Android.Triada.5518

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.584.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) i.ia####.com:80
TCP(TLS/1.0) tpc.googles####.com:443
TCP(TLS/1.0) tbsreco####.i####.qq.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) duckbil####.xyz:443
TCP(TLS/1.0) 0ab48ba####.safef####.googles####.com:443
TCP(TLS/1.0) 1####.194.221.95:443
TCP(TLS/1.0) securep####.g.doublec####.net:443
TCP(TLS/1.0) new-####.u####.com:443
TCP(TLS/1.0) adser####.go####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) er####.u####.com.####.com:443
TCP(TLS/1.0) l####.tbs.qq.com:443
TCP(TLS/1.0) d####.h####.com:16355
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) pag####.googles####.com:443
TCP(TLS/1.2) 1####.250.150.101:443
TCP(TLS/1.2) 2####.85.233.94:443
TCP(TLS/1.2) md####.google####.com:443
TCP(TLS/1.2) 1####.177.14.113:443
UDP md####.google####.com:443

Запросы DNS:

0ab48ba####.safef####.googles####.com
a####.u####.com
ad066b0####.safef####.googles####.com
adser####.go####.com
cd1ee9d####.safef####.googles####.com
d####.h####.com
df90eb6####.safef####.googles####.com
duckbil####.xyz
e2a2c1c####.safef####.googles####.com
er####.u####.com
ffc9172####.safef####.googles####.com
i.ia####.com
l####.tbs.qq.com
md####.google####.com
pag####.googles####.com
securep####.g.doublec####.net
tbsreco####.i####.qq.com
tpc.googles####.com
u####.u####.com
www.go####.com

Запросы HTTP GET:

duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/bgm.ogg
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/opening/k...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/opening/o...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/back...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/conn...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/crea...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/cut....
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/fanf...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/forw...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/stat...
duckbil####.xyz:443/huawei/hwgame/game/DrawOneLine/media/audio/play/test...

Запросы HTTP POST:

d####.h####.com:16355/3k7ugi/
er####.u####.com.####.com:443/api/crashsdk/logcollect?chk=####&vno=####&...
er####.u####.com.####.com:443/apm_cc
i.ia####.com/ms/ams
l####.tbs.qq.com:443/ajax?c=####&v=####&k=####
new-####.u####.com:443/api/postZdata
tbsreco####.i####.qq.com:443/getconfig
u####.u####.com:443/unify_logs
u####.u####.com:443/zcfg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.fsgkea
/data/data/####/.imprint
/data/data/####/.jg.ac
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_cf
/data/data/####/.jg.store.report_pid
/data/data/####/04f1a715f0563f28_0
/data/data/####/08232e20ab4ccfae_0
/data/data/####/08e0ba9d385a6656_0
/data/data/####/0beeb374fc916784_0
/data/data/####/0c55fa12b954ccd9_0
/data/data/####/0e91deac987a0042_0
/data/data/####/0e9ecd6af35e47bf_0
/data/data/####/14df251218f8f21c_0
/data/data/####/159c60cc789b06ec_0
/data/data/####/159c60cc789b06ec_1
/data/data/####/15cdc463588299b6_0
/data/data/####/1ae97116a53313a0_0
/data/data/####/1c21753374b83d7d_0
/data/data/####/201875fbe97a9a65_0
/data/data/####/21ef44c2b8efedaa_0
/data/data/####/23233a5ab18598bf_0
/data/data/####/26ba2c58c62be354_0
/data/data/####/26ba2c58c62be354_1
/data/data/####/288d3202a9a3197d_0
/data/data/####/2e93003bdab611c9_0
/data/data/####/31d5970e8be54f04_0
/data/data/####/31d5970e8be54f04_1
/data/data/####/35f1ef790d322f45_0
/data/data/####/367fca0d2307aefd_0
/data/data/####/3b1649ef4171dd70_0
/data/data/####/3cc961d50eda9232_0
/data/data/####/3dd5f306069f09bc_0
/data/data/####/40c4015236643bd4_0
/data/data/####/419419a44cbb6a18_0
/data/data/####/4302d15c190b0aee_0
/data/data/####/445f7d33a0a68222_0
/data/data/####/481f02ef83327e9b_0
/data/data/####/4893a14f715deb76_0
/data/data/####/49060535641f2f7e_0
/data/data/####/494e85a066ff8362_0
/data/data/####/494e85a066ff8362_1
/data/data/####/49cf50290c47c80f_0
/data/data/####/49cf50290c47c80f_1
/data/data/####/4b1ddda2e160a3f8_0
/data/data/####/4ff220d6c813348e_0
/data/data/####/50b43d80776b47c0_0
/data/data/####/51740a510ae1b5a6_0
/data/data/####/51c2720b212f658d_0
/data/data/####/52d8f92e20c17752_0
/data/data/####/54cfd44faced3f16_0
/data/data/####/599489fcb5687eb7_0
/data/data/####/599489fcb5687eb7_1
/data/data/####/5a5eb33aa801a084_0
/data/data/####/5b136fb3aab10f31_0
/data/data/####/609b82afeae09734_0
/data/data/####/6835d87674b39c7c_0
/data/data/####/6d23e7342cc58d47_0
/data/data/####/6d23e7342cc58d47_1
/data/data/####/71d8fe740cccffde_0
/data/data/####/73449e32a36976f7_0
/data/data/####/73e1f4faa4c3e91b_0
/data/data/####/75d02ffa8a209ba0_0
/data/data/####/75d02ffa8a209ba0_1
/data/data/####/7850de4a9184b320_0
/data/data/####/791c2436501182d2_0
/data/data/####/801e72a2feeb3186_0
/data/data/####/81188d808b44f384_0
/data/data/####/8122ae313faaea5d_0
/data/data/####/81c15c882b1db6e4_0
/data/data/####/8c4cba2e9155d9b8_0
/data/data/####/8dfc0a63ecb17904_0
/data/data/####/913409fd2908710d_0
/data/data/####/914e1fdf5ff0632e_0
/data/data/####/92816ef8b65d597f_0
/data/data/####/92816ef8b65d597f_1
/data/data/####/9406bb6ba6ab4700_0
/data/data/####/9a06d1ce4a6b11a5_0
/data/data/####/CHLfVtqJjCYW (deleted)
/data/data/####/Cookies-journal
/data/data/####/IEWAUH0GCC0JKYK0MOC.st
/data/data/####/Llyk.xml
/data/data/####/Qkyb.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/Y29uZmlnXzY0NWNiMGUxYmE2YTUyNTljNDRlZGNiYg.sp
/data/data/####/Y29uZmlnXzY0NWNiMGUxYmE2YTUyNTljNDRlZGNiYg.sp.bak
/data/data/####/a51bb6e5f2496cb5_0
/data/data/####/a51bb6e5f2496cb5_1
/data/data/####/a730f3d4cedda210_0
/data/data/####/a819d1adbda21f93_0
/data/data/####/a88025a4b4d923d8_0
/data/data/####/a88025a4b4d923d8_1
/data/data/####/a9026c4328601f6b_0
/data/data/####/a9eb85df92f1231f_0
/data/data/####/a9eb85df92f1231f_1
/data/data/####/aca5da9f80ad4f89_0
/data/data/####/aca5da9f80ad4f89_1
/data/data/####/ae7cc6e42bd9388b_0
/data/data/####/ae912bbf0fd0d209_0
/data/data/####/af07ddb8d3ed0be9_0
/data/data/####/b419772bc75d5c6a_0
/data/data/####/b6d95ed37dc2da4f_0
/data/data/####/ba7a496a895183fe_0
/data/data/####/bbbc39a44a508d31_0
/data/data/####/bbf99778efe9155f_0
/data/data/####/c70f46af6428ceb3_0
/data/data/####/c7c58e451b8a0078_0
/data/data/####/c81874b65f16f4f3_0
/data/data/####/c8ca07b815e682c7_0
/data/data/####/c92b9264cb57c93d_0
/data/data/####/c92b9264cb57c93d_1
/data/data/####/cce6b655eea94fc1_0
/data/data/####/cd4556e51e95f6f5_0
/data/data/####/cdt.wa
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.oat
/data/data/####/code_info
/data/data/####/com.kykj.ccg.huawei.v2.playerprefs.xml
/data/data/####/com.kykj.ccg.huawei_preferences.xml
/data/data/####/config_info_def.xml
/data/data/####/cr.wa
/data/data/####/d131bbc4b2216210_0
/data/data/####/d620eb5b0d683220_0
/data/data/####/d65b9d2febcb2152_0
/data/data/####/d801c068af6dbd0b_0
/data/data/####/d9a15e0b0c1aaa07_0
/data/data/####/debug.conf
/data/data/####/dt.wa
/data/data/####/e45a1c97f8d3cfe6_0
/data/data/####/e4c7e2931cd72909_0
/data/data/####/e8ca60ed9d4f9eb3_0
/data/data/####/e9515c694bede7e8_0
/data/data/####/ea6c5edb83c77b35_0
/data/data/####/eb4f15bb7943c9ac_0
/data/data/####/ef016870c2f91bd4_0
/data/data/####/ef37d4b3278d9f59_0
/data/data/####/ef37d4b3278d9f59_1
/data/data/####/efs_launch.xml
/data/data/####/efsid3677
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f0b924863cbe0d3a_0
/data/data/####/f13f71edbdf3931b_0
/data/data/####/f21c928b026c4741_0 (deleted)
/data/data/####/f2d88e7c8f3418e1_0
/data/data/####/f33611d06ec39b85_0
/data/data/####/f33611d06ec39b85_1
/data/data/####/f355273dbaf68fbb_0
/data/data/####/f360cd865188ba7d_0
/data/data/####/f6fba8ee2d642832_0
/data/data/####/f7f6ebae035a36d1_0
/data/data/####/f987a0a18b510bcc_0
/data/data/####/f987a0a18b510bcc_1
/data/data/####/f98cfc0b9493adb0_0
/data/data/####/fa5c77bf3acbbea0_0
/data/data/####/fb28bd7d6f091447_0
/data/data/####/fb28bd7d6f091447_1
/data/data/####/fd90b5c34e52220f_0
/data/data/####/fd90b5c34e52220f_1
/data/data/####/fea774cb26127549_0
/data/data/####/https_duckbillgames.xyz_0.localstorage-journal
/data/data/####/i==1.2.0&&2.4.0_1684819516101_dW5pZnlfbG9ncw==;.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/paconfig.sp
/data/data/####/paconfig.sp.bak
/data/data/####/prefs.lock
/data/data/####/proc_auxv
/data/data/####/sai.xml
/data/data/####/sendlock
/data/data/####/sp_Lvcye.xml
/data/data/####/sp_Lvcye.xml.bak
/data/data/####/sp_replace_flag.sp
/data/data/####/sp_replace_flag.sp.bak
/data/data/####/t==9.4.0&&2.4.0_1684819516215_dW5pZnlfbG9ncw==;.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_emergence.xml
/data/data/####/tbs_preloadx5_check_cfg_file.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp-index
/data/data/####/the-real-index
/data/data/####/tsui.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/uifa.xml
/data/data/####/um_pri.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/umzid_general_config.xml
/data/data/####/unique
/data/data/####/ver
/data/data/####/wa_gzip_1_1_3677_5126_1684819569063
/data/data/####/wa_none_1_1_3677_843_1684819509057
/data/data/####/z==1.2.0&&2.4.0_1684819507905_emNmZw==;.log
/data/media/####/.Igea
/data/media/####/.nomedia
/data/media/####/Compat.browser
/data/media/####/DefaultWsdlHelpGenerator.aspx
/data/media/####/Fezk
/data/media/####/NSubstitute.dll-resources.dat
/data/media/####/Uox
/data/media/####/browscap.ini
/data/media/####/config
/data/media/####/config.xml
/data/media/####/f1996d18fe6f4f789ad1594b044aa815_tmp (deleted)
/data/media/####/global-metadata.dat
/data/media/####/machine.config
/data/media/####/mscorlib.dll-resources.dat
/data/media/####/settings.map
/data/media/####/tbslog.txt
/data/media/####/web.config
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop ro.product.cpu.abi
ls -l /system/bin/su
ls /
ls /sys/class/thermal
sh -c type su

Загружает динамические библиотеки:

libjiagu
libmain
libnative-lib

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней