Android.BackDoor.2967

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Backdoor.564.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) cmswe####.ahea####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(TLS/1.0) sdk-ope####.g####.com:443
TCP(TLS/1.0) cmswe####.ahea####.com:443
TCP(TLS/1.0) c####.g####.net:443
TCP(TLS/1.0) alibaba####.ten####.ali####.com:443
TCP(TLS/1.0) gtc.g####.net:443
TCP(TLS/1.0) cdn-sdk####.g####.com.####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.2) 1####.250.102.94:443
TCP dot.wts.xi####.cn:443
UDP 1####.250.102.95:443

Запросы DNS:

a####.u####.com
b####.ge####.com
c####.ahea####.com
c####.g####.net
c-h####.g####.com
cdn-sdk####.g####.com
cmsap####.ahea####.com
cmswe####.ahea####.com
d####.g####.com
dot.wts.xi####.cn
ga####.lotu####.com
gtc.g####.net
l####.tbs.qq.com
log.u####.com
md####.google####.com
on####.lotu####.com
plug####.ahea####.com
q####.ahea####.com
qn.res.ahea####.com
sdk-ope####.g####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_EDB102
cdn-sdk####.g####.com.####.com/tdata_cJB184
cdn-sdk####.g####.com.####.com/tdata_hll590
cdn-sdk####.g####.com.####.com:443/file/2c58adf4-1c3b-4b04-8493-dd949943...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/00e629e2-d009-43ba-aa...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/1c5d9e26-1cc0-412c-84...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/4e6fdda3-cf24-42d9-b6...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/4e70ceaf-4fff-4ee7-a6...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/5ec466dd-827a-4135-86...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/ad4848bf-61bf-4580-98...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/c8a4cf2d-5ca9-4389-ae...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/ce5d109a-e59f-4a2a-86...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/e7af7c21-3ecd-4fe1-a8...
cmswe####.ahea####.com//UploadFile/8908/2021/06-26/fb48cdbb-34fb-49fb-a8...
cmswe####.ahea####.com:443//api/Article/List4PersonalizedRecommender?New...
cmswe####.ahea####.com:443/api/Article/Classify?regionsCode=####&Pidx=##...
cmswe####.ahea####.com:443/api/Article/GetClassifyLastPostDate?Type=####...
cmswe####.ahea####.com:443/api/Article/GetClassifyLastUpdateDate?Type=##...
cmswe####.ahea####.com:443/api/Article/ListYanBian?Type=####&t=####&Clas...
cmswe####.ahea####.com:443/api/Article/TouchNewsList?Width=####&Height=#...
cmswe####.ahea####.com:443/api/Interaction/GetInteractionList?PageIndex=...
cmswe####.ahea####.com:443/api/Newspaper/GetNewspaperGroup?Id=####
cmswe####.ahea####.com:443/api/Newspaper/GetUpdateTimeStamp?NewspaperGro...
cmswe####.ahea####.com:443/api/Region/GetWeather?Id=####
cmswe####.ahea####.com:443/api/Report/GetReportList?PageIndex=####&Autho...
cmswe####.ahea####.com:443/api/ServiceLinkApi/GetServiceLinkTypeList?Typ...
sdk-ope####.g####.com/api/addr.htm
ti####.c####.l####.####.com/8908/2021/04-21/0bb61c50250344f5b8b4851a1384...
ti####.c####.l####.####.com/8908/2021/04-21/36d0fe2b2f844f3690038a1921a9...
ti####.c####.l####.####.com/8908/2021/06-28/8501bbde94044e7ba15b88aeb9d7...
ti####.c####.l####.####.com/8908/2021/07-17/012480db86dc4040938b1e06cb25...
ti####.c####.l####.####.com/8908/2021/07-26/e84e7a45ee8449e79ff7fb196ea1...
ti####.c####.l####.####.com/8908/2021/08-05/b3ee6df3439642129e0de19955d7...
ti####.c####.l####.####.com/8908/2021/08-20/e45126b7385f4daca55af743e723...
ti####.c####.l####.####.com/8908/2021/08-25/6928b75e5c7c4c5593e808b74728...

Запросы HTTP POST:

al####.u####.com:443/umpx_share
al####.u####.com:443/unify_logs
al####.u####.com:443/zcfg
alibaba####.ten####.ali####.com:443/api/postZdata
c####.g####.net:443/api.php?format=####&t=####
cmswe####.ahea####.com:443/api/Device/SaveDetailInfo
gtc.g####.net:443/cidserver/getcid
sdk-ope####.g####.com:443/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/030b6fae1591eeab4ddf34da8151239d
/data/data/####/062f291d2b54439db62b5d75ed9b20ec705c9a567fe1e5e....0.tmp
/data/data/####/1e99f0025faac2b51428afeedda47bd00ada88f8e5f25dc....0.tmp
/data/data/####/22d69d1a1bfc62aeec4eb9bc0eec27b67220926f7b561a3....0.tmp
/data/data/####/2a2170be213ff645c9449d80dbc099d94abc02ffd5e5d80....0.tmp
/data/data/####/3197e6a1ae2e48f9afceadd33c091ca03235883f4d7d145....0.tmp
/data/data/####/355e550f6720bb94f04edbbd6e952745cc52bbe767c642f....0.tmp
/data/data/####/384892c6dae3dbe0f4146e30f46ad9b1c7e548b5966f6f5....0.tmp
/data/data/####/3cf75426a75c3a030606827e474727e3
/data/data/####/3d064cf433c49ff77e775ed8a85063d0d3b6f17110123f9....0.tmp
/data/data/####/449078a4be7c85ec350eb255ea203e1bed07b77a7fdeb75....0.tmp
/data/data/####/4ac74bf3008a33491a9c62a0eb3c5540e01940c697e34db....0.tmp
/data/data/####/72212bbbdeb56c8375a694488826c92b3ad88993f45814f....0.tmp
/data/data/####/7dcef93581bd608f94297b8899205364d64be72cfd654c5....0.tmp
/data/data/####/7ed57b40a5605631ee941daa73a6efaf461bfe1d44a9881....0.tmp
/data/data/####/861a81c19145c7da2c36c57edf05d7fb402e712f88a3bf3....0.tmp
/data/data/####/8ca010c37241c3ea3d01fa4a58050504b25c3f4064ccb24....0.tmp
/data/data/####/97698ce9ca7c77eab326c6d604c44a7b6cf015e29f446ab....0.tmp
/data/data/####/AheadNews280.db-journal
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/PrefsFile.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_tmp_PRIORITIZED_3434_1630882087427
/data/data/####/_tmp_PRIORITIZED_3554_1630882108375
/data/data/####/_tmp_PRIORITIZED_3554_1630882110632
/data/data/####/_tmp_PRIORITIZED_3554_1630882147085
/data/data/####/alsn20170807.db
/data/data/####/alsn20170807.db-journal
/data/data/####/bcc52d8cf5a8574f20bcb2195a4815aebd17defe1ef269f....0.tmp
/data/data/####/bee76d931a99e7d6b177158207098b9a6cae6e88af14db9....0.tmp
/data/data/####/bfdfcc0a17706b3fd07355278e9ea3aff7c950ce1a73080....0.tmp
/data/data/####/bullet_PRIORITIZED_3554_1630882147085
/data/data/####/cg.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/com.honghe.android_preferences.xml
/data/data/####/com.vivo.push_preferences.appconfig_v1.xml
/data/data/####/com.vivo.push_preferences.xml
/data/data/####/core_info
/data/data/####/dim.db-journal
/data/data/####/e2aea0d4a4fb1b90ba01bdac2fc4a2c0.0
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/getui_sp.xml
/data/data/####/grp.prop
/data/data/####/gtc3.db-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/i==1.2.0&&4.0.13_1630882128622_dW5pZnlfbG9ncw==;.log
/data/data/####/info.xml
/data/data/####/init_c1.pid
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu.so
/data/data/####/lotuseed.apps
/data/data/####/lotuseed.lock
/data/data/####/lotuseed.s
/data/data/####/lotuseed.task
/data/data/####/lotuseed_global.xml
/data/data/####/lotuseed_main.xml
/data/data/####/metrics_guid
/data/data/####/proc_auxv
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/pushservice_umeng_common_config.xml.bak
/data/data/####/pushwgs.db-journal
/data/data/####/s==7.1.4&&4.0.13_1630882136281_dW1weF9zaGFyZQ==;.log
/data/data/####/share.db-journal
/data/data/####/t==9.3.8&&4.0.13_1630882129393_dW5pZnlfbG9ncw==;.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_cJB184
/data/data/####/tdata_cJB184.dex
/data/data/####/tdata_cJB184.dex.flock (deleted)
/data/data/####/tdata_cJB184.jar
/data/data/####/tdata_hll590
/data/data/####/tdata_hll590.dex
/data/data/####/tdata_hll590.dex.flock (deleted)
/data/data/####/tdata_hll590.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/umzid_general_config.xml
/data/data/####/umzid_general_config.xml.bak
/data/data/####/z==1.2.0&&4.0.13_1630882087124_emNmZw==;.log
/data/data/####/zy_unique_id.bin
/data/misc/####/primary.prof
/data/user_de/####/move_to_de_records.xml

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop ro.miui.ui.version.code
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
ls /
ls /sys/class/thermal
mount
ps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
RC4
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-CFB-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней