Android.BackDoor.2912

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Backdoor.657.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk.ssp.admo####.top:80
TCP(HTTP/1.1) dc.11####.com:80
TCP(HTTP/1.1) 1####.55.22.53:9099
TCP(HTTP/1.1) u.ssp.admo####.top:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) 1####.55.28.235:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) api.e####.cn:80
TCP(HTTP/1.1) mon####.ssp.admo####.top:80
TCP(HTTP/1.1) 47.1####.33.209:80
TCP(HTTP/1.1) pic.ange####.cn:80
TCP(TLS/1.0) mi.g####.qq.com:443
TCP(TLS/1.0) 1####.250.179.138:443
TCP(TLS/1.0) ap####.uc.cn:443
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) ssl.google-####.com:443
TCP(TLS/1.0) api.e####.cn:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) 1####.217.17.106:443
TCP(TLS/1.2) 1####.217.17.106:443
TCP(TLS/1.2) 1####.250.179.163:443

Запросы DNS:

a####.i####.org
a####.i####.org.####.8
a####.man.aliy####.com
a.e####.cn
acc####.m.ta####.com
ad####.m.ta####.com
ada####.m.ta####.com
and####.b####.qq.com
and####.cli####.go####.com
ap####.uc.cn
api.e####.cn
dc.11####.com
instant####.google####.com
md####.google####.com
mi.g####.qq.com
mon####.ssp.admo####.top
p####.google####.com
pic.ange####.cn
regi####.xm####.xi####.com
s####.e.qq.com
safebro####.google####.com
sdk.api.o####.####.cn
sdk.ssp.admo####.top
ssl.google-####.com
t####.m.qq.com
u####.u####.com
u.ssp.admo####.top
umen####.m.ta####.com
v6.ip.z####.org

Запросы HTTP GET:

a.e####.cn/favicon.ico
a.e####.cn/public/getClickUrlPoList.shtml?sd=####&androidid=####&sign=##...
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
api.e####.cn/public/getSecondaryHomeData.shtml?machine=####&appid=####&t...
dc.11####.com/ip-service/ipExt/findInfoByIpMD5.json?keys=####&timeStamp=...
pic.ange####.cn/web/237054463.jpg!s4
pic.ange####.cn/web/258774253.jpg!s7
pic.ange####.cn/web/259775769.jpg!s7
pic.ange####.cn/web/260217834.jpg!s7
pic.ange####.cn/web/260330027.jpg!s7
pic.ange####.cn/web/265252199.jpg!m480
pic.ange####.cn/web/265593724.jpg!s7
pic.ange####.cn/web/265594219.jpg!s7
pic.ange####.cn/web/265597060.jpg!s7
pic.ange####.cn/web/265599765.jpg!s7

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
dc.11####.com//log/getToken.json
dc.11####.com//log/inrlog.json
dc.11####.com//log/strlog.json
dc.11####.com/log/getData
dc.11####.com/u-service/getId
mon####.ssp.admo####.top/adReport?adType=####&event=####&platform=####
mon####.ssp.admo####.top/statistic
s####.e.qq.com/activate
sdk.ssp.admo####.top/config/init
u.ssp.admo####.top/task/url/list

Изменения в файловой системе:

Создает следующие файлы:

/data/cn.ecookone/####/classes.dex;classes4.dex
/data/cn.ecookone/####/classes.dex;classes5.dex
/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.turing.dat
/data/data/####/037d39ce39a9228d_0
/data/data/####/06a8d233372c201f05d09490598f3bae4c331ab3d3aea62....0.tmp
/data/data/####/099555fdc5e22c3ee30a9e8f621974f1cc502f379a70cf5....0.tmp
/data/data/####/0a1f0f74a66c1b99_0
/data/data/####/0a656dcf7002bc32cb24049c72a868175afab7eb033f583....0.tmp
/data/data/####/1004
/data/data/####/105498_auMini_1
/data/data/####/22e94c21e2fb5d75_0
/data/data/####/296b1e54c4fec704_0
/data/data/####/31263b5241be9599_0
/data/data/####/3509.yaqcookie
/data/data/####/39285EFA.dex
/data/data/####/39285EFA.dex.flock (deleted)
/data/data/####/55176a7ef120d52219ce8b3f6740c4ed3a4801c83af38aa....0.tmp
/data/data/####/66efa1f1de41fcc6_0
/data/data/####/80d98d8e291b031424ea5fc7924b7b9f35387b8afc5d5f3....0.tmp
/data/data/####/84536e84b62f1d9a_0
/data/data/####/8f3df8d0d4f482e5_0
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AdloadStore.xml
/data/data/####/AdmobileApiAd_4.7.8.dex
/data/data/####/AdmobileApiAd_4.7.8.dex (deleted)
/data/data/####/AdmobileApiAd_4.7.8.dex.flock (deleted)
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/AndroidLogPlusXl_5.7.2.dex
/data/data/####/AndroidLogPlusXl_5.7.2.dex (deleted)
/data/data/####/AndroidLogPlusXl_5.7.2.dex.flock (deleted)
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/ECIVRESHSUP1ENOKOOCE0NC.st
/data/data/####/ENOKOOCE0NC.bati
/data/data/####/ENOKOOCE0NC.end
/data/data/####/ENOKOOCE0NC.hdr
/data/data/####/ENOKOOCE0NC.meminfo
/data/data/####/ENOKOOCE0NC.pid
/data/data/####/ENOKOOCE0NC.ps
/data/data/####/ENOKOOCE0NC.st
/data/data/####/ENOKOOCE0NC.start
/data/data/####/ENOKOOCE0NC.status
/data/data/####/ENOKOOCE0NC.sts
/data/data/####/ENOKOOCE0NC.time
/data/data/####/ENOKOOCE0NC.uptime
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/Ji.xml
/data/data/####/LENNAHC1ENOKOOCE0NC.st
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a4fc45ec0b565136dffcbee775e80427640d6bdbef0acb6....0.tmp
/data/data/####/a==9.1.0&&3.6.2_1622905162573_envelope.log
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ap.Lock
/data/data/####/bca7f441aceaf24b416cd0a0d00ad81a51c39810a8faeba....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/cdt.wa
/data/data/####/channel_umeng_common_config.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/cn.admobiletop.admobile.api_redirect.xml
/data/data/####/cn.admobiletop.adsuyi
/data/data/####/cn.admobiletop.adsuyi-journal
/data/data/####/cn.admobiletop.adsuyi.machine.xml
/data/data/####/cn.admobiletop.adsuyi.xml
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecook.xml.bak
/data/data/####/cn.ecookone.xml
/data/data/####/cn.ecookone_vupDate.xml
/data/data/####/cn.ecookone_vupDate.xml.bak
/data/data/####/com.ciba.data.xml
/data/data/####/com.google.android.gms.analytics.prefs.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/config
/data/data/####/cr.wa
/data/data/####/crashrecord.xml
/data/data/####/delayed_transmission_flag_new.xml
/data/data/####/dt.wa
/data/data/####/e3a4aa105fedbe78_0
/data/data/####/ecookpush.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f07e14cb2344fa09de995abdc2553efbac8943a93f2e91b....0.tmp
/data/data/####/f7048feb33818f0e_0
/data/data/####/f9a605e8bb64e6cd_0
/data/data/####/f9a605e8bb64e6cd_0 (deleted)
/data/data/####/firstDate.xml
/data/data/####/gaClientId
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/google_analytics_v4.db-journal
/data/data/####/i==1.2.0&&3.6.2_1622905163133_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/isFirstOpen.xml
/data/data/####/isNewUseUser.xml
/data/data/####/journal.tmp
/data/data/####/libMMANDKSignature.b9a20092.so
/data/data/####/libjiagu.so
/data/data/####/libturingau.b9a20092.so
/data/data/####/libyaqbasic.b9a20092.so
/data/data/####/libyaqpro.b9a20092.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/mipush.xml
/data/data/####/mipush_extra.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/mpdc_105498_1
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/proc_auxv
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/security_info
/data/data/####/t==9.1.0&&3.6.2_1622905161373_envelope.log
/data/data/####/the-real-index
/data/data/####/tiny_data.data
/data/data/####/tiny_data.lock
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_conf_105498_auMini.xml.bak
/data/data/####/turingfd_protect_105498_47_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_message_state.xml.bak
/data/data/####/umeng_sp_oaid.xml
/data/data/####/umeng_sp_zdata.xml
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/unique
/data/data/####/update.xml
/data/data/####/update_lc
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/ver
/data/data/####/yaq.b9a20092.sec
/data/data/####/yaq2.b9a20092.sec
/data/data/####/yaq3_0.b9a20092.sec
/data/data/####/yaqsdkcookie
/data/data/####/z==1.2.0&&3.6.2_1622905156753_envelope.log
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.00000000000/39285EFA.dex --oat-fd=109 --oat-location=/data/user/0/<Package>/.11111111111/39285EFA.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_e_qq_com_plugin_6ff16037237a893da281f6790181944c/gdt_plugin.jar --oat-fd=165 --oat-location=/data/user/0/<Package>/app_e_qq_com_dex_6ff16037237a893da281f6790181944c/gdt_plugin.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/AdmobileApiAd_4.7.8.dex --oat-fd=180 --oat-location=/data/user/0/<Package>/app_admobile_api_dex/AdmobileApiAd_4.7.8.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/AndroidLogPlusXl_5.7.2.dex --oat-fd=166 --oat-location=/data/user/0/<Package>/app_android_log_plus_xl/AndroidLogPlusXl_5.7.2.dex --compiler-filter=speed
/system/bin/df
/system/bin/getprop
app_process /system/bin com.android.commands.pm.Pm list package -3
getprop
ls /
ls /sys/class/thermal
ps
sh -c type su

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-NONE-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней