Android.Triada.5136

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.4567
Android.Triada.574.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) met####.sd####.com:80
TCP(HTTP/1.1) s3.amazo####.com:80
TCP(TLS/1.0) firebas####.crashly####.com:443
TCP(TLS/1.0) rr5---s####.googlev####.com:443
TCP(TLS/1.0) tpc.googles####.com:443
TCP(TLS/1.0) in####.appsf####.com:443
TCP(TLS/1.0) 1####.250.179.195:443
TCP(TLS/1.0) 9vy####.lvdi####.com.####.com:443
TCP(TLS/1.0) www.googlet####.com:443
TCP(TLS/1.0) googl####.g.doublec####.net:443
TCP(TLS/1.0) lh3.googleu####.com:443
TCP(TLS/1.0) app-mea####.com:443
TCP(TLS/1.0) f####.google####.com:443
TCP(TLS/1.0) firebas####.google####.com:443
TCP(TLS/1.0) api.face####.com:443
TCP(TLS/1.0) gc####.appsf####.com:443
TCP(TLS/1.0) convers####.appsf####.com:443
TCP(TLS/1.0) 1####.217.168.227:443
TCP(TLS/1.0) csi.gst####.com:443
TCP(TLS/1.0) met####.sd####.com:443
TCP(TLS/1.0) 1####.251.36.10:443
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) ao####.j####.com.####.com:443
TCP(TLS/1.0) 9v####.98####.com.####.com:443
TCP(TLS/1.0) pag####.googles####.com:443
TCP(TLS/1.2) 1####.250.179.142:443
TCP(TLS/1.2) 1####.251.36.10:443
TCP(TLS/1.2) 1####.250.179.195:443
UDP p####.google####.com:443

Запросы DNS:

9v####.98####.com
9vy####.lvdi####.com
a####.appsf####.com
ao####.j####.com
app-mea####.com
convers####.appsf####.com
csi.gst####.com
f####.google####.com
f####.gst####.com
firebas####.crashly####.com
firebas####.google####.com
g####.face####.com
gc####.appsf####.com
googl####.g.doublec####.net
in####.appsf####.com
j9####.i####.com
lh3.googleu####.com
met####.sd####.com
p####.google####.com
pag####.googlea####.com
pag####.googles####.com
rr5---s####.googlev####.com
s3.amazo####.com
test####.testket####.com
test####.testket####.com.####.8
tpc.googles####.com
u9####.j####.com
up####.sd####.com
www.googlet####.com

Запросы HTTP GET:

9v####.98####.com.####.com:443/gp/dm/gpcore_10251541.od
api.face####.com:443/v12.0/395124975484124/mobile_sdk_gk?fields=####&for...
api.face####.com:443/v12.0/395124975484124/model_asset?fields=####&forma...
api.face####.com:443/v12.0/395124975484124?fields=####&format=####&sdk=#...
firebas####.crashly####.com:443/spi/v2/platforms/android/gmp/1:150137808...
gc####.appsf####.com:443/install_data/v4.0/<Package>?devkey=####&device_...
googl####.g.doublec####.net:443/mads/static/mad/sdk/native/production/mr...
googl####.g.doublec####.net:443/pagead/interaction/?ai=####&sigh=####&ci...
met####.sd####.com/check?app_package_id=####
met####.sd####.com:443/?{"Andro####&
pag####.googles####.com:443/pagead/adview?ai=####&sigh=####&cid=####&gvr...
rr5---s####.googlev####.com:443/videoplayback?expire=####&ei=####&ip=###...

Запросы HTTP POST:

9v####.98####.com.####.com:443/vansza/reqlk
9vy####.lvdi####.com.####.com:443/DLLogic/if
ao####.j####.com.####.com:443/GPBehavior/bt
ao####.j####.com.####.com:443/GPLogic/if
api.face####.com:443/v12.0/395124975484124/activities
convers####.appsf####.com:443/api/v6.3/androidevent?app_id=####&buildnum...
firebas####.google####.com:443/v1/projects/knife-hit-master-252cb/instal...
in####.appsf####.com:443/api/v6.3/androidevent?app_id=####&buildnumber=#...
s3.amazo####.com/

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-139605349995085421
/data/data/####/.
/data/data/####/.
/data/data/####/.
/data/data/####/. .flock (deleted)
/data/data/####/.
/data/data/####/. .flock (deleted)
/data/data/####/044bcff346f9eb61_0
/data/data/####/06d8e98ad604e02f_0
/data/data/####/06d8e98ad604e02f_1
/data/data/####/0870d3c6d26d722e_0
/data/data/####/0fe010e9219101ca_0
/data/data/####/1624498498047.dex
/data/data/####/1624498498047.dex.flock (deleted)
/data/data/####/1624498498047.jar
/data/data/####/1624498498047.tmp
/data/data/####/228cb4166539cd88_0
/data/data/####/228cb4166539cd88_1
/data/data/####/2352142327604e75_0
/data/data/####/30464f3e87388bfd_0
/data/data/####/30464f3e87388bfd_1
/data/data/####/3e793e8ca2531e78_0
/data/data/####/3e793e8ca2531e78_1
/data/data/####/4b352878a4da2e67_0 (deleted)
/data/data/####/4f996933742f5666_0
/data/data/####/4f996933742f5666_1
/data/data/####/6b8fad2b31c45c11_0
/data/data/####/739466ae8b2af975_0
/data/data/####/739466ae8b2af975_1
/data/data/####/874eefd374f0a002_0
/data/data/####/89658ca903fc1483_0 (deleted)
/data/data/####/89d9397a11889d0c_0
/data/data/####/8b6715f9d376deea_0
/data/data/####/8f578670e43dfd3d_0
/data/data/####/Cocos2dxPrefsFile.xml
/data/data/####/Cocos2dxPrefsFile.xml.bak
/data/data/####/Cookies-journal
/data/data/####/FirebaseAppHeartBeat.xml
/data/data/####/PersistedInstallation.W0RFRkFVTFRd+MToxNTAxMzc4...z.json
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a48a453b5b26c9b2_0
/data/data/####/a9aff6323a411928_0
/data/data/####/a9aff6323a411928_1
/data/data/####/admob.xml
/data/data/####/androidx.work.workdb-journal
/data/data/####/app.json
/data/data/####/appsflyer-data.xml
/data/data/####/appsflyer-data.xml.bak
/data/data/####/audience_network.dex
/data/data/####/audience_network.dex.flock (deleted)
/data/data/####/b0344ff222847700_0
/data/data/####/b0344ff222847700_1
/data/data/####/b4e181a5ff61ecd7_0
/data/data/####/ba84466202036f73_0
/data/data/####/c354aef7ff69807a_0
/data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex
/data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex.flock (deleted)
/data/data/####/c4ca4238a0b923820dcc509a6f75849b.jar
/data/data/####/c4ca4238a0b923820dcc509a6f75849b.oc
/data/data/####/c682753c76885aa3_0
/data/data/####/c682753c76885aa3_1
/data/data/####/c9cfb6b2c19857b1_0
/data/data/####/com.facebook.internal.MODEL_STORE.xml
/data/data/####/com.facebook.internal.iap.PRODUCT_DETAILS.xml
/data/data/####/com.facebook.internal.iap.PRODUCT_DETAILS.xml.bak
/data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
/data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
/data/data/####/com.facebook.sdk.USER_SETTINGS.xml
/data/data/####/com.facebook.sdk.appEventPreferences.xml
/data/data/####/com.facebook.sdk.attributionTracking.xml
/data/data/####/com.google.android.datatransport.events-journal
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml.bak
/data/data/####/com.google.firebase.crashlytics.xml
/data/data/####/com.knife.hitmaster.adssettings.xml
/data/data/####/com.knife.hitmaster.promotion.xml
/data/data/####/com.knife.hitmaster_preferences.xml
/data/data/####/crashlytics-userlog-618C2FEC006100010EB993338BD...mp.tmp
/data/data/####/d630062f525db0d0_0
/data/data/####/d630062f525db0d0_1
/data/data/####/d98da64821dae0d4_0
/data/data/####/device.json
/data/data/####/dfe6b2497a7513ba_0
/data/data/####/enfbxhep.dex
/data/data/####/enfbxhep.dex.flock (deleted)
/data/data/####/enfbxhep.jar
/data/data/####/f038e94cb33282ab_0
/data/data/####/f25b61ab201f9889_0
/data/data/####/f25b61ab201f9889_1
/data/data/####/f88d190300ac599a_0
/data/data/####/fa2dcd1bcdf97d5a_0
/data/data/####/fa2dcd1bcdf97d5a_1
/data/data/####/fairbid.privacy.xml
/data/data/####/fbb77971381788e3_0
/data/data/####/fbb77971381788e3_1
/data/data/####/fcca4a6372c59927_0
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/gboz.png
/data/data/####/generatefid.lock
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
/data/data/####/index
/data/data/####/info.db
/data/data/####/initialization_marker
/data/data/####/kngggdsalj11444
/data/data/####/knifedsaljdnz1
/data/data/####/knifedsaljdserr
/data/data/####/libuigz.so
/data/data/####/libuigz.so-32
/data/data/####/libuigz.so-64
/data/data/####/metrics_guid
/data/data/####/os.json
/data/data/####/proc_auxv
/data/data/####/report
/data/data/####/sdkbox_track
/data/data/####/session.json
/data/data/####/the-real-index
/data/data/####/tracking_mask.xml
/data/data/####/yd_config_c.xml
/data/data/####/yd_config_c.xml.bak
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

cat /proc/version
getprop
getprop ro.board.platform
getprop ro.product.cpu.abi

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней