Android.Triada.5364

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.248.origin
Android.Triada.373.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) app####.m####.cn:8080
TCP(HTTP/1.1) sd####.cm####.com:80
TCP(HTTP/1.1) sdk.cm####.com.####.com:80
TCP(HTTP/1.1) i####.cn.com:80
TCP(HTTP/1.1) 1####.159.53.238:80
TCP(HTTP/1.1) 1####.89.97.82:8000
TCP(HTTP/1.1) l.ace####.com:80
TCP(HTTP/1.1) 1####.159.18.80:8000
TCP(HTTP/1.1) s####.m####.cn.####.com:80
TCP(HTTP/1.1) 1####.159.18.80:8001
TCP(HTTP/1.1) 2####.111.8.140:8080
TCP(HTTP/1.1) drm.cm####.com:80
TCP(TLS/1.0) 64.2####.164.95:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 1####.194.220.95:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) gv1.x####.com:443
TCP(TLS/1.0) rr1---s####.g####.com:443
TCP(TLS/1.2) 64.2####.164.138:443
TCP(TLS/1.2) 64.2####.161.101:443
TCP(TLS/1.2) 1####.194.220.95:443
TCP(TLS/1.2) 1####.194.222.94:443
UDP rr1---s####.g####.com:443
UDP rr2---s####.g####.com:443
UDP 1####.194.220.95:443
UDP p####.google####.com:443

Запросы DNS:

and####.google####.com
app####.m####.cn
drm.cm####.com
gv1.x####.com
i####.cn.com
l.ace####.com
p####.google####.com
pg.x####.com
pg.x####.com.####.8
rr1---s####.g####.com
rr2---s####.g####.com
s####.m####.cn
sd####.cm####.com
sdk.cm####.com
unitedp####.lemuel####.com
unitedp####.lemuel####.com.####.8
wap.cm####.com
wap.cm####.com.####.8

Запросы HTTP GET:

drm.cm####.com/egsb/game/getclientProvince?tel=####&iccid=####&imsi=####
drm.cm####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
drm.cm####.com/egsb/verification/checkSDKModuleUpdate?sdkVersion=####&co...
i####.cn.com/a/3a85a2565a7d72bae369efe11b66b86b7
s####.m####.cn.####.com/MiguPay.SO30.Lib_082226_9BC201CE716D9B354C407FFB...
s####.m####.cn.####.com/MiguPay.Sdk30.Lib_12003084_3BFFC37E286588E18DF87...
sdk.cm####.com.####.com/download//moduleVersion/marketing_1132_201808011...

Запросы HTTP POST:

app####.m####.cn:8080/migusdk/tl/tcttl
app####.m####.cn:8080/migusdk/verification/checkSdkUpdate
drm.cm####.com/egsb/access/loginNewClient
drm.cm####.com/egsb/dataPlan/privateSwith
drm.cm####.com/egsb/desktopShortcut/queryAll
drm.cm####.com/egsb/discount/getPreQueryResult
drm.cm####.com/egsb/game/getPaymentCapability
drm.cm####.com/egsb/gshare/switches
drm.cm####.com/egsb/message/queryPushMessages
drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
drm.cm####.com/egsb/recommendGame/getAdvertisementList
drm.cm####.com/egsb/thirdPay/queryThirdPayInfo
drm.cm####.com/egsb/verification/getUpdateUrl
gv1.x####.com:443/g/d?crc=####
l.ace####.com/ando/v2/lv?app_id=####&r=####
sd####.cm####.com/behaviorLogging/eventLogging/accept?

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.DS_Store
/data/data/####/.appInfo
/data/data/####/.hptc.cache_j2016gq.sohuwan
/data/data/####/3343.dex
/data/data/####/3425.dex
/data/data/####/3425.dex.flock (deleted)
/data/data/####/3a85a2565a7d72bae369efe11b66b86b7;account_file.xml
/data/data/####/3dm0IvETsm5RG_ltLQzgzcgCNRZX6hMU
/data/data/####/3dm0IvETsm5RG_ltLQzgzcgCNRZX6hMU.new
/data/data/####/44Tm9SR1CyTV4NGyoHdZ8cLXm0vxl4mG
/data/data/####/44Tm9SR1CyTV4NGyoHdZ8cLXm0vxl4mG.new
/data/data/####/4qy-LRblN7usVq8lhwrrCvdF2Eg=.new
/data/data/####/65e97d0ad8aeaed6.dex
/data/data/####/65e97d0ad8aeaed6.dex.flock (deleted)
/data/data/####/65e97d0ad8aeaed6.jar
/data/data/####/9WjxTtHNEfrSlM-MTk9Fjw==
/data/data/####/Cocos2dxPrefsFile.xml
/data/data/####/Cocos2dxPrefsFile.xml.bak
/data/data/####/Cocos2dxPrefsFile.xml.bak (deleted)
/data/data/####/D07Z
/data/data/####/D07Z.dex
/data/data/####/D07Z.dex.flock (deleted)
/data/data/####/D07Z.jar
/data/data/####/Dgd88hUGslsSmLMqvs3DVA==
/data/data/####/Dgd88hUGslsSmLMqvs3DVA==.new
/data/data/####/ED.ini
/data/data/####/EGxhQfV1cmqDRxh4JUdDtg==
/data/data/####/EGxhQfV1cmqDRxh4JUdDtg==.new
/data/data/####/ESH4csfoxmkfa3mEwI6uQ50vOsp9SThIudMozOxbm2k=.new
/data/data/####/ETpqzrBPeQSEsIFE0GBUZ6rkDl8=.new
/data/data/####/GlhSeRLkyBgR11FS-VbG8alMRsU=
/data/data/####/H57i0TMjH032nPrH-jy6Kg==
/data/data/####/KwkKIpoEl7Ohr-4IQuU2Dtzec9tIbY7KbjfFo3aufQM=
/data/data/####/KwkKIpoEl7Ohr-4IQuU2Dtzec9tIbY7KbjfFo3aufQM=.new
/data/data/####/KwkKIpoEl7Ohr-4IQuU2Dtzec9tIbY7KbjfFo3aufQM=.old
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_39LSrUJRAwE=-journal
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_7MPc0mZ3AtDRbN...Ps9Ro=
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_7MPc0mZ3AtDRbN...ournal
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_dsy7UF-hEFn0-S...ournal
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_dsy7UF-hEFn0-SSWiH-ojg==
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_i0rwi5vi92SSs91v
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_i0rwi5vi92SSs91v-journal
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_r-p704JENUtB9X...ournal
/data/data/####/Kwqlaf0i8K1yEGyCNoq4-xVRHb1ugcN9_r-p704JENUtB9XNlxzh87Q==
/data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.cod
/data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.dat
/data/data/####/MiguPay.Sdk30.Lib_12003084_16bd67d3fcbf0e19ffbc...02.cod
/data/data/####/MiguPay.Sdk30.Lib_12003084_16bd67d3fcbf0e19ffbc...02.dat
/data/data/####/MiguPay.Sdk30.Res_00026014_3C3B3538E3D2C3DFD6BD...02.zip
/data/data/####/O__kFRlwOaow3pEU1xN4MjffAm8=.new
/data/data/####/RM4sGDxlkqzwkW04vS9-srKFiqs=.new
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_app_pefercen_profile.xml.bak
/data/data/####/UNITEDPAYACTLIST_
/data/data/####/Ybvn3PGC9srubxAVSX7BQ5p7H8TdfgPT.new
/data/data/####/ZR2Xs0BeAamMf4iBNrvRlXIExj9hxv8UCv06uy3qm_g=.new
/data/data/####/a632037c1cd9154f.dex
/data/data/####/a632037c1cd9154f.dex.flock (deleted)
/data/data/####/a632037c1cd9154f.jar
/data/data/####/abc.dex
/data/data/####/abc.dex.flock (deleted)
/data/data/####/abc.jar
/data/data/####/abc.jar.temp
/data/data/####/abc.jpg
/data/data/####/abc.jpg.temp
/data/data/####/abc.jpg.temp (deleted)
/data/data/####/bTCl7YEpJ5EibtbW-7GR4xQ4ZNdzw_LPWZ9glg==
/data/data/####/bTCl7YEpJ5EibtbW-7GR4xQ4ZNdzw_LPWZ9glg==.new
/data/data/####/c275b40852c1c0db.dex
/data/data/####/c275b40852c1c0db.dex.flock (deleted)
/data/data/####/c275b40852c1c0db.jar
/data/data/####/codex.so
/data/data/####/codex_inner.so
/data/data/####/com.gangayang.ldzj2016gq.sohuwan_preferences.xml
/data/data/####/e7sJby23VVjcmxtKxiyMh3jqhlUJwqJsTCF9SA==
/data/data/####/e7sJby23VVjcmxtKxiyMh3jqhlUJwqJsTCF9SA==.new
/data/data/####/f5zhMe4FCVPmeW7bJU0g4pUc7rcmFzP3.new
/data/data/####/game_arrow_big.png
/data/data/####/game_arrow_little.png
/data/data/####/game_arrow_text.png
/data/data/####/game_businesscard.png
/data/data/####/game_check_success.png
/data/data/####/game_checkbox_mark.png
/data/data/####/game_contacts.png
/data/data/####/game_failure.png
/data/data/####/game_grey_logo.png
/data/data/####/game_loading.png
/data/data/####/game_logo.png
/data/data/####/game_network.png
/data/data/####/game_people.png
/data/data/####/game_piccode_refresh_touched.png
/data/data/####/game_save.png
/data/data/####/game_show_pwd.png
/data/data/####/game_start_logo.png
/data/data/####/game_success.png
/data/data/####/gray.png
/data/data/####/hujebg_f.dex
/data/data/####/hujebg_f.dex.flock (deleted)
/data/data/####/hujebg_f.zip
/data/data/####/icon_about.png
/data/data/####/icon_annoucement_close.png
/data/data/####/icon_back.png
/data/data/####/icon_bind_email.png
/data/data/####/icon_bind_tel.png
/data/data/####/icon_businesscard.png
/data/data/####/icon_center_about.png
/data/data/####/icon_center_arrow.png
/data/data/####/icon_center_look.png
/data/data/####/icon_center_save.png
/data/data/####/icon_check_failure.png
/data/data/####/icon_checkbox.png
/data/data/####/icon_close.png
/data/data/####/icon_common_problem.png
/data/data/####/icon_compact_close.png
/data/data/####/icon_discount_icon.png
/data/data/####/icon_edit_del.png
/data/data/####/icon_email_icon.png
/data/data/####/icon_extend.png
/data/data/####/icon_firends_circle.png
/data/data/####/icon_full_arrow_down.png
/data/data/####/icon_full_arrow_up.png
/data/data/####/icon_grey_contacts.png
/data/data/####/icon_head.png
/data/data/####/icon_hide_pwd.png
/data/data/####/icon_magnet_draghide.png
/data/data/####/icon_magnet_gameshare.png
/data/data/####/icon_magnet_help.png
/data/data/####/icon_magnet_onlineservice.png
/data/data/####/icon_magnet_startlogin.png
/data/data/####/icon_magnet_welfare.png
/data/data/####/icon_notification.png
/data/data/####/icon_online_service.png
/data/data/####/icon_people.png
/data/data/####/icon_personal_bg.png
/data/data/####/icon_personal_bg_l.png
/data/data/####/icon_piccode.png
/data/data/####/icon_piccode_refresh.png
/data/data/####/icon_qq.png
/data/data/####/icon_recommend_flow_one.png
/data/data/####/icon_recommend_flow_third.png
/data/data/####/icon_recommend_flow_two.png
/data/data/####/icon_recommend_hall.png
/data/data/####/icon_rightextend.png
/data/data/####/icon_security_setting.png
/data/data/####/icon_service_tel.png
/data/data/####/icon_share_game.png
/data/data/####/icon_shrink.png
/data/data/####/icon_sina.png
/data/data/####/icon_sms.png
/data/data/####/icon_tel.png
/data/data/####/icon_transaction_detail.png
/data/data/####/icon_upgrade_pass.png
/data/data/####/icon_wechat.png
/data/data/####/icon_window.png
/data/data/####/kDAnq2Ui7dUAuVY2
/data/data/####/lemuel_security_inner.so
/data/data/####/libmgRun_05.22.09_01.so
/data/data/####/libmgRun_08.22.26_01.so
/data/data/####/libmiguED.so
/data/data/####/libtpgjni_10.3.2_0.so
/data/data/####/lzCyjdL1KY45ahLT.dex
/data/data/####/lzCyjdL1KY45ahLT.dex.flock (deleted)
/data/data/####/lzCyjdL1KY45ahLT.zip
/data/data/####/marketing_1132.dex
/data/data/####/marketing_1132.dex.flock (deleted)
/data/data/####/mgAS.dat
/data/data/####/mgSS.dat
/data/data/####/mgid.dat
/data/data/####/miguGameBillingRequestMonitor.xml
/data/data/####/migu_slider_target.png
/data/data/####/migu_slider_thumb_nor.png
/data/data/####/migu_slider_thumb_prs.png
/data/data/####/migu_slider_thumb_suc.png
/data/data/####/ndHJIaYqIYaGBs4WQlQQ72X87Vnf8c8Z
/data/data/####/ndHJIaYqIYaGBs4WQlQQ72X87Vnf8c8Z.new
/data/data/####/oprcJ6qqBJm9dcYdt5tvSKfu9Hc=
/data/data/####/oprcJ6qqBJm9dcYdt5tvSKfu9Hc=.new
/data/data/####/pay_icon_0.png
/data/data/####/pay_icon_1.png
/data/data/####/pay_icon_2.png
/data/data/####/pay_icon_3.png
/data/data/####/pay_icon_4.png
/data/data/####/pay_icon_5.png
/data/data/####/pay_icon_payment.png
/data/data/####/pay_icon_phonenumber.png
/data/data/####/pay_icon_telpoint.png
/data/data/####/plus_businesscard.png
/data/data/####/plus_check_success.png
/data/data/####/plus_checkbox_mark.png
/data/data/####/plus_contacts.png
/data/data/####/plus_failure.png
/data/data/####/plus_grey_logo.png
/data/data/####/plus_loading.png
/data/data/####/plus_logo.png
/data/data/####/plus_network.png
/data/data/####/plus_people.png
/data/data/####/plus_piccode_refesh_touched.png
/data/data/####/plus_save.png
/data/data/####/plus_show_pwd.png
/data/data/####/plus_start_logo.png
/data/data/####/plus_success.png
/data/data/####/pref_file.xml
/data/data/####/pref_file.xml.bak
/data/data/####/proc_auxv
/data/data/####/rDrNeg4RMJ3q96klhztGNqiWQlOJUOaXFwV9t-FxBJQ=
/data/data/####/rDrNeg4RMJ3q96klhztGNqiWQlOJUOaXFwV9t-FxBJQ=.new
/data/data/####/rdata_comerkczifa.new
/data/data/####/rs9o-tokR2xOpWLFykF254VlWRSbVa20.new
/data/data/####/runner_info.prop.new
/data/data/####/sPAsuXfPbxxYbSID9KJTdWx3PfpJ3ST7.new
/data/data/####/sdk_prefs
/data/data/####/shortcut_desktop_icon.png
/data/data/####/t1V9INs1snfKvmZbTbi7zdMyuI92dAO_.new
/data/data/####/t5occcl93XXAk5o4
/data/data/####/t5occcl93XXAk5o4.lk
/data/data/####/talkingdata_app.db-journal
/data/data/####/talkingdata_app_process_preferences_file
/data/data/####/talkingdata_app_version_preferences_file
/data/data/####/td_pefercen_profile.xml
/data/data/####/td_pefercen_profile.xml.bak
/data/data/####/tdid.xml
/data/data/####/vO7CahYEVtdOtfxlt3T2RYwKJm8=
/data/data/####/vO7CahYEVtdOtfxlt3T2RYwKJm8=.new
/data/data/####/wdIM0HQi0voHoZbcw7QJdQ==.new
/data/data/####/xcngame.xml
/data/data/####/xxl_about.png
/data/data/####/xxl_arraw_left.png
/data/data/####/xxl_billing_failure.png
/data/data/####/xxl_billing_success.png
/data/data/####/xxl_close.png
/data/data/####/xxl_logo.png
/data/data/####/xxl_pic_refresh.png
/data/data/####/xxl_right_arraw.png
/data/data/####/xxl_sale.png
/data/data/####/yHp26tpqL8ZjHXWKQPe6lGqeYFzHr6pv
/data/data/####/yHp26tpqL8ZjHXWKQPe6lGqeYFzHr6pv.new
/data/data/####/zThw0lwJvL9EmxjlksZD0UxxMFxL1NmY0Du_sg==
/data/data/####/zThw0lwJvL9EmxjlksZD0UxxMFxL1NmY0Du_sg==.new
/data/media/####/.tcookieid
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/603316066362userInfo.txt
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/MiguPay.SO30.Lib_082226_9BC201CE716D9B354C407F...02.zip
/data/media/####/MiguPay.Sdk30.Lib_12003084_16bd67d3fcbf0e19ffb...02.cod
/data/media/####/MiguPay.Sdk30.Lib_12003084_16bd67d3fcbf0e19ffb...02.dat
/data/media/####/MiguPay.Sdk30.Lib_12003084_3BFFC37E286588E18DF...02.zip
/data/media/####/MiguPay.Sdk30.Res_00026014_3C3B3538E3D2C3DFD6B...02.zip
/data/media/####/ShareData.txt
/data/media/####/app_info.txt
/data/media/####/deviceId
/data/media/####/libmgRun_08.22.26_01.so
/data/media/####/marketing_1132.jar
/data/media/####/pushDB.txt
/data/media/####/pushTime.txt
/data/media/####/pushTotal.txt
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/sdk_prefs.txt
/data/media/####/test.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/lib/arm/houdini /data/user/0/<Package>/code-7960450/t5occcl93XXAk5o4 /data/user/0/<Package>/code-7960450/t5occcl93XXAk5o4 -p <Package> -c com.erkc.zifa.bldbbw.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.erkc.zifa.bldbbw.pv.pv.qf.c --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
chmod 777 /data/user/0/<Package>/files/abc.jar

Загружает динамические библиотеки:

codex
codex_inner
lemuel_security_inner
lib_lemuel_security
libgame
libmegjb
libmiguED
libtpgjni_10.3.2_0
libtpgjni_10.3.2_1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней