Android.Triada.5600

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Triada.578.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) fw.j####.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) cms.fuguiz####.cn:80
TCP(HTTP/1.1) sdk.juliyue####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) w####.fuguiz####.cn:80
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) sf3-fe####.pglstat####.com.####.com:443
TCP(TLS/1.0) 64.2####.164.94:443
TCP(TLS/1.0) ec####.b####.com:443
TCP(TLS/1.0) elu.juliyue####.com:443
TCP(TLS/1.0) to####.ctobsn####.com.####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) sdk.juliyue####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) c####.baidust####.com.####.com:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) a####.pos.b####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) ki####.juliyue####.com:443
TCP(TLS/1.0) wn.pos.b####.com:443
TCP(TLS/1.0) pos.b####.com:443
TCP(TLS/1.0) vod####.ip####.q####.####.com:443
TCP(TLS/1.0) is.sn####.com.####.com:443
TCP(TLS/1.0) bgp.netarch####.l.####.net:443
TCP(TLS/1.2) 1####.177.14.104:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP(TLS/1.2) 64.2####.164.113:443
TCP(TLS/1.2) and####.google####.com:443
UDP pla####.google####.com:443

Запросы DNS:

a####.juliyue####.com
a####.man.aliy####.com
a####.pos.b####.com
and####.b####.qq.com
and####.google####.com
android####.go####.com
c####.baidust####.com
cdn.juliyue####.com
cms.fuguiz####.cn
dig.b####.net
ec####.b####.com
elu.juliyue####.com
fw.j####.com
gmscomp####.google####.com
ip.adi####.net
ip.ta####.com
is.sn####.com
ki####.juliyue####.com
l####.cdn.bc####.com
log.u####.com
p####.google####.com
pla####.google####.com
plb####.u####.com
pos.b####.com
rr2---s####.g####.com
s####.adi####.net
s####.serv####.moz####.com
sdk.juliyue####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
to####.ctobsn####.com
u####.u####.com
w####.fuguiz####.cn
wn.pos.b####.com
www.gst####.com

Запросы HTTP GET:

bgp.netarch####.l.####.net:443/q?host=####&aid=####
cms.fuguiz####.cn/Plugins/ZKEACMS.Article/Content/Article.css?v=####
cms.fuguiz####.cn/Plugins/ZKEACMS.Shop/Content/shop.min.css?v=####
cms.fuguiz####.cn/Plugins/ZKEACMS.Shop/Scripts/ZKEACMS.Basket.min.js?v=#...
cms.fuguiz####.cn/article/detail/wzrylpyszc.html
cms.fuguiz####.cn/css/site.min.css?v=####
cms.fuguiz####.cn/favicon.ico
cms.fuguiz####.cn/js/EasyPlug/Css/Easy.min.css?v=####
cms.fuguiz####.cn/js/EasyPlug/Easy.min.js?v=####
cms.fuguiz####.cn/lib/bootstrap/dist/css/bootstrap-theme.min.css
cms.fuguiz####.cn/lib/bootstrap/dist/css/bootstrap.min.css
cms.fuguiz####.cn/lib/bootstrap/dist/js/bootstrap.min.js?v=####
cms.fuguiz####.cn/lib/jquery/dist/jquery.min.js?v=####
cms.fuguiz####.cn/themes/Default/css/Theme.min.css?v=####
def####.duals####.cn.####.com:443/bar/get/5bcd3cf2f1f556b50900024c/?pcv=...
na61-####.wagbr####.ali####.####.com/service/getIpInfo.php?ip=####
na61-####.wagbr####.ali####.####.com/service/getIpInfo2.php?ip=####
sdk.juliyue####.com/api/ad/ad/sendDeviceInfo
sdk.juliyue####.com/dspapi/ad/event/report?a=####&at=####&d=####&fu=####...
sdk.juliyue####.com/dspapi/ad/getH5Ad?inClient=1&product=30490&ad_channa...
sdk.juliyue####.com/extra/a/e/r?a=####&at=####&d=####&fu=####&h=####&i=#...
sdk.juliyue####.com/extra/information/getInformation?positionId=####&acc...
sdk.juliyue####.com/extra/information/list?acc=####
sdk.juliyue####.com:443/ip/refresh?ts=####&sign=####&doi=####&adshow=###...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/0b9824/i...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/0b9824/v...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/package....
to####.ctobsn####.com.####.com:443/service/2/app_alert_check/?aid=####&d...

Запросы HTTP POST:

adash####.man.aliy####.com/man/api?ak=####&s=####
and####.b####.qq.com/rqd/async?aid=####
fw.j####.com/api/AdvControl/ListAdvs
fw.j####.com/api/ScreenCAP/IsVipDataV2
is.sn####.com.####.com:443/api/ad/union/sdk/settings/
plb####.u####.com:443/umpx_internal
plb####.u####.com:443/umpx_share
to####.ctobsn####.com.####.com:443/service/2/app_log/?device_platform=##...
to####.ctobsn####.com.####.com:443/service/2/device_register_only/?aid=#...
to####.ctobsn####.com.####.com:443/service/2/log_settings/?device_platfo...
u####.u####.com:443/unify_logs
w####.fuguiz####.cn/api/AgreementByChannel/ProductAgreement

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/00335725f75c015c_0
/data/data/####/04887bb6f492331d_0
/data/data/####/04887bb6f492331d_1
/data/data/####/051c6b662fe8a876_0
/data/data/####/0595448e0dd20043_0
/data/data/####/0a6b7ee9085139fa_0
/data/data/####/0a95ad9ad1c08b1c_0
/data/data/####/0c966d644335b2c2_0
/data/data/####/0ec0874078a15a47_0 (deleted)
/data/data/####/1004
/data/data/####/11a3f3e6571b0c54_0
/data/data/####/15c80257a70dc268_0
/data/data/####/1820ff6b1bd5c0b2_0
/data/data/####/1843d9c525eb95e8_0
/data/data/####/190eec4a1ae9e9cd_0
/data/data/####/19fb7044100f8976_0
/data/data/####/19fb7044100f8976_1
/data/data/####/1c5a85c73af503f0_0
/data/data/####/1c8520d84adc3854_0
/data/data/####/1c8520d84adc3854_1
/data/data/####/1d6b185c2ff94960_0
/data/data/####/1d6b185c2ff94960_1
/data/data/####/1df8bfb02e86ad2b_0
/data/data/####/1f4bd00464fbed6e_0
/data/data/####/1f4bd00464fbed6e_1
/data/data/####/224937b3ce6ca79e_0
/data/data/####/27ad494ebb03d3e3_0
/data/data/####/27ad494ebb03d3e3_1
/data/data/####/2c44594bee34b59b_0
/data/data/####/2c44594bee34b59b_1
/data/data/####/2d719a328f6c7b8b_0
/data/data/####/2ec33e4a6707f975_0
/data/data/####/2ec33e4a6707f975_1
/data/data/####/34fbff076a8ffa94_0
/data/data/####/37caf21acc5aa977_0
/data/data/####/3dd83226bda0ea47_0
/data/data/####/40805.dat
/data/data/####/47d8ae3e9cf813a9_0
/data/data/####/48fd89716426b6d2_0
/data/data/####/4a420c7ea520dda4_0
/data/data/####/4cd58e8057e524be_0
/data/data/####/4cf019d45cdb4ae5_0
/data/data/####/4cf019d45cdb4ae5_1
/data/data/####/4d6be5c9f99eb0ad_0
/data/data/####/4d6be5c9f99eb0ad_1
/data/data/####/4ede4677b1155b96_0
/data/data/####/4ede4677b1155b96_1
/data/data/####/504d70b76cccca89_0
/data/data/####/510ccb34ba246832_0
/data/data/####/518fc69bd53bc049_0 (deleted)
/data/data/####/52b29f2e90bce233_0
/data/data/####/52b29f2e90bce233_1
/data/data/####/55f49601df5ecc66_0
/data/data/####/55f49601df5ecc66_1
/data/data/####/565ebd71c59086ac_0
/data/data/####/5678aee01e519ea6_0
/data/data/####/5cab3fce0dbfa1f1_0
/data/data/####/60219374876f0db0_0
/data/data/####/69acff109e4c6758_0
/data/data/####/69acff109e4c6758_1
/data/data/####/6c475a76b9e1bbcf_0
/data/data/####/6d120a9168e1c6d4_0
/data/data/####/6d120a9168e1c6d4_1
/data/data/####/6e045f2d1415aad6_0
/data/data/####/702d132ee9a6cd48_0
/data/data/####/702d132ee9a6cd48_1
/data/data/####/72a71f9ce2621809_0
/data/data/####/72a71f9ce2621809_1
/data/data/####/76e11cfb1fbba6b6_0
/data/data/####/7a07faac563065f3_0
/data/data/####/7d2cd038a5571060_0
/data/data/####/81b14b1aa8c5b1fe_0
/data/data/####/84fea47e29a05023_0
/data/data/####/84fea47e29a05023_1
/data/data/####/896bf3b580d16ee1_0
/data/data/####/9c3d3fffb118c59c_0
/data/data/####/9c8dd5c7bf0e419e_0
/data/data/####/9d36b89275ed81af_0
/data/data/####/9eb4261147d61d38_0
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a3dee47c1f02db5f_0
/data/data/####/a6229d433fe951ed_0
/data/data/####/a93b2de9db4a2347_0
/data/data/####/aa35d7ce1e4e2fde_0
/data/data/####/ab273c4574d696dd_0
/data/data/####/ab409a4b73995763_0
/data/data/####/b3a343b23921ba20_0
/data/data/####/bb45644cbd9d8292_0
/data/data/####/bb45644cbd9d8292_1
/data/data/####/bbcc2e967e1291b9_0
/data/data/####/bbcc2e967e1291b9_1
/data/data/####/bc2b928845618b78_0
/data/data/####/bcf1dbdc09cb48eb_0
/data/data/####/bcf1dbdc09cb48eb_1
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bf2354821636abb2_0
/data/data/####/bf2354821636abb2_1
/data/data/####/bf736b01b6022f9a_0
/data/data/####/bf736b01b6022f9a_1
/data/data/####/bugly_db_-journal
/data/data/####/bytedance_downloader.db-journal
/data/data/####/c4d193b757e9f993_0
/data/data/####/c4e907f14aa04a42_0
/data/data/####/cc552cebee2c6ac2_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.oat
/data/data/####/com.jywz.recorder_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/d1bb19afc756ffc1_0
/data/data/####/d3055b8d9f1a7750_0
/data/data/####/d6cc201826f0bf9c_0
/data/data/####/d6cc201826f0bf9c_1
/data/data/####/d80287ba92372d9f_0
/data/data/####/dW1weF9pbnRlcm5hbF8xNzE5ODkzNzg3NzQz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNzE5ODkzNzgyMzIz;
/data/data/####/dW1weF9zaGFyZV8xNzE5ODkzNzg4ODAx;
/data/data/####/dW1weF9zaGFyZV8xNzE5ODkzNzg5MDEy;
/data/data/####/dab80220259cdd08_0
/data/data/####/df3bc1bda881e78a_0
/data/data/####/e77658ff5deba513_0
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2fb7aceaece5b42_0
/data/data/####/f3de6306ffc51727_0
/data/data/####/f75aea258b9949eb_0
/data/data/####/httpdns_config_cache.xml
/data/data/####/https_elu.juliyuemeng.com_0.localstorage-journal
/data/data/####/i==1.2.0&&3.0.0_1719893782483_envelope.log
/data/data/####/ibkad_config.xml
/data/data/####/ibkad_config.xml.bak
/data/data/####/index
/data/data/####/info.xml
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/proc_auxv
/data/data/####/record.xml
/data/data/####/record.xml.bak
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/snssdk_openudid.xml
/data/data/####/the-real-index
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/udesk_sdk.xml
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/media/####/0da9f9cfd00481a6a2b9cd9643a9cdcb
/data/media/####/0da9f9cfd00481a6a2b9cd9643a9cdcb.tmp
/data/media/####/289e799461e13d8c916ccc07d488a069
/data/media/####/5060a872ca2f9f7465f426e4451dc21d.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/clientudid.dat
/data/media/####/temp_pkg_info.json
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
busybox ifconfig
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

libjiagu
libnms
librealm-jni
libtobEmbedEncrypt

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней