Android.BackDoor.2992

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Backdoor.657.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) dc.11####.com:80
TCP(HTTP/1.1) 47.1####.33.209:80
TCP(HTTP/1.1) 1####.31.213.162:80
TCP(TLS/1.0) www.daydayk####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) dfzxi####.dftou####.com.####.com:443
TCP(TLS/1.0) r1---sn####.g####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) r2---sn####.g####.com:443
TCP(TLS/1.0) ssl.google-####.com:443
TCP(TLS/1.0) cfg.i####.qq.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.0) m.g####.qq.com:443
TCP(TLS/1.0) and####.b####.qq.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) tbsreco####.i####.qq.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) qzones####.g####.cn.####.com:443
TCP(TLS/1.2) p####.google####.com:443
TCP(TLS/1.2) and####.cli####.go####.com:443
UDP p####.google####.com:443

Запросы DNS:

and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
android####.go####.com
cfg.i####.qq.com
connect####.gst####.com
dc.11####.com
dfzxi####.dftou####.com
dfzxi####.dftou####.com
hm.b####.com
l####.tbs.qq.com
m####.go####.com
m.g####.qq.com
md####.google####.com
p####.google####.com
qzones####.g####.cn
r1---sn####.g####.com
r2---sn####.g####.com
ssl.google-####.com
tbsreco####.i####.qq.com
www.daydayk####.com

Запросы HTTP GET:

dc.11####.com/ip-service/ipExt/findInfoByIpMD5.json?keys=####&timeStamp=...

Запросы HTTP POST:

and####.b####.qq.com:443/rqd/async?aid=####
cfg.i####.qq.com:443/tbs?v=####&mk=####
dc.11####.com//log/getToken.json
dc.11####.com//log/strlog.json
dc.11####.com/log/getData
dc.11####.com/u-service/getId
tbsreco####.i####.qq.com:443/getconfig

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/006a788d9ccb9a89_0
/data/data/####/02b9d3ccf1e2b17b_0
/data/data/####/0378fb0a368fb6bb_0
/data/data/####/0e317624434f6ce4_0
/data/data/####/1002
/data/data/####/1004
/data/data/####/105db0f55cd5e85e_0
/data/data/####/106cd9ea70bcca3f_0
/data/data/####/11885b4b37650d96_0
/data/data/####/1234a51f8d3dd225_0
/data/data/####/12cb079c44f84e37_0
/data/data/####/138d26f907774d6e_0
/data/data/####/17a02eeafdc43898_0
/data/data/####/19391f4087731a4c_0
/data/data/####/1d7f9d8a8a490072_0
/data/data/####/2181a78788ba17ee_0
/data/data/####/2228236ae30ec334_0
/data/data/####/232abcd9c65e1123_0
/data/data/####/25573d726951ad87_0
/data/data/####/2616d01cb462dca3_0
/data/data/####/269535c50f56060a_0
/data/data/####/273e1d1123feee8a_0
/data/data/####/282290401ce88e64_0
/data/data/####/28769c240f4cfdba_0
/data/data/####/299ddab162e58a21_0
/data/data/####/2a7d58ec9fa47368_0
/data/data/####/2f1b58c1c96a5ad6_0
/data/data/####/30612de447369a0d_0
/data/data/####/31e47b05137c888e_0
/data/data/####/31e47b05137c888e_0 (deleted)
/data/data/####/35fb7956177d36c6_0
/data/data/####/375d2a13884a2ecc_0
/data/data/####/38b207d1cade5c9d_0
/data/data/####/3aa574525fc4dd45_0
/data/data/####/3b52c2baf2c6abf2_0
/data/data/####/3c108afa2bc7921c_0
/data/data/####/3fa20d5f9d9b3140_0
/data/data/####/4096a91b63f0854d_0
/data/data/####/40a7856981bbdfe2_0
/data/data/####/424c88433fe6610a_0
/data/data/####/47a48c031d86246d_0
/data/data/####/4933133e0768dec6_0
/data/data/####/49b5d8f0dce03d31_0
/data/data/####/4c0ef6c3fca92629_0
/data/data/####/4c6df03e0a65d842_0
/data/data/####/4e90b2f17743238c_0
/data/data/####/511d38bd9a49b71f_0
/data/data/####/5147ca574d6e7872_0
/data/data/####/52444f5b1584db46_0
/data/data/####/554a96637e61aaef_0
/data/data/####/5718430f216dcce3_0
/data/data/####/57b985d544abcb1a_0
/data/data/####/5a2145c236418126_0
/data/data/####/5bbee54072c3a92a_0
/data/data/####/5d192cb64dd12875_0
/data/data/####/5dbc9ad38e9b6b63_0
/data/data/####/61c124812ade29d1_0
/data/data/####/62e7df7c8f6aa8b4_0
/data/data/####/63b7ff916e3ebf30_0
/data/data/####/64a701d35015113c_0
/data/data/####/661a613f770cd3cb_0
/data/data/####/66df140eb04d5699_0
/data/data/####/69ecc891f070a993_0
/data/data/####/6a9097a5e2be0e16_0
/data/data/####/6c6dff6af7ef5e42_0
/data/data/####/7406f9cc9c27cad8_0
/data/data/####/744440d0825078ff_0
/data/data/####/753b24fe66862412_0
/data/data/####/757f774e4213614e_0
/data/data/####/765deb224673e762_0
/data/data/####/7ac77390fbeafe06_0
/data/data/####/7bc6a2bf30fbfdc0_0
/data/data/####/7ce2edeb3bb8a24d_0
/data/data/####/7f349312cf32fe06_0
/data/data/####/7fa3223685aaec70_0
/data/data/####/84bb33176a841cec_0
/data/data/####/84cfe253d0329fb4_0
/data/data/####/84cfe253d0329fb4_0 (deleted)
/data/data/####/851194b796cbc5d9_0
/data/data/####/851bc270fc369ac9_0
/data/data/####/8564b34297759811_0
/data/data/####/865fbcb85596c02a_0
/data/data/####/88389237874fa9ac_0
/data/data/####/8857400a5c7bcc3a_0
/data/data/####/88a9f5794878bd72_0
/data/data/####/8a3e902829a047b5_0
/data/data/####/8ac24e0eaa6449af_0
/data/data/####/8c39d3aaf8c0d0a9_0
/data/data/####/8f41efecd811dc02_0
/data/data/####/8fac1208cf4a9be8_0
/data/data/####/92b41b09894c4f35_0
/data/data/####/95cd5ba5ac9732c9_0
/data/data/####/962c14392e4d6257_0
/data/data/####/964a80dcfe0c1d59_0
/data/data/####/99e51843d67c7445_0
/data/data/####/9a2433926a533a39_0
/data/data/####/9a28169925452add_0
/data/data/####/9bd1194ad45e733d_0
/data/data/####/9fe936c197a56453_0
/data/data/####/AdloadStore.xml
/data/data/####/AndroidLogPlusXl_5.7.2.dex
/data/data/####/AndroidLogPlusXl_5.7.2.dex (deleted)
/data/data/####/AndroidLogPlusXl_5.7.2.dex.flock (deleted)
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/Cookies-journal
/data/data/####/Ji.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a23f1970101451aa_0
/data/data/####/a7c453989c11dbb7_0
/data/data/####/a7c453989c11dbb7_1
/data/data/####/aa390a2947b90d6e_0
/data/data/####/ace8b0323973ca8a_0
/data/data/####/androidx.work.workdb-journal (deleted)
/data/data/####/b16ccff9a350db26_0
/data/data/####/b3708d3cf7c578f3_0
/data/data/####/b41ca53e4aa7589c_0
/data/data/####/b48bb090d88b6e35_0
/data/data/####/b5d930324e58d67e_0
/data/data/####/b61eb03bb8ba606e_0
/data/data/####/b750a66f597c3139_0
/data/data/####/b8776c4e272e967a_0
/data/data/####/b9acd83b0c5f0e5d_0
/data/data/####/bb284b799a288fb4_0
/data/data/####/bb60dbcd9fb4deda_0
/data/data/####/bfce3c795aba3538_0
/data/data/####/bugly_db_-journal
/data/data/####/c0054fcf59ba9cbd_0
/data/data/####/c06e94fcd2d7e4a7_0
/data/data/####/c10086f377c32186_0
/data/data/####/c10086f377c32186_0 (deleted)
/data/data/####/c3bd8ae065862d1a_0
/data/data/####/c589bea12a297151_0
/data/data/####/c5a5a171fa1a2bd1_0
/data/data/####/c8466146b27d5c31_0
/data/data/####/c8c9e6ed31d4be54_0
/data/data/####/cb6224c116dfe06e_0
/data/data/####/cb913587736186cc_0
/data/data/####/cbb4c4078722cb39_0
/data/data/####/cf578b04962971d2_0
/data/data/####/cf578b04962971d2_1
/data/data/####/cfe15ab1938feb9f_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecookone.BETA_VALUES.xml
/data/data/####/cn.ecookone_preferences.xml
/data/data/####/com.ciba.data.xml
/data/data/####/com.google.android.gms.analytics.prefs.xml
/data/data/####/com.google.android.gms.analytics.prefs.xml.bak
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d0a075918e092e17_0
/data/data/####/d20762806257efec_0
/data/data/####/d23c4634eaf17e95_0
/data/data/####/d24b21131976f442_0
/data/data/####/d40d28c51ce8fe20_0
/data/data/####/d500c90bb97abc8e_0
/data/data/####/d822e0be28bf4ef2_0
/data/data/####/d822e0be28bf4ef2_1
/data/data/####/db6b57245b43779a_0
/data/data/####/debug.conf
/data/data/####/download_upload
/data/data/####/e0736b469d1df555_0
/data/data/####/e0880fc9a38bed84_0
/data/data/####/e1c597c3f3b2065e_0
/data/data/####/e3756b2c962a0fd6_0
/data/data/####/e5cbaea6b45b14a1_0
/data/data/####/e8a68ddc2cd6d931_0
/data/data/####/e99ec83a3e454ff0_0
/data/data/####/e99ec83a3e454ff0_1
/data/data/####/ea2894ccb0df2260_0
/data/data/####/ebe1f31c01b3515e_0
/data/data/####/ec2acb3a24d6d61d_0
/data/data/####/ecookpush.db-journal
/data/data/####/ed11e053606ac406_0
/data/data/####/edf8482c9498d05b_0
/data/data/####/eea7feb55a92a5ad_0
/data/data/####/f06595c62f6b96a8_0
/data/data/####/f0d0f5f50cbd248c_0
/data/data/####/f2e8428899a76569_0
/data/data/####/f33f28b2dce4f50f_0
/data/data/####/f4f6470210cb75ce_0
/data/data/####/f5b9ce501c4e1d4b_0
/data/data/####/f6b9eeeead6a45f6_0
/data/data/####/f6c109128ad725b8_0
/data/data/####/f8a062313b5651e8_0
/data/data/####/f92bbf021d0e919b_0
/data/data/####/fe0c4aaf5817781a_0
/data/data/####/fe47bd7e77f44c24_0
/data/data/####/fe5432929a9ae242_0
/data/data/####/firstDate.xml
/data/data/####/gaClientId
/data/data/####/google_analytics_v4.db-journal
/data/data/####/https_www.daydaykandian.com_0.localstorage-journal
/data/data/####/index
/data/data/####/isFirstOpen.xml
/data/data/####/isNewUseUser.xml
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/prefs.lock
/data/data/####/proc_auxv
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_emergence.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/the-real-index
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/x5_adapter_init_data.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

getprop
getprop ro.product.cpu.abi

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
DESede-ECB-PKCS5Padding
RSA-NONE-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней