Android.Triada.5291

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.4567
Android.Triada.510.origin
Android.Triada.546.origin

Детект на основе машинного обучения.

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) s####.bn####.com:14002
TCP(HTTP/1.1) bi####.bi####.com:10238
TCP(HTTP/1.1) o####.cz####.com:10051
TCP(HTTP/1.1) ua####.f6####.com:80
TCP(HTTP/1.1) t####.c8####.com:13002
TCP(HTTP/1.1) y####.k8####.com:80
TCP(HTTP/1.1) s####.bn####.com:16002
TCP(TLS/1.0) www.google-####.com:443
TCP(TLS/1.0) 1####.250.185.106:443
TCP(TLS/1.0) tpc.googles####.com:443
TCP(TLS/1.0) res.noc####.cc:443
TCP(TLS/1.0) googl####.g.doublec####.net:443
TCP(TLS/1.0) adser####.go####.nl:443
TCP(TLS/1.0) s0.2####.net:443
TCP(TLS/1.0) www.googlet####.com:443
TCP(TLS/1.0) g####.hmv####.com:443
TCP(TLS/1.0) gc####.appsf####.com:443
TCP(TLS/1.0) laun####.appsf####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 1####.250.185.163:443
TCP(TLS/1.0) securep####.g.doublec####.net:443
TCP(TLS/1.0) adser####.go####.com:443
TCP(TLS/1.0) 0701101####.safef####.googles####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.2) 1####.250.185.163:443
TCP(TLS/1.2) 1####.250.185.106:443
TCP(TLS/1.2) 1####.250.186.110:443

Запросы DNS:

0701101####.safef####.googles####.com
36####.ob####.com
adser####.go####.com
adser####.go####.nl
bi####.bi####.com
convers####.appsf####.com
g####.hmv####.com
gc####.appsf####.com
googl####.g.doublec####.net
laun####.appsf####.com
o####.cz####.com
p####.google####.com
pag####.googles####.com
pla####.googleu####.com
res.noc####.cc
s####.bn####.com
s0.2####.net
securep####.g.doublec####.net
t####.c8####.com
tpc.googles####.com
ua####.f6####.com
www.go####.com
www.google-####.com
www.googlet####.com
www.googlet####.com
y####.k8####.com
z4####.ep####.com

Запросы HTTP GET:

gc####.appsf####.com:443/install_data/v4.0/<Package>?devkey=####&device_...
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/323885/323885.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/325074/325074.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/325383/325383.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/327335/327335.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/327431/327431.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/331926/331926.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/334241/334241.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/334979/334979.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/335102/335102.jpg
res.noc####.cc:443/sex_beauty/mmonly/bjnmn/335672/335672.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/334410/334410.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/334836/334836.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/335437/335437.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/335912/335912.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/335975/335975.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/336086/336086.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/336731/336731.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/336739/336739.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/336741/336741.jpg
res.noc####.cc:443/sex_beauty/mmonly/hgmn/336742/336742.jpg
ua####.f6####.com/modellog/PLDVIUDE4ED3IR9D539EDU3549E3.cl
ua####.f6####.com/textlog/45F03BF30CFDFF6CC100728555A3878D.log
ua####.f6####.com/textlog/92F4C7A4386C2735C57F5C0FC90BCF30.log
ua####.f6####.com/textlog/FFA6813C118243858FFF1E5CDFF99A3B.log
y####.k8####.com/hwyw/akertuns.zip
y####.k8####.com/hwyw/erfdoc9e54utr9gf7e455968y.zip
y####.k8####.com/hwyw/wo3e9d8swoi465ygf.zip
y####.k8####.com/zhuti/9Y23adsgengxin.zip
y####.k8####.com/zhuti/D3GfIY5d530608.zip

Запросы HTTP POST:

bi####.bi####.com:10238/czwwwkpmfl/
bi####.bi####.com:10238/phvttztyax/
laun####.appsf####.com:443/api/v6.2/androidevent?app_id=####&buildnumber...
o####.cz####.com:10051/getjar/
o####.cz####.com:10051/getsol/
o####.cz####.com:10051/repsol/
s####.bn####.com:14002/a2jyco/
s####.bn####.com:14002/ajnhz5/
s####.bn####.com:14002/uv2tay/
s####.bn####.com:16002/fkhiwf/
t####.c8####.com:13002/4ad8fq/
t####.c8####.com:13002/a7atzr/
t####.c8####.com:13002/lgu4ds/

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.updateIV.dat
/data/data/####/.
/data/data/####/. .flock (deleted)
/data/data/####/.
/data/data/####/. (deleted)
/data/data/####/. .flock (deleted)
/data/data/####/.
/data/data/####/.
/data/data/####/0000000lllll_0.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/088c925f216b6e7cbbbc07fd29e43763cbf428075d40a44....0.tmp
/data/data/####/0F06B4777D6053BC569D917064C11C85.dex
/data/data/####/0F06B4777D6053BC569D917064C11C85.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/0d14514d21dc78fe8462b2bfef0d6fef.temp
/data/data/####/1648005549298
/data/data/####/20b690529a2eb88515f2edce6b4017f8.temp
/data/data/####/2c6c6567ff7c319d6ff8cefbc8461ec0aa3bf57dafe3f8a...021d.0
/data/data/####/2f992194c2750b5dc29354e0f303c6985e9d4003272f768...8443.0
/data/data/####/3B661E5E8C18275789EDF029F420CCC5.dex
/data/data/####/3B661E5E8C18275789EDF029F420CCC5.dex.flock (deleted)
/data/data/####/4169eb76b5337f145455c6041bdcb913618428f4b5411d6....0.tmp
/data/data/####/5a849f104ec7e66491a7d950f9a4a342
/data/data/####/5a849f104ec7e66491a7d950f9a4a342.dex
/data/data/####/5a849f104ec7e66491a7d950f9a4a342.dex.flock (deleted)
/data/data/####/5a849f104ec7e66491a7d950f9a4a342.jar
/data/data/####/61e492
/data/data/####/61e492.tmp
/data/data/####/6bc9f483d646835988cbdc9f135bda17ee69eb8d4f1b77d....0.tmp
/data/data/####/6dc5d2a5dcd18ecea826cbd0010a3f139a1bda99de88417....0.tmp
/data/data/####/6f1a24472518a2fc59287d924bb534cef54afecfc32ac2f....0.tmp
/data/data/####/76d90b49bbaeb805dd96044f7e71541e1528b33b39c2c7a....0.tmp
/data/data/####/7a51f06f781f637aa37defdb215a343747e9027bc0e97a4....0.tmp
/data/data/####/7d8d6b
/data/data/####/7d8d6b.tmp
/data/data/####/83393801d9cd74a3086c4cd9717a22e41b0404f2f369d74...063a.0
/data/data/####/83C6C3E0944FAF809C49E42F0BA66690.dex
/data/data/####/83C6C3E0944FAF809C49E42F0BA66690.dex.flock (deleted)
/data/data/####/88b157c4e69fb114886e84da0984c4af2403068aaf1093e....0.tmp
/data/data/####/8C8F552939218D4D55F5ACC7505AE2C6.xml
/data/data/####/8a3cb9c12171b82e5cff9d252ad427433b65970ef057471....0.tmp
/data/data/####/9145E4178974FEAFB084264767F30932.xml
/data/data/####/934bbf
/data/data/####/934bbf.tmp
/data/data/####/9dbe505aa81ac42179c879a331f908d5.temp
/data/data/####/AE676F075F9D71901245FF1FC446ABDA.dex
/data/data/####/AE676F075F9D71901245FF1FC446ABDA.dex.flock (deleted)
/data/data/####/AE676F075F9D71901245FF1FC446ABDA.jar
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.dex
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.dex.flock (deleted)
/data/data/####/C9D4D9EF6CFA2D149F37ECC0D65F27F8.xml
/data/data/####/CsKaitno.d
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.dex
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.dex.flock (deleted)
/data/data/####/Gtd.xml
/data/data/####/Tuyke
/data/data/####/Urq
/data/data/####/Vvd.xml
/data/data/####/appsflyer-data.xml
/data/data/####/appsflyer-data.xml.bak
/data/data/####/appsflyer-data.xml.bak (deleted)
/data/data/####/b898245df021e1420e38a5452bfd049fa83c8aaf2752b2b....0.tmp
/data/data/####/bad4e91b56a90eec0a11cf84762e6164.temp
/data/data/####/be40bd17ce63b360fa927e56bf0e10964b130819c9bd0b4...4ca5.0
/data/data/####/bec77271dd2539c93392820eda3a98d07ee4872f6da572d...f188.0
/data/data/####/bxfa.png
/data/data/####/c4925cdcded6f9d2cdb24d3fd1bd3b15eaf6a3379723d30....0.tmp
/data/data/####/c5f5eda1296a60c6537b53e67cbc39e480ec5c78d6446ea...78a0.0
/data/data/####/c9015aa22f57be893fbbe603699dfaeead3c987775f9cf2....0.tmp
/data/data/####/com.android.google.cdcore.db
/data/data/####/com.king.pref_name_jenly.xml
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/jbo
/data/data/####/journal
/data/data/####/ld_config_cc.xml
/data/data/####/libkdww.so
/data/data/####/libkdww.so-32
/data/data/####/libkdww.so-64
/data/data/####/libshellx-super.2019.so
/data/data/####/libsszf.so
/data/data/####/libsszf.so-32
/data/data/####/libsszf.so-64
/data/data/####/libunrt.so
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/ofew.png
/data/data/####/ooooooooooooooooooooooooooooooooooooooooooooooo...oooooo
/data/data/####/proc_auxv
/data/data/####/sdlhffkf.dex
/data/data/####/sdlhffkf.dex (deleted)
/data/data/####/sdlhffkf.dex.flock (deleted)
/data/data/####/sdlhffkf.jar
/data/data/####/sp_Rktvx.xml
/data/data/####/sp_dqzanr.xml
/data/data/####/sp_dqzanr.xml.bak (deleted)
/data/data/####/sp_etkl.xml
/data/data/####/sp_etkl.xml.bak (deleted)
/data/data/####/sp_rzirob.xml
/data/data/####/tmp
/data/data/####/tmp.zip
/data/data/####/tosversion
/data/data/####/voooooooooooooooooooooooooooooooooooooooooooooo...oooooo
/data/media/####/.Xxjnx
/data/media/####/.gjuwpnpjlgwszw
/data/media/####/.qsso
/data/media/####/.up
/data/media/####/.yqbu
/data/media/####/0F06B4777D6053BC569D917064C11C85
/data/media/####/0F06B4777D6053BC569D917064C11C85.temp
/data/media/####/0F06B4777D6053BC569D917064C11C85.zip
/data/media/####/3B661E5E8C18275789EDF029F420CCC5
/data/media/####/3B661E5E8C18275789EDF029F420CCC5.jar
/data/media/####/3B661E5E8C18275789EDF029F420CCC5.temp
/data/media/####/3C354B16CF053579736355FBF24D3F4A
/data/media/####/83C6C3E0944FAF809C49E42F0BA66690
/data/media/####/83C6C3E0944FAF809C49E42F0BA66690.temp
/data/media/####/83C6C3E0944FAF809C49E42F0BA66690.zip
/data/media/####/86614EA6C2D269C2B2DED614B15A7060
/data/media/####/8FFE8235E5662DE0A07F13AC7491AB54
/data/media/####/9F06F32C85DBB927204C8644D7AD716A
/data/media/####/C3B2481BF31F7E7DF213B1679D8AFC65
/data/media/####/C926D733D4E308956A8587F7AD9FED7C
/data/media/####/C926D733D4E308956A8587F7AD9FED7C.jar
/data/media/####/C926D733D4E308956A8587F7AD9FED7C.temp
/data/media/####/E1A26EB104BC37CA228217F2AA6136CB.jar
/data/media/####/E1A26EB104BC37CA228217F2AA6136CB.temp
/data/media/####/androidx.cdcore.db
/data/media/####/com.android.google.cdcore.db
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/.libs/2_1001/.soldx/61e492 dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/data/user/0/<Package>/.libs/2_1001/.soldx/jbo -Z u:r:shell:s0 -c /data/user/0/<Package>/.libs/2_1001/.soldx//CsKaitno.d
/system/lib/arm/houdini /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/system/lib64/arm64/houdini64 /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/system/lib64/arm64/houdini64 /data/user/0/<Package>/.libs/2_1001/.soldx/jbo /data/user/0/<Package>/.libs/2_1001/.soldx/jbo HF8Cyjmi1cDd3JCn152ah3T6LO9GefXCk2eqWVyu2Yjmu3Md+QyWSS6rFUOxZbPk7OdhiTbItuWlDo3z3Kt+xaA7RnTU7+oUrodHgLTJIqiz+n6JyKSJkYGYRSs1ZsZi/FGpvTNIgHWlvTkK8Gggoh1u+L4HFCp3MhTxiVRaW1tl+mE7rUNEJlR5PlGvr9W0Q6SkwiyAM88KTRpXw92i8nuwV5Y1e4s8BrWMO1iYy9HAf9dEfm29mGexfKMYYJCn5/bFeA7lSU825KWr3hXocI9eDi1T6icaxpoVTpKQTprnHLqzEPnPcu4fM9G/0TTAAqgwNCiCbu3Q
cat /proc/version
cat /sys/class/net/wlan0/address
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/61e492
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/CsKaitno.d
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/com.android.google.cdcore.db
getprop
getprop ro.board.platform
getprop ro.product.cpu.abi
getprop ro.yunos.build.version
ls /data/local
mkdir <Package Folder>/files/1648005582/j0
mkdir <Package Folder>/files/1648005582/j1
mkdir <Package Folder>/files/1648005582/j2
mkdir <Package Folder>/files/1648005582/j4
rm -rf /data/user/0/<Package>/.libs/2_1001/.soldx/
rm -rf <Package Folder>/files/1648005582/*
sh
sh -c rm -rf /data/user/0/<Package>/.libs/2_1001/.soldx/ 2>/dev/null
sh -c rm -rf <Package Folder>/files/1648005582/*

Загружает динамические библиотеки:

libkdww
libshellx-super.2019
libsszf
libunrt

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней