Android.Triada.5326

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.1076.origin
Android.RemoteCode.231.origin
Android.Triada.4567
Android.Triada.510.origin

Предлагает установить сторонние приложения.

Детект на основе машинного обучения.

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a####.r####.com:13002
TCP(HTTP/1.1) dwq.fs####.com:80
TCP(HTTP/1.1) www-bin####.dual-a-####.a-ms####.net:80
TCP(HTTP/1.1) nu####.js####.com:12029
TCP(HTTP/1.1) hw9####.new####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) s####.b####.com:80
TCP(HTTP/1.1) d####.dd7####.com:80
TCP(TLS/1.0) www.google-####.com:443
TCP(TLS/1.0) topm####.vip:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) csi.gst####.com:443
TCP(TLS/1.0) 2####.58.209.163:443
TCP(TLS/1.0) g####.08####.com:443
TCP(TLS/1.0) rr4---s####.g####.com:443
TCP(TLS/1.0) digital####.google####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) www.googlet####.com:443
TCP(TLS/1.0) securep####.g.doublec####.net:443
TCP(TLS/1.0) rr3---s####.g####.com:443
TCP(TLS/1.2) 2####.58.209.163:443
TCP(TLS/1.2) 74.1####.8.106:443
TCP(TLS/1.2) www.google####.com:443
TCP(TLS/1.2) digital####.google####.com:443
TCP(TLS/1.2) and####.a####.go####.com:443
UDP www.google####.com:443
UDP gmscomp####.google####.com:443

Запросы DNS:

a####.r####.com
and####.a####.go####.com
and####.cli####.go####.com
app-mea####.com
csi.gst####.com
d####.dd7####.com
digital####.google####.com
dwq.fs####.com
g####.08####.com
gmscomp####.google####.com
hw9####.new####.com
jz####.mc####.com
m####.go####.com
nu####.js####.com
o####.9####.com
o####.9####.com.####.8
pag####.googles####.com
pla####.googleu####.com
rr3---s####.g####.com
rr4---s####.g####.com
s####.b####.com
securep####.g.doublec####.net
topm####.vip
www.b####.com
www.google####.com
www.google-####.com
www.googlet####.com
z9.c####.com

Запросы HTTP GET:

d####.dd7####.com/upload/hw/batdex20191010.jar
d####.dd7####.com/upload/hw/c1005dex20190527.jar
d####.dd7####.com/upload/hw/h5rq20191022.jar
d####.dd7####.com/upload/hw/kklz02dex20200414.jar
d####.dd7####.com/upload/hw/lsdk20200506.jar
d####.dd7####.com/upload/hw/mf20200508.jar
d####.dd7####.com/upload/hw/qcdex20200316.jar
d####.dd7####.com/upload/plog/cy1105.jar
d####.dd7####.com/upload/plog/hw1229.jar
d####.dd7####.com/upload/plog/jar20190515.jar
d####.dd7####.com/upload/plog/jrw20210630.jar
d####.dd7####.com/upload/plog/kk20201106.jar
d####.dd7####.com/upload/plog/panshi1208.jar
d####.dd7####.com/upload/plog/sdk0625.jar
d####.dd7####.com/upload/plog/skk20210416.jar
d####.dd7####.com/upload/plog/souhu1220.jar
d####.dd7####.com/upload/plog/zcoup1118.jar
dwq.fs####.com/dtbx/367/SZMK_20211202_1.zip
dwq.fs####.com/dtbx/yunshi/awli-release.zip
dwq.fs####.com/plugins/applh0723.zip
dwq.fs####.com/plugins/dp2.zip
dwq.fs####.com/plugins/yz058Uc30i0524.zip
s####.b####.com/redirect?s=####&at=####&rt=####&s1=####
www-bin####.dual-a-####.a-ms####.net/
z.c####.com/stat.htm?id=####&cnzz_eid=####

Запросы HTTP POST:

a####.r####.com:13002/84gcjmo/
a####.r####.com:13002/v1jyved/
hw9####.new####.com/api/activite
hw9####.new####.com/api/back
hw9####.new####.com/api/offer
hw9####.new####.com/api/tbdynamic
hw9####.new####.com/apidata/showeb
nu####.js####.com:12029/hfdlls/
nu####.js####.com:12029/i3v8nb/
nu####.js####.com:12029/lfkdnr/

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.fuq
/data/data/####/47AB7209AD7ACF4EB1EA636A3039D803
/data/data/####/4deb411e-406a-4de5-bc2e-e48021916115
/data/data/####/5dd32bfa-bd8c-4c73-8f29-b41169829e02
/data/data/####/6fb69037213d6bb4_0 (deleted)
/data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19
/data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.dex
/data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.dex.flock (deleted)
/data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.jar
/data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.temp
/data/data/####/BackgroundLogger.db-journal
/data/data/####/C3B2481BF31F7E7DF213B1679D8AFC65
/data/data/####/CB1B91FF5F850AA0596738229D30D1DF
/data/data/####/Cookies-journal
/data/data/####/E2A13809C59CBC46B6E9C70C6ADD0458
/data/data/####/E2A13809C59CBC46B6E9C70C6ADD0458.dex
/data/data/####/E2A13809C59CBC46B6E9C70C6ADD0458.dex.flock (deleted)
/data/data/####/E2A13809C59CBC46B6E9C70C6ADD0458.temp
/data/data/####/E2A13809C59CBC46B6E9C70C6ADD0458.zip
/data/data/####/E513CA5E729111A8D21EDEF7CE1587D8
/data/data/####/E513CA5E729111A8D21EDEF7CE1587D8.dex
/data/data/####/E513CA5E729111A8D21EDEF7CE1587D8.dex.flock (deleted)
/data/data/####/E513CA5E729111A8D21EDEF7CE1587D8.jar
/data/data/####/E513CA5E729111A8D21EDEF7CE1587D8.temp
/data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E
/data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.dex
/data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.dex.flock (deleted)
/data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.temp
/data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.zip
/data/data/####/F73811C2013B84778D431A6EE070420A
/data/data/####/F73811C2013B84778D431A6EE070420A.dex
/data/data/####/F73811C2013B84778D431A6EE070420A.dex.flock (deleted)
/data/data/####/F73811C2013B84778D431A6EE070420A.jar
/data/data/####/F73811C2013B84778D431A6EE070420A.temp
/data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MToyMjE1NzE4NDEzM...gw.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/ab3b8a53-1610-403a-bfcf-fb6163b2c0ef
/data/data/####/accounts_valuestore.pb.lock
/data/data/####/auto_update.db-journal
/data/data/####/b909fe28bb45cb93_0
/data/data/####/background_counters.db-journal
/data/data/####/base_value_store.pb
/data/data/####/base_value_store.pb.tmp
/data/data/####/blQJI5uXBbKnHwEMyN94Ng4ylzA
/data/data/####/com.google.android.gcm.xml
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml.bak
/data/data/####/com.sysraring.call.contact_preferences.xml
/data/data/####/counters.db-journal
/data/data/####/device_settings.xml
/data/data/####/df4essr.xml
/data/data/####/df4essr.xml.bak
/data/data/####/download_service-journal
/data/data/####/download_service_preferences_key.xml
/data/data/####/e3c65dfd91f75cfb_0
/data/data/####/e3f4r3ed.data-journal
/data/data/####/event_generator.xml
/data/data/####/eventlog.store1162107426.log
/data/data/####/eventlog.store1512093001.log
/data/data/####/eventlog.store1619161841.log
/data/data/####/eventlog.store2078363358.log
/data/data/####/eventlog.store775500224.log
/data/data/####/eventlog.store885545551.log
/data/data/####/eventlog.store929980953.log
/data/data/####/finsky.xml
/data/data/####/frosting.db-journal
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/generatefid.lock
/data/data/####/gg
/data/data/####/gmscompliance.pb
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/index
/data/data/####/install_source.db-journal
/data/data/####/io
/data/data/####/libkuuq.so
/data/data/####/libkuuq.so-32
/data/data/####/libkuuq.so-64
/data/data/####/libkuuq.so-64 (deleted)
/data/data/####/libsszf.so
/data/data/####/libsszf.so-32
/data/data/####/libsszf.so-64
/data/data/####/libsszf.so-64 (deleted)
/data/data/####/localappstate.db-journal
/data/data/####/logs_upload_attempt.log
/data/data/####/metrics_guid
/data/data/####/notification_cache-journal
/data/data/####/nybx.xml
/data/data/####/ofew.png
/data/data/####/osqd.png
/data/data/####/ox.xml
/data/data/####/pai_apps.db-journal
/data/data/####/phenotype.db
/data/data/####/phenotype.db-journal
/data/data/####/phenotype.db-journal (deleted)
/data/data/####/phenotype.db-shm (deleted)
/data/data/####/phenotype.db-wal (deleted)
/data/data/####/play_metalog.log
/data/data/####/proc_background.pb.tmp
/data/data/####/quick_launch_counters.db-journal
/data/data/####/scheduler_background-journal
/data/data/####/scheduler_main-journal
/data/data/####/selfupdate_scheduler.xml
/data/data/####/sp_dojz.xml
/data/data/####/sp_dojz.xml.bak
/data/data/####/sp_ydepq.xml
/data/data/####/streamdatastore.db-journal
/data/data/####/temp-experiment-flags-process-stable
/data/data/####/temp-experiment-flags-regular-null-account
/data/data/####/the-real-index
/data/data/####/verify_apps.db-journal
/data/data/####/warm_multi_proc.pb.lock
/data/data/####/warm_multi_proc.pb.tmp
/data/data/####/warm_proc_background.pb.tmp
/data/data/####/warm_proc_main.pb.tmp
/data/data/####/www.googleapis.com.443
/data/data/####/xjrjp.dex
/data/data/####/xjrjp.dex.flock (deleted)
/data/data/####/xjrjp.jar
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

cat /proc/version
cat /sys/class/net/wlan0/address
getprop ro.yunos.build.version

Загружает динамические библиотеки:

libkuuq
libsszf

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES
DES-CBC-PKCS5Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES
DES-CBC-PKCS5Padding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об активных администраторах устройства.

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней