Android.Triada.5442

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.3382

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) api.rr####.com:80
TCP(TLS/1.0) u####.v.bsc####.cn:443
TCP(TLS/1.0) prd-le####.cdp.inte####.####.com:443
TCP(TLS/1.0) api.rr####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) g####.face####.com:443
TCP(TLS/1.0) co####.uca.c####.####.com:443
TCP(TLS/1.2) 1####.251.1.102:443
UDP www.google####.com:443

Запросы DNS:

a####.b####.qq.com
adx.rr####.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.rr####.com
cdp.c####.uni####.com
co####.uca.c####.####.com
g####.face####.com
pi####.qq.com
s####.mobba####.com
www.google####.com

Запросы HTTP GET:

api.rr####.com/tvapi/checkupdates.php?mac=####&baseVersion=####&currentV...
api.rr####.com:443/tvapi/checkupdates.php?type=####&packagename=####&cur...
api.rr####.com:443/v4/common.php?packagename=####&gpu=####&source=####&l...
api.rr####.com:443/v6/position.php?packagename=####&gpu=####&source=####...
u####.v.bsc####.cn:443/2.0/kyx_data_UC1476.dat

Запросы HTTP POST:

and####.b####.qq.com/rqd/async
co####.uca.c####.####.com:443/
pi####.qq.com/mstat/report/?index=####
prd-le####.cdp.inte####.####.com:443/v1/events

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.hptc.cache_ngofthehill.adp
/data/data/####/.verify
/data/data/####/Access_Preferences.xml
/data/data/####/AppEventsLogger.persistedevents
/data/data/####/LocationSDK.xml
/data/data/####/TrineaAndroidCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/adpsdk.apk
/data/data/####/adpsdk.dex
/data/data/####/adpsdk.dex.flock (deleted)
/data/data/####/bizlog_dao.db-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/checkupdate
/data/data/####/cn.sirius.adpsdk.loader.apk
/data/data/####/cn.sirius.adpsdk.loader.dex
/data/data/####/cn.sirius.adpsdk.loader.dex.flock (deleted)
/data/data/####/cn.uc.gamesdk.pref.xml
/data/data/####/com.facebook.sdk.appEventPreferences.xml
/data/data/####/com.facebook.sdk.attributionTracking.xml
/data/data/####/com.onetongames.kingofthehill.adp.v2.playerprefs.xml
/data/data/####/com.onetongames.kingofthehill.adp.v2.playerprefs.xml.bak
/data/data/####/com.onetongames.kingofthehill.adp_preferences.x...leted)
/data/data/####/com.onetongames.kingofthehill.adp_preferences.xml
/data/data/####/com.onetongames.kingofthehill.adp_preferences.xml.bak
/data/data/####/device_id.xml.xml
/data/data/####/dex.dex
/data/data/####/dex.dex.flock (deleted)
/data/data/####/dex.jar
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/kyx_build.xml
/data/data/####/lib_ucsdk_softlink.so
/data/data/####/lib_ucsdk_xcrypt.so
/data/data/####/libnfix.so
/data/data/####/libshellc.so (deleted)
/data/data/####/libshellc.so.flock (deleted)
/data/data/####/libtencentloc.so
/data/data/####/libtencentloca.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/md5
/data/data/####/metrics_guid
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/mix.so.flock (deleted)
/data/data/####/native_record_lock
/data/data/####/ownad-journal
/data/data/####/pack
/data/data/####/pri_tencent_analysis.db_com.onetongames.kingoft...ournal
/data/data/####/proc_auxv
/data/data/####/security_info
/data/data/####/tencent_analysis.db_com.onetongames.kingofthehi...ournal
/data/data/####/update
/data/data/####/version
/data/data/####/version.ini
/data/media/####/.nomedia
/data/media/####/.rwtest
/data/media/####/583bd78ba5a9544a2867e981a93f264c
/data/media/####/config
/data/media/####/debug_2022100211.preload.log
/data/media/####/e
/data/media/####/g
/data/media/####/main.62.com.onetongames.kingofthehill.adp.obb
/data/media/####/s
/data/media/####/values
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

libBugly
lib_ucsdk_softlink
lib_ucsdk_xcrypt
libmain
libshellx-2.9.0.2
libtencentloca

Использует следующие алгоритмы для шифрования данных:

AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней