Android.Triada.4612

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.418.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) zxc####.wann####.com:8200
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) a####.u####.com:80

Запросы DNS:

a####.u####.com
b####.bj####.com
q####.qi1####.com
qyc####.qi1####.com
zxc####.wann####.com

Запросы HTTP POST:

a####.u####.com/app_logs
q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
zxc####.wann####.com:8200/qy/acceptSdkFileReq
zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/01fengmian.csb
/data/data/####/02main.csb
/data/data/####/03tongji.csb
/data/data/####/04mushi.csb
/data/data/####/05shangcheng.csb
/data/data/####/06shezhi.csb
/data/data/####/07zanting.csb
/data/data/####/08libao1.csb
/data/data/####/08libao2.csb
/data/data/####/08libao3.csb
/data/data/####/08libao4.csb
/data/data/####/08libao5.csb
/data/data/####/08libao6.csb
/data/data/####/08libao7.csb
/data/data/####/1.mp3
/data/data/####/2.mp3
/data/data/####/3.mp3
/data/data/####/4.mp3
/data/data/####/5.mp3
/data/data/####/5abc5156519219be26ad344fe7cddf9e
/data/data/####/6.mp3
/data/data/####/7.mp3
/data/data/####/Alvin2.xml
/data/data/####/Button_Disable.png
/data/data/####/Button_Normal.png
/data/data/####/Button_Press.png
/data/data/####/ContextData.xml
/data/data/####/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
/data/data/####/baidu
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/config.properties
/data/data/####/cover_kefu.png
/data/data/####/derfr.derfr.ewfrfr.drefrde
/data/data/####/derfr.derfr.ewfrfr.drefrde (deleted)
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fengmian0.png
/data/data/####/fengmian00.png
/data/data/####/fengmian000.png
/data/data/####/fengmian1.png
/data/data/####/fengmian10.png
/data/data/####/fengmian11.png
/data/data/####/fengmian12.png
/data/data/####/fengmian2.png
/data/data/####/fengmian3.png
/data/data/####/fengmian5.png
/data/data/####/fengmian6.png
/data/data/####/fengmian7.png
/data/data/####/fengmian8.png
/data/data/####/fengmian9.png
/data/data/####/getprop
/data/data/####/guang.png
/data/data/####/guanzirenlizi.plist
/data/data/####/hat1.png
/data/data/####/hat10.png
/data/data/####/hat2.png
/data/data/####/hat3.png
/data/data/####/hat4.png
/data/data/####/hat5.png
/data/data/####/hat6.png
/data/data/####/hat7.png
/data/data/####/hat8.png
/data/data/####/hat9.png
/data/data/####/heixian.png
/data/data/####/help0.png
/data/data/####/help1.png
/data/data/####/help10.png
/data/data/####/help11.png
/data/data/####/help12.png
/data/data/####/help13.png
/data/data/####/help14.png
/data/data/####/help15.png
/data/data/####/help16.png
/data/data/####/help17.png
/data/data/####/help18.png
/data/data/####/help2.png
/data/data/####/help3.png
/data/data/####/help4.png
/data/data/####/help5.png
/data/data/####/help6.png
/data/data/####/help8.png
/data/data/####/help9.png
/data/data/####/helper
/data/data/####/jiage.png
/data/data/####/jiao1.png
/data/data/####/jiao2.png
/data/data/####/jiao3.png
/data/data/####/jiao4.png
/data/data/####/jiao5.png
/data/data/####/kuai1.png
/data/data/####/kuai10.png
/data/data/####/kuai2.png
/data/data/####/kuai3.png
/data/data/####/kuai4.png
/data/data/####/kuai5.png
/data/data/####/kuai6.png
/data/data/####/kuai7.png
/data/data/####/kuai8.png
/data/data/####/kuai9.png
/data/data/####/libao0.png
/data/data/####/libao1.png
/data/data/####/libao10.png
/data/data/####/libao11.png
/data/data/####/libao12.png
/data/data/####/libao13.png
/data/data/####/libao14.png
/data/data/####/libao15.png
/data/data/####/libao16.png
/data/data/####/libao17.png
/data/data/####/libao18.png
/data/data/####/libao19.png
/data/data/####/libao2.png
/data/data/####/libao20.png
/data/data/####/libao21.png
/data/data/####/libao22.png
/data/data/####/libao23.png
/data/data/####/libao3.png
/data/data/####/libao4.png
/data/data/####/libao5.png
/data/data/####/libao6.png
/data/data/####/libao7.png
/data/data/####/libao8.png
/data/data/####/libao9.png
/data/data/####/libgame.so
/data/data/####/libhelper.so
/data/data/####/libsmsmanager.so
/data/data/####/libzxvps.so
/data/data/####/lizi_1.plist
/data/data/####/lizi_21.plist
/data/data/####/lizi_4.plist
/data/data/####/lizi_8.plist
/data/data/####/maliao.ExportJson
/data/data/####/maliao.csb
/data/data/####/maliao0.plist
/data/data/####/maliao0.png
/data/data/####/maliao1.plist
/data/data/####/maliao1.png
/data/data/####/movei1.png
/data/data/####/movei2.png
/data/data/####/movei3.png
/data/data/####/name.ExportJson
/data/data/####/name0.plist
/data/data/####/name0.png
/data/data/####/pid
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/ropwbf950m7owm5n.dex
/data/data/####/sc0.png
/data/data/####/sc1.png
/data/data/####/sc10.png
/data/data/####/sc2.png
/data/data/####/sc3.png
/data/data/####/sc4.png
/data/data/####/sc5.png
/data/data/####/sc6.png
/data/data/####/sc7.png
/data/data/####/sc8.png
/data/data/####/sc9.png
/data/data/####/shuzi1.png
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/ui0.png
/data/data/####/ui1.png
/data/data/####/ui10.png
/data/data/####/ui11.png
/data/data/####/ui12.png
/data/data/####/ui13.png
/data/data/####/ui14.png
/data/data/####/ui15.png
/data/data/####/ui16.png
/data/data/####/ui17.png
/data/data/####/ui18.png
/data/data/####/ui19.png
/data/data/####/ui2.png
/data/data/####/ui20.png
/data/data/####/ui21.png
/data/data/####/ui22.png
/data/data/####/ui23.png
/data/data/####/ui24.png
/data/data/####/ui25.png
/data/data/####/ui26.png
/data/data/####/ui3.png
/data/data/####/ui4.png
/data/data/####/ui5.png
/data/data/####/ui6.png
/data/data/####/ui7.png
/data/data/####/ui8.png
/data/data/####/ui9.png
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unknown.xml
/data/data/####/xinglizi.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/device

Другие:

Запускает следующие shell-скрипты:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 777 <Package Folder>/files/_zx_lib/helper
dd if <Package Folder>/files/_zx_lib/libhelper.so of <Package Folder>/files/_zx_lib/helper
dd if=<Package Folder>/files/_zx_lib/libhelper.so of=<Package Folder>/files/_zx_lib/helper
df
getprop
ls -l /system/bin/su
rm -f <Package Folder>/files/ropwbf950m7owm5n.dex
sh

Загружает динамические библиотеки:

c9oxpguj5vucpz80
libgame
libhelper
libsmsmanager
libzxvps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней