Android.Triada.4837

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.1007.origin
Android.Triada.4567

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) shop-####.7####.com:80
TCP(HTTP/1.1) qzones####.g####.cn.####.com:80
TCP(HTTP/1.1) c####.7####.com:80
TCP(HTTP/1.1) p####.hfc####.com:80
TCP(HTTP/1.1) 4####.98.31.107:901
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) v2.g####.qq.com:80
TCP(HTTP/1.1) p####.ugd####.com.####.com:80
TCP(HTTP/1.1) sf1-be-####.pglstat####.com:80
TCP(HTTP/1.1) luna-im####.qq.com.####.com:80
TCP(HTTP/1.1) orn####.wwe####.com:17001
TCP(TLS/1.0) otherbd####.x2s####.t####.####.com:443
TCP(TLS/1.0) mi.g####.qq.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) p####.x####.com:443
TCP(TLS/1.0) api16-a####.pa####.io.####.net:443
TCP(TLS/1.0) aa.birdg####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) tk.anythin####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) api16-l####.pa####.io.####.net:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP(TLS/1.0) dd.top####.com:443
TCP(TLS/1.0) ssl.zd####.com:443
TCP(TLS/1.0) 1####.194.222.95:443
TCP(TLS/1.0) ga.cp####.net:443
TCP(TLS/1.0) aa.top####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.2) 1####.194.73.94:443
TCP(TLS/1.2) 64.2####.162.101:443

Запросы DNS:

aa.birdg####.com
aa.top####.com
and####.google####.com
api16-a####.pa####.io
api16-l####.pa####.io
bds.sn####.com
c####.7####.com
c####.x####.com
cw####.mintl####.cn
da.anythin####.com
dd.top####.com
dig.b####.net
dm.tou####.com
ga.cp####.net
imgc####.qq.com
l####.tbs.qq.com
mi.g####.qq.com
orn####.wwe####.com
p####.google####.com
p####.hfc####.com
p####.ugd####.com
p####.x####.com
pang####.sn####.com
q####.qq.com
qzones####.g####.cn
s####.e.qq.com
s####.sn####.com
sf1-be-####.pglstat####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
shop-####.7####.com
ssl.zd####.com
t####.m.qq.com
tk.anythin####.com
to####.ctobsn####.com
tys####.wwe####.com
v2.g####.qq.com

Запросы HTTP GET:

c####.7####.com/index.php/Sdk/index/GetFunctionListV2?DeviceID=####&Pass...
luna-im####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/pr...
p####.hfc####.com/two/SOI349RED8EO35RE98FE359E844T9R.zip
p####.hfc####.com/u/qwertyuasj.zip
p####.ugd####.com.####.com/gdt/0/EAAgaqlAEsAEsAAABVzBeC0iaCd6hGN6v.jpg/0...
p####.ugd####.com.####.com/gdt/0/EAApCZtAQ4AeAAAAgf_BfpX2SAVnEBSTJ.jpg/0...
p####.ugd####.com.####.com/gdt/0/EABAMm9AEsAEsAAADfZBfM55YDuTxvStm.jpg/0...
p####.ugd####.com.####.com/gdt/0/EABCILtAQ4AeAAAAesWBfo8zgDSFUXD0q.jpg/0...
qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/v2/android03/js-relea...
sf1-be-####.pglstat####.com/img/ad.union.api/05d3f47e0a2bb901401bb7d580e...
sf1-be-####.pglstat####.com/img/ad.union.api/29c50da9ce585a061df4aa23802...
shop-####.7####.com/index.php/home/index/getControllDataForGameApp?game_...
v2.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&mu_p=####

Запросы HTTP POST:

c####.7####.com/index.php/sdk/CollectRequest?
l####.tbs.qq.com/ajax?c=####&k=####
orn####.wwe####.com:17001/cbcvu9/
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.appInfo
/data/data/####/.bak
/data/data/####/.cl
/data/data/####/.hptc.cache_dolls.wdj.zhiqu
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/.kkid
/data/data/####/.turing.dat
/data/data/####/105498_auMini_1
/data/data/####/1606532205517_3338
/data/data/####/1606532205588_3338
/data/data/####/1606532206523_3338
/data/data/####/1606532207338_3338
/data/data/####/1606532207551_3338
/data/data/####/1606532207747_3338
/data/data/####/1606532251764_3338
/data/data/####/1606532253994_3338
/data/data/####/1606532256234_3338
/data/data/####/1606532256620_3338
/data/data/####/1606532258387_3338
/data/data/####/1606532266348_3338
/data/data/####/1606532267147_3338
/data/data/####/1606532267764_3338
/data/data/####/160c1908217cf8bef46abbb77b6a0238.temp
/data/data/####/1s.dex
/data/data/####/1s.dex.flock (deleted)
/data/data/####/1s.jar
/data/data/####/206083062-2040260376
/data/data/####/303aebf349b6725a_0
/data/data/####/3338.yaqcookie
/data/data/####/33f7331df8330773c2b6d59fb101a836;account_file.xml
/data/data/####/4ba77f8c29b1078f18be32907d288a1e#header
/data/data/####/4ba77f8c29b1078f18be32907d288a1e#temp
/data/data/####/638b873a05f91d24_0
/data/data/####/6edd08f93efe6e13_0
/data/data/####/7b4258c4328b3b69_0
/data/data/####/7b4258c4328b3b69_1
/data/data/####/91eeeeff6fec33cb3310059502334f56
/data/data/####/99EED97C18B17D15C0D7E3A2C717B385 (deleted)
/data/data/####/99EED97C18B17D15C0D7E3A2C717B385.dex
/data/data/####/99EED97C18B17D15C0D7E3A2C717B385.dex.flock (deleted)
/data/data/####/99EED97C18B17D15C0D7E3A2C717B385.jar
/data/data/####/99EED97C18B17D15C0D7E3A2C717B385.temp
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/BuglySdkInfos.xml
/data/data/####/CCCC5B8911BBCB224E5317F7FB929A12
/data/data/####/CCCC5B8911BBCB224E5317F7FB929A12.jar
/data/data/####/CCCC5B8911BBCB224E5317F7FB929A12.temp
/data/data/####/Cookies-journal
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/GameDataCache
/data/data/####/TD_IP_CACHE.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol3.xml
/data/data/####/TDpref_cloudcontrol3.xml.bak
/data/data/####/TDpref_game.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime3.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime3.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/__zad_uuid__
/data/data/####/_db_zad_.xml
/data/data/####/_p.xml
/data/data/####/_pn
/data/data/####/_sh.xml
/data/data/####/_shn
/data/data/####/anythink.db-journal
/data/data/####/anythink_agent_log
/data/data/####/anythink_myoffer-journal
/data/data/####/anythink_placement_strategy_update_check.xml
/data/data/####/anythink_sdk.xml
/data/data/####/anythink_sdk.xml.bak
/data/data/####/anythink_temp_log
/data/data/####/applog_stats.xml
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bd_tea_agent.db-journal
/data/data/####/bjss_at_banner.xml
/data/data/####/bjss_at_banner_down.xml
/data/data/####/bjss_at_inter.xml
/data/data/####/bjss_at_video.xml
/data/data/####/cid
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.qq.e.sdkconfig.xml.bak
/data/data/####/com.zhangdong.dolls.wdj.zhiqu_preferences.xml
/data/data/####/config
/data/data/####/core_info
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_upload
/data/data/####/downloader.db-journal
/data/data/####/ebamof.png
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/fea4ae58f23635258d10a2d5a0dcf82c#header
/data/data/####/fea4ae58f23635258d10a2d5a0dcf82c#temp
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/gdt_config.cfg
/data/data/####/gdt_download.db
/data/data/####/gdt_download.db-journal
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/hxdata.xml
/data/data/####/index
/data/data/####/iv
/data/data/####/journal
/data/data/####/kk_datas_info.xml
/data/data/####/last_sp_session.xml
/data/data/####/libMMANDKSignature.eb42346a.so
/data/data/####/libjiagu.so
/data/data/####/libturingau.eb42346a.so
/data/data/####/libvqbtwl.so
/data/data/####/libvqbtwl.so-32
/data/data/####/libvqbtwl.so-64
/data/data/####/libyaqbasic.eb42346a.so
/data/data/####/libyaqpro.eb42346a.so
/data/data/####/metrics_guid
/data/data/####/mpdc_105498_1
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/proc_auxv
/data/data/####/roskeiri.jar
/data/data/####/runtime-dex.dex
/data/data/####/runtime-dex.dex.flock (deleted)
/data/data/####/runtime-dex.jar_temp
/data/data/####/salt
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_multi_ttadnet_config.xml
/data/data/####/sp_push_time.xml
/data/data/####/sp_reward_video_adslot.xml
/data/data/####/ss_app_config.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/the-real-index
/data/data/####/tool.egret-labs.org.xml
/data/data/####/tool.egret-labs.org.xml.bak
/data/data/####/tramini.xml
/data/data/####/tt_ad_sdk_sp.xml
/data/data/####/tt_materialMeta.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/tt_sp_app_list.xml
/data/data/####/tt_splash.xml
/data/data/####/ttnet_tnc_config.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_45_auMini.xml
/data/data/####/update_lc
/data/data/####/yaq.eb42346a.sec
/data/data/####/yaq2.eb42346a.sec
/data/data/####/yaq3_0.eb42346a.sec
/data/data/####/yaqsdkcookie
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/tbslog.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/files/cid
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.edifa/roskeiri.jar --oat-fd=219 --oat-location=/data/user/0/<Package>/.edifa/roskeiri.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_e_qq_com_plugin_74304d2fb6be1d11e99f8bb9d1b6ad1e/gdt_plugin.jar --oat-fd=156 --oat-location=/data/user/0/<Package>/app_e_qq_com_dex_74304d2fb6be1d11e99f8bb9d1b6ad1e/gdt_plugin.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/1s.jar --oat-fd=172 --oat-location=/data/user/0/<Package>/app_dex/1s.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/data/<Package>/files/99EED97C18B17D15C0D7E3A2C717B385.jar --oat-fd=128 --oat-location=/data/user/0/<Package>/files/99EED97C18B17D15C0D7E3A2C717B385.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/data/<Package>/files/CCCC5B8911BBCB224E5317F7FB929A12.jar --oat-fd=90 --oat-location=/data/user/0/<Package>/files/CCCC5B8911BBCB224E5317F7FB929A12.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/files/runtime-dex.jar --oat-fd=183 --oat-location=/data/user/0/<Package>/files/runtime-dex.dex --compiler-filter=speed
/system/bin/df
/system/bin/getprop
cat /sys/class/net/wlan0/address
chmod 777 /data/user/0/<Package>/cache/Download
chmod 777 /data/user/0/<Package>/files/cid
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.sv.version
getprop ro.lenovo.lvp.version
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.build.version
mount
sh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RC4-ECB-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1PADDING
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DES
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней