Android.Triada.5340

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.1007.origin
Android.Triada.4567
Android.Triada.510.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) o####.cz####.com:10051
TCP(HTTP/1.1) t####.c8####.com:13002
TCP(HTTP/1.1) 36####.pb####.com:80
TCP(HTTP/1.1) z4####.ep####.com:14002
TCP(HTTP/1.1) z4####.ep####.com:16002
TCP(HTTP/1.1) y####.k8####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(TLS/1.0) rr4---s####.g####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) adash####.man.aliy####.com:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) api-ac####.pangoli####.com.####.net:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) rr5---s####.g####.com:443
TCP(TLS/1.2) 1####.251.36.46:443
TCP(TLS/1.2) www.google####.com:443
TCP(TLS/1.2) 1####.251.39.99:443
TCP api-ac####.pangoli####.com.####.net:443
UDP p####.google####.com:443
UDP rr1---s####.g####.com:443
UDP www.google####.com:443
UDP rr5---s####.g####.com:443
TCP sf3-ttc####.ps####.com:443
UDP rr4---s####.g####.com:443

Запросы DNS:

36####.pb####.com
a####.man.aliy####.com
a####.u####.com
amdc####.m.ta####.com
and####.a####.go####.com
and####.google####.com
api-ac####.pangoli####.com
beacon####.aliy####.com
dm.tou####.com
gmscomp####.google####.com
norma-e####.m####.com
o####.cz####.com
p####.google####.com
pang####.sn####.com
rr1---s####.g####.com
rr4---s####.g####.com
rr5---s####.g####.com
s####.bn####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
t####.c8####.com
to####.ctobsn####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
www.google####.com
y####.k8####.com
z4####.ep####.com

Запросы HTTP GET:

36####.pb####.com/modellog/DSOE549E8DET4689RE30D8E94.cl
36####.pb####.com/textlog/45F03BF30CFDFF6CC100728555A3878D.log
36####.pb####.com/textlog/92F4C7A4386C2735C57F5C0FC90BCF30.log
36####.pb####.com/textlog/FFA6813C118243858FFF1E5CDFF99A3B.log
sf3-ttc####.ps####.com:443/service/2/app_alert_check/?aid=####&tt_info####
y####.k8####.com/hwyw/akertuns.zip
y####.k8####.com/hwyw/erfdoc9e54utr9gf7e455968y.zip
y####.k8####.com/hwyw/oeg4iyhtt89r34056y8rer3456.zip

Запросы HTTP POST:

adash####.man.aliy####.com:443/man/api?ak=####&s=####
al####.u####.com:443/unify_logs
al####.u####.com:443/zcfg
beacon####.aliy####.com/beacon/fetch/config/byappkey
o####.cz####.com:10051/getjar/
o####.cz####.com:10051/getsol/
o####.cz####.com:10051/repsol/
sf3-ttc####.ps####.com:443/service/2/app_log/?device_platform=####&versi...
sf3-ttc####.ps####.com:443/service/2/device_register_only/?aid=####&tt_i...
sf3-ttc####.ps####.com:443/service/2/log_settings/?device_platform=####
t####.c8####.com:13002/4ad8fq/
t####.c8####.com:13002/a7atzr/
t####.c8####.com:13002/lgu4ds/
z4####.ep####.com:14002/uv2tay/
z4####.ep####.com:16002/fkhiwf/

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1025052814979690616
/data/data/####/-1135038580-754662270
/data/data/####/-15612209341621105351
/data/data/####/.Fst
/data/data/####/.bak
/data/data/####/.dex2oatlock
/data/data/####/.gjuwpnpjlgwszw
/data/data/####/.imprint
/data/data/####/.updateIV.dat
/data/data/####/.updateIV.dat_0
/data/data/####/.updateIV.dat_1
/data/data/####/.updateIV.dat_2
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/0000000lllll_2.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/000O00ll111l_2.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/00O000ll111l_2.dex
/data/data/####/00O000ll111l_2.dex.flock
/data/data/####/00O000ll111l_2.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/13EE0ED8703E3C6F62EEA4DE1EA78525
/data/data/####/13EE0ED8703E3C6F62EEA4DE1EA78525.dex
/data/data/####/13EE0ED8703E3C6F62EEA4DE1EA78525.dex.flock (deleted)
/data/data/####/13EE0ED8703E3C6F62EEA4DE1EA78525.jar
/data/data/####/13EE0ED8703E3C6F62EEA4DE1EA78525.temp
/data/data/####/3b36374630c3294a91fdb1e9344685e4.temp
/data/data/####/61e492
/data/data/####/61e492.tmp
/data/data/####/7FEFA21532A99033BF17F1D1A7FDA79B
/data/data/####/7d8d6b
/data/data/####/7d8d6b.tmp
/data/data/####/8C8F552939218D4D55F5ACC7505AE2C6.xml
/data/data/####/8FFE8235E5662DE0A07F13AC7491AB54
/data/data/####/8c9b465539145670389510d3931e0a73.temp
/data/data/####/9145E4178974FEAFB084264767F30932.xml
/data/data/####/934bbf
/data/data/####/972ca564110bb335ef4fce58c4cb44b9
/data/data/####/972ca564110bb335ef4fce58c4cb44b9.dex
/data/data/####/972ca564110bb335ef4fce58c4cb44b9.dex.flock (deleted)
/data/data/####/972ca564110bb335ef4fce58c4cb44b9.jar
/data/data/####/9e9608fce985407ea178bbb3e2dadb48.temp
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BD37200A87E41C782A57D7CEEF998AB9.dex
/data/data/####/BD37200A87E41C782A57D7CEEF998AB9.dex.flock (deleted)
/data/data/####/BD37200A87E41C782A57D7CEEF998AB9.jar
/data/data/####/C3B2481BF31F7E7DF213B1679D8AFC65
/data/data/####/C926D733D4E308956A8587F7AD9FED7C
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.dex
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.dex.flock (deleted)
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.jar
/data/data/####/C926D733D4E308956A8587F7AD9FED7C.temp
/data/data/####/C9D4D9EF6CFA2D149F37ECC0D65F27F8.xml
/data/data/####/ContextData.xml
/data/data/####/CsKaitno.d
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.dex
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.dex.flock (deleted)
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.jar
/data/data/####/E1A26EB104BC37CA228217F2AA6136CB.temp
/data/data/####/Ifio.xml
/data/data/####/Ilzij
/data/data/####/Ldngw
/data/data/####/Lfhm.xml
/data/data/####/MessageStore.db
/data/data/####/MessageStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/accs.db
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/bd_embed_tea_agent.db
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/channel_umeng_common_config.xml
/data/data/####/com.android.google.cdcore.db
/data/data/####/com.mobile.yjbers_preferences.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.mo...hannel
/data/data/####/d196803e565ba0d9be419c3eac02abdd.temp
/data/data/####/downloader.db
/data/data/####/downloader.db-journal
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/flrexfij.dex (deleted)
/data/data/####/flrexfij.dex.flock (deleted)
/data/data/####/flrexfij.jar
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/gfqt.png
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_enable.xml
/data/data/####/i==1.2.0&&V1.2_1656009186590_dW5pZnlfbG9ncw==;.log
/data/data/####/info.xml
/data/data/####/jbo
/data/data/####/kk_data_browser_info.xml
/data/data/####/kk_data_browser_info.xml.bak
/data/data/####/kk_data_browser_info.xml.bak (deleted)
/data/data/####/ld_config_cc.xml
/data/data/####/libkotl.so
/data/data/####/libkotl.so-32
/data/data/####/libkotl.so-64
/data/data/####/libsszf.so
/data/data/####/libsszf.so-32
/data/data/####/libsszf.so-64
/data/data/####/libunrt.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/npth.xml
/data/data/####/npth_log.db
/data/data/####/npth_log.db-journal
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/ofew.png
/data/data/####/ooooooooooooooooooooooooooooooooooooooooooooooo...oooooo
/data/data/####/proc_auxv
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_Msamidl.xml
/data/data/####/sp_dqzanr.xml
/data/data/####/sp_global_info.xml
/data/data/####/sp_global_info.xml.bak
/data/data/####/sp_multi_info.xml
/data/data/####/sp_multi_ttadnet_config.xml
/data/data/####/ss_app_config.xml
/data/data/####/t==9.3.6&&V1.2_1656009190616_dW5pZnlfbG9ncw==;.log
/data/data/####/tmp
/data/data/####/tmp.zip
/data/data/####/tosversion
/data/data/####/tqemwsdc.dex
/data/data/####/tqemwsdc.dex.flock (deleted)
/data/data/####/tqemwsdc.jar
/data/data/####/tray.db
/data/data/####/tray.db-journal
/data/data/####/tt_ad_sdk_sp.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/tt_sp_app_list.xml
/data/data/####/tt_sp_app_list.xml.bak
/data/data/####/ttnet_tnc_config.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db
/data/data/####/ttopensdk.db-journal
/data/data/####/ttttttttttttttttttttttttttttttttttttttttttttttt...tttttt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_config.xml.bak
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/umzid_general_config.xml
/data/data/####/voooooooooooooooooooooooooooooooooooooooooooooo...oooooo
/data/data/####/webview_data.lock
/data/data/####/z==1.2.0&&V1.2_1656009169164_emNmZw==;.log
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/.libs/2_1001/.soldx/61e492 dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/data/user/0/<Package>/.libs/2_1001/.soldx/jbo -Z u:r:shell:s0 -c /data/user/0/<Package>/.libs/2_1001/.soldx//CsKaitno.d
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/lib/arm/houdini /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/system/lib64/arm64/houdini64 /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b dIEmu9C/AF+Xr8MtYZD5FJRt3xTzT93LYe9Ywe0tHHv+IABa2bFXo6QfUnTvuXP1euogebkbuRBrOtAUpoO0BSQgun+ItYWQyo+QDijCkRzx+vXez6CpKQSbf1xZXCnbjP87s9LyEz+W72/lQ5J6jrY3oINjNzomuh8rR4cApfU= /data/user/0/<Package>/.libs/2_1001/.soldx/ /system/xbin/ckajvybh
/system/lib64/arm64/houdini64 /data/user/0/<Package>/.libs/2_1001/.soldx/jbo /data/user/0/<Package>/.libs/2_1001/.soldx/jbo HF8Cyjmi1cDd3JCn152ah3T6LO9GefXCk2eqWVyu2Yjmu3Md+QyWSS6rFUOxZbPk7OdhiTbItuWlDo3z3Kt+xaA7RnTU7+oUrodHgLTJIqiz+n6JyKSJkYGYRSs1ZsZi/FGpvTNIgHWlvTkK8Gggoh1u+L4HFCp3MhTxiVRaW1tl+mE7rUNEJlR5PlGvr9W0Q6SkwiyAM88KTRpXw92i8nuwV5Y1e4s8BrWMO1iYy9HAf9dEfm29mGexfKMYYJCn5/bFeA7lSU825KWr3hXocI9eDi1T6icaxpoVTpKQTprnHLqzEPnPcu4fM9G/0TTAAqgwNCiCbu3Q
cat /proc/version
cat /sys/class/net/wlan0/address
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/61e492
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/7d8d6b
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/934bbf
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/CsKaitno.d
chmod 777 /data/user/0/<Package>/.libs/2_1001/.soldx/com.android.google.cdcore.db
getprop
getprop ro.board.platform
getprop ro.build.version.emui
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.yunos.build.version
ls /
ls /sys/class/thermal
mkdir <Package Folder>/files/1656009225/j0
mkdir <Package Folder>/files/1656009225/j1
mkdir <Package Folder>/files/1656009225/j2
rm -rf /data/user/0/<Package>/.libs/2_1001/.soldx/
rm -rf <Package Folder>/files/1656009225/*
sh
sh -c rm -rf /data/user/0/<Package>/.libs/2_1001/.soldx/ 2>/dev/null
sh -c rm -rf <Package Folder>/files/1656009225/*

Загружает динамические библиотеки:

libkotl
libnms
libshell-super.2019
libsszf
libtnet-3.1.14
libtobEmbedEncrypt
libumeng-spy

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней