Android.Triada.5327

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.573.origin

Предлагает установить сторонние приложения.

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) cdn-sto####.unit####.uni####.####.net:80
TCP(HTTP/1.1) lo####.applove####.com:80
TCP(HTTP/1.1) ads.turbo####.com:80
TCP(HTTP/1.1) api.applove####.com:80
TCP(HTTP/1.1) cdn-cre####.acq####.unity3d####.####.net:80
TCP(TLS/1.0) ap####.tut####.net:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.0) nginx-a####.unit####.uni####.com:443
TCP(TLS/1.0) rr5---s####.g####.com:443
TCP(TLS/1.0) 2####.58.210.142:443
TCP(TLS/1.0) 2####.58.209.163:443
TCP(TLS/1.0) 2####.58.209.202:443
TCP(TLS/1.0) p####.tut####.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) tr.trackap####.com:443
TCP(TLS/1.0) rr4---s####.g####.com:443
TCP(TLS/1.0) 2####.58.210.170:443
TCP(TLS/1.0) publish####.unit####.uni####.com:443
TCP(TLS/1.0) adash####.man.aliy####.com:443
TCP(TLS/1.0) httpk####.unit####.uni####.com:443
TCP(TLS/1.0) sdk.adti####.com:443
TCP(TLS/1.0) digital####.google####.com:443
TCP(TLS/1.0) au####.unit####.uni####.com:443
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) eu####.al####.com.####.net:443
TCP(TLS/1.0) rr3---s####.g####.com:443
TCP(TLS/1.0) a####.ampli####.com:443
TCP(TLS/1.0) clk.gazet####.com:443
TCP(TLS/1.0) wcf.seven####.com:443
TCP(TLS/1.0) unit####.edges####.net:443
TCP(TLS/1.2) 2####.58.209.163:443
TCP(TLS/1.2) 2####.58.209.202:443
TCP(TLS/1.2) 2####.58.210.142:443
UDP 2####.58.209.202:443
TCP zb-cent####.m.ta####.com:443
TCP www.glb.pa####.com:443

Запросы DNS:

a####.ampli####.com
a####.man.aliy####.com
a####.u####.com
ads.turbo####.com
amdc####.m.ta####.com
ap####.tut####.com
ap####.tut####.net
api.applove####.com
au####.unit####.uni####.com
auc####.unit####.uni####.com
cdn-cre####.acq####.unity3d####.com
cdn-sto####.unit####.uni####.com
clk.gazet####.com
co####.unit####.uni####.com
digital####.google####.com
er####.u####.com
f####.gst####.com
httpk####.unit####.uni####.com
lo####.applove####.com
log.u####.com
p####.tut####.com
publish####.unit####.uni####.com
pv.s####.com
rr3---s####.g####.com
rr4---s####.g####.com
rr5---s####.g####.com
s.c####.aliexp####.com
sdk.adti####.com
tr.trackap####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
wcf.seven####.com
www.pa####.com

Запросы HTTP GET:

ads.turbo####.com/tracking?m=####&a=####&p=####&c=####&ptid=####&gaid=##...
api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
cdn-cre####.acq####.unity3d####.####.net/assets/60ff06dfefd1dad3abcb07ac...
cdn-cre####.acq####.unity3d####.####.net/assets/61681d94f6148665d3aa615d...
cdn-sto####.unit####.uni####.####.net/store-icons/9a2a5f93-7fb7-4fa8-88b...
def####.cn.zb.####.com:443/bar/get/541835c1fd98c51ee3010b68/?pcv=####&de...
lo####.applove####.com/agreement/v1/upload?consent_value=####&consent_ty...
unit####.edges####.net:443/webview/3.7.4/9be29ed69754384ebef9b85299fed8f...
unit####.edges####.net:443/webview/3.7.5/release/config.json?ts=####&sdk...

Запросы HTTP POST:

adash####.man.aliy####.com:443/man/api?ak=####&s=####
al####.u####.com:443/zcfg
ap####.tut####.net:443/apiandroid/api/checkTutuAdsCompany
ap####.tut####.net:443/apiandroid/apiAndroid/adSwitcher
ap####.tut####.net:443/apiandroid/apiAndroid/chaos
ap####.tut####.net:443/apiandroid/apiAndroid/getDomainByIp
ap####.tut####.net:443/apiandroid/apiAndroid/getMessageTotalNum
ap####.tut####.net:443/apiandroid/apiAndroid/getSearchBoxKeywordIntl
ap####.tut####.net:443/apiandroid/apiAndroid/getServerTime
lo####.applove####.com/android/v2/click_redirect

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/539c9f07-f925-4b81-b5ac-d8b530dd785b
/data/data/####/59328081-19ab-45f2-9735-75f3429f57ec
/data/data/####/88b2b621-018f-4a7a-8bcc-405513341124
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak (deleted)
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BackgroundLogger.db-journal
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/Language.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/TutuApp_ID.xml
/data/data/####/TutuMarket.db-journal
/data/data/####/TutuUser.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTUT0DIORD0GNEF0MOC.st
/data/data/####/UnityAdsCache-0503bc99c3760f42d30af86c76955706d...c.html
/data/data/####/UnityAdsCache-2fe5604456f273666e771424d50096f7d...0.webm
/data/data/####/UnityAdsCache-8e56ff7d588b08b5dba868a7df329949b...8d.png
/data/data/####/UnityAdsStorage-private-data.json
/data/data/####/UnityAdsStorage-public-data.json
/data/data/####/UnityAdsTest.txt
/data/data/####/UnityAdsTest.txt (deleted)
/data/data/####/UnityAdsWebApp.html
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/Y29uZmlnXzU0MTgzNWMxZmQ5OGM1MWVlMzAxMGI2OA.sp
/data/data/####/Y29uZmlnXzU0MTgzNWMxZmQ5OGM1MWVlMzAxMGI2OA.sp.bak
/data/data/####/accounts_valuestore.pb.lock
/data/data/####/accs.db-journal
/data/data/####/al.xml
/data/data/####/androidxcorealc0z.
/data/data/####/androidxcorealc0z.dex
/data/data/####/androidxcorealc0z.dex.flock (deleted)
/data/data/####/app_update_metadata_valuestore.pb.lock
/data/data/####/background_counters.db-journal
/data/data/####/base_value_store.pb
/data/data/####/base_value_store.pb.tmp
/data/data/####/cache_performance_summary.db-journal
/data/data/####/cdt.wa
/data/data/####/com.amplitude.api
/data/data/####/com.amplitude.api-journal
/data/data/####/com.feng.droid.tutu.xml
/data/data/####/com.feng.droid.tutu.xml.bak
/data/data/####/com.feng.droid.tutu_ct_default.xml
/data/data/####/com.feng.droid.tutu_preferences.xml
/data/data/####/com.feng.droid.tutuye_after_install_pkg.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/core.xml
/data/data/####/counters.db-journal
/data/data/####/cr.wa
/data/data/####/crash_log_sp.xml
/data/data/####/dataloader_streaming_info_valuestore.pb.lock
/data/data/####/device_settings.xml
/data/data/####/download_service-journal
/data/data/####/download_service_preferences_key.xml
/data/data/####/dt.wa
/data/data/####/efsid
/data/data/####/efsid3376
/data/data/####/event_generator.xml
/data/data/####/event_generator_6.xml
/data/data/####/eventlog.store1242361601.log
/data/data/####/eventlog.store1624674122.log
/data/data/####/eventlog.store1786990978.log
/data/data/####/eventlog.store2127689955.log
/data/data/####/eventlog.store359594648.log
/data/data/####/eventlog.store50461292.log
/data/data/####/eventlog.store741839741.log
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/finsky-restore-logging-context.xml
/data/data/####/finsky.xml
/data/data/####/frosting.db-journal
/data/data/####/gmscompliance.pb
/data/data/####/i==1.2.0&&4.1.3_1654127190915_dW5pZnlfbG9ncw==;.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/install_source.db-journal
/data/data/####/latchsky_timestamp_valuestore.pb.lock
/data/data/####/logs_upload_attempt.log
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/multi_proc.pb
/data/data/####/multi_proc.pb.lock
/data/data/####/notification_cache-journal
/data/data/####/okdownload-breakpoint.db-journal
/data/data/####/paconfig.sp
/data/data/####/paconfig.sp.bak
/data/data/####/phenotype.db
/data/data/####/phenotype.db-journal
/data/data/####/phenotype.db-journal (deleted)
/data/data/####/phenotype.db-shm (deleted)
/data/data/####/phenotype.db-wal
/data/data/####/phenotype.db-wal (deleted)
/data/data/####/play_metalog.log
/data/data/####/proc_auxv
/data/data/####/proc_background.pb.tmp
/data/data/####/quick_launch_counters.db-journal
/data/data/####/s==7.1.4&&4.1.3_1654127185690_dW1weF9zaGFyZQ==;.log
/data/data/####/scheduler_background-journal
/data/data/####/scheduler_main-journal
/data/data/####/selfupdate_scheduler.xml
/data/data/####/sendlock
/data/data/####/share.db-journal
/data/data/####/shell_config
/data/data/####/sp_replace_flag.sp
/data/data/####/sp_replace_flag.sp.bak
/data/data/####/sp_ytuetryetr.xml
/data/data/####/streamdatastore.db-journal
/data/data/####/t==9.3.8&&4.1.3_1654127187266_dW5pZnlfbG9ncw==;.log
/data/data/####/temp-experiment-flags-regular-null-account
/data/data/####/the-real-index
/data/data/####/time_adjustment_valuestore.pb.lock
/data/data/####/tutu_crash.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/umzid_general_config.xml
/data/data/####/unique
/data/data/####/unityads-installinfo.xml
/data/data/####/ver
/data/data/####/verify_apps.db-journal
/data/data/####/warm_multi_proc.pb.lock
/data/data/####/warm_multi_proc.pb.tmp
/data/data/####/warm_proc_background.pb.tmp
/data/data/####/warm_proc_main.pb.tmp
/data/data/####/z==1.2.0&&4.1.3_1654127175747_emNmZw==;.log
/data/media/####/2f943e072c9443419cd089028fc01398bef2929480b3b0....0.tmp
/data/media/####/91fb00042c5fbe213ddbd2d0457d41950b7940cd5b8625....0.tmp
/data/media/####/F764A22695D146F173F240A2DD885C2A
/data/media/####/c28fc6d6d6adf170ef59bfd3d36378699fc3c60e870af4...f61f.0
/data/media/####/d5da2995c57651389fe7c1407462ae98b0b6b354397f2b....0.tmp
/data/media/####/e702350dafc177495a9d8f221111272af491fe2b0e24a0....0.tmp
/data/media/####/f0f283c92042ec6fdd664d311ecc1406a730bc1fd78a96....0.tmp
/data/media/####/journal
/data/media/####/journal.tmp
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
app_process /system/bin com.android.commands.pm.Pm list package -3
getprop ro.debuggable
ls -l /system/bin/su
ls /
ls /sys/class/thermal
sh
sh -c type su

Загружает динамические библиотеки:

libcrashsdk
libtnet-3.1.14
libumeng-spy

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об активных администраторах устройства.

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней