/####/829f117fe7612fcbc74fe8a066b47090.db
/data/data/####/84
/data/data/####/85b8370a53d6eca22da5f3fb5c291ed7.db
/data/data/####/8EAD111D030291821E19A80E344C340A.xml
/data/data/####/HttpDNSConstantsJson.xml
/data/data/####/MultiDex.lock
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/_p.xml
/data/data/####/_sh.xml
/data/data/####/a299d31f8b05ee9c99bf6627dd0c280f1ebde7f416ec21c....0.tmp
/data/data/####/a==8.0.0&&5.4.4_1578998150063_envelope.log
/data/data/####/atai.jar
/data/data/####/bb229b2983b3f087b727ccd257ac3e14.0.tmp
/data/data/####/bb229b2983b3f087b727ccd257ac3e14.1.tmp
/data/data/####/c95fdaaad3ed33f0a4d07f07df4c1d0cac711d8045129f5....0.tmp
/data/data/####/com.tencent.open.config.json.1106779540
/data/data/####/d19e9c953d3ee5108f32dc026e00652c.db
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc4OTk4MTQ0ODA3;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/db64144592e6c02b040383ecdf104e9c1d3c316f1fc6c34....0.tmp
/data/data/####/dmvfg.data-journal
/data/data/####/dns_ip_info.db
/data/data/####/dns_ip_info.db-journal
/data/data/####/downUmeng.jar
/data/data/####/dpi
/data/data/####/erkmhx.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/fe0dfcec6e195d55d555804df2596854.db
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/i==1.2.0&&5.4.4_1578998144806_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/jwsseaji.jar
/data/data/####/libbqptos.so
/data/data/####/libbqptos.so-32
/data/data/####/libbqptos.so-64
/data/data/####/libjiagu-13983728.so
/data/data/####/meijuniaoV2.db-journal
/data/data/####/msy.xml
/data/data/####/multidex.version.xml
/data/data/####/okrulp.png
/data/data/####/qdwsews.xml
/data/data/####/qdwsews.xml.bak (deleted)
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/qsdwsws.data-journal
/data/data/####/rq_file.xml
/data/data/####/sGyhfKf.data-journal
/data/data/####/sunn.jar
/data/data/####/sunn.tmp (deleted)
/data/data/####/sunn.x
/data/data/####/t2pr.xml
/data/data/####/t==8.0.0&&5.4.4_1578998149031_envelope.log
/data/data/####/tools8978.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wstrwqs.xml
/data/data/####/wstrwqs.xml.bak (deleted)
/data/data/####/ycb.xml
/data/data/####/ycb.xml.bak (deleted)
/data/data/####/yd_config_c.xml
/data/media/####/.6173.apk
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nid
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/.usdis
/data/media/####/.yoh
/data/media/####/.zx
/data/media/####/03A1149AD0C3BB08FF3316A3475BA1B9
/data/media/####/24651B7827BEE1FF264AF705B0C5ACCB
/data/media/####/2801F44305E0CFF1689982CBD995C38F
/data/media/####/2E46116119D6369FFDF3FC0F21D690C3
/data/media/####/2e501745fad44f7433cdff62785072ef.xml
/data/media/####/2f13aa10b94e4bfe8142b7aa166e9484
/data/media/####/3915BACB930634B7E206116F9DC9486F
/data/media/####/3a1f12b153590d36c25aee43defe4f93.png
/data/media/####/436D56847771BA680E24B7AEE75B16A2
/data/media/####/6039a5dc726735515b7d4af99a14a028.jpg
/data/media/####/62DA84947A22FD610427526377CF65A4
/data/media/####/6CDE2987B4E4E3A475F2D96F9B35372A.temp
/data/media/####/6CDE2987B4E4E3A475F2D96F9B35372A.zip
/data/media/####/74D964A466FE53F8FA991702B4D02512
/data/media/####/8D165A60164951A25411E6522DFEB743.temp
/data/media/####/8D165A60164951A25411E6522DFEB743.zip
/data/media/####/96D363AD4F05B0EF5EE8D629DB6A972D
/data/media/####/96D363AD4F05B0EF5EE8D629DB6A972D.jar
/data/media/####/96D363AD4F05B0EF5EE8D629DB6A972D.temp
/data/media/####/AC6E3274059BAE8EB9EE9421F4C7ADAB
/data/media/####/AC6E3274059BAE8EB9EE9421F4C7ADAB.jar
/data/media/####/AC6E3274059BAE8EB9EE9421F4C7ADAB.temp
/data/media/####/CF236823D43E47EDF5FF518A575C01A1.jar
/data/media/####/CF236823D43E47EDF5FF518A575C01A1.temp
/data/media/####/D22B5E54CB4ED3BDB756691D98D2F01C
/data/media/####/F0EFCAC1EB3D06CC8DE249EF16240B7F
/data/media/####/SDK442dex20200106.jar
/data/media/####/_pn
/data/media/####/_shn
/data/media/####/bghu.jar
/data/media/####/cf0110.jar
/data/media/####/cf1231.jar
/data/media/####/com.tencent.mobileqq_connectSdk.20.01.14.13.log
/data/media/####/cvfd.jar
/data/media/####/httpdns.log
/data/media/####/kp1224.jar
/data/media/####/kzddex20191224.jar
/data/media/####/pe
/data/media/####/so0108.jar
/data/media/####/text2b1e0329edf97bf07350a3a5ef564461
/data/media/####/text718bcc1d32b619bf5c250d63b8315b09
/data/media/####/text85f8002757cfd1ed5a01db215f6b65fb
/data/media/####/textf2538dc9842661d0dc22c3997d978b58
/data/media/####/zawdex20200106.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh
cat /proc/version
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
getprop
getprop ro.board.platform
getprop ro.product.cpu.abi
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

libbqptos
libjiagu-13983728
native-signtools

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES
Des-ECB-NoPadding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES
DES-CBC-PKCS5Padding
Des-ECB-NoPadding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней