Android.Triada.4683

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.SmsSpy.677.origin
Android.Triada.226.origin
Android.Triada.248.origin

Threat detection based on machine learning.

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) l.ace####.com:80
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) zxc####.wann####.com:8200

DNS requests:

a####.u####.com
l.ace####.com
q####.qi1####.com
z####.wann####.com
zxc####.wann####.com

HTTP POST requests:

a####.u####.com/app_logs
l.ace####.com/ando/v1/x/lv?app_id=####&r=####
q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
zxc####.wann####.com:8200/qy/acceptSdkFileReq

File system changes:

Creates the following files:

/data/data/####/.imprint
/data/data/####/0.png
/data/data/####/1.png
/data/data/####/10.png
/data/data/####/100.png
/data/data/####/101.png
/data/data/####/106.jpg
/data/data/####/107.png
/data/data/####/11.png
/data/data/####/113.png
/data/data/####/115.jpg
/data/data/####/118.jpg
/data/data/####/12.png
/data/data/####/129.png
/data/data/####/13.png
/data/data/####/14.png
/data/data/####/142.jpg
/data/data/####/15.png
/data/data/####/158.jpg
/data/data/####/16.png
/data/data/####/161.png
/data/data/####/162.png
/data/data/####/163.png
/data/data/####/164.png
/data/data/####/165.png
/data/data/####/166.png
/data/data/####/167.png
/data/data/####/168.png
/data/data/####/169.png
/data/data/####/17.png
/data/data/####/170.png
/data/data/####/171.png
/data/data/####/177.png
/data/data/####/178.png
/data/data/####/179.jpg
/data/data/####/18.png
/data/data/####/180.png
/data/data/####/181.png
/data/data/####/182.jpg
/data/data/####/183.png
/data/data/####/184.png
/data/data/####/185.png
/data/data/####/186.png
/data/data/####/187.png
/data/data/####/188.png
/data/data/####/189.png
/data/data/####/19.png
/data/data/####/190.png
/data/data/####/191.png
/data/data/####/192.png
/data/data/####/193.png
/data/data/####/194.png
/data/data/####/195.png
/data/data/####/196.png
/data/data/####/196b.png
/data/data/####/197.png
/data/data/####/198.png
/data/data/####/199.png
/data/data/####/2.jpg
/data/data/####/200.png
/data/data/####/201.png
/data/data/####/202.png
/data/data/####/203.png
/data/data/####/204.png
/data/data/####/205.png
/data/data/####/206.jpg
/data/data/####/207.png
/data/data/####/208.png
/data/data/####/209.png
/data/data/####/210.png
/data/data/####/211.png
/data/data/####/212.png
/data/data/####/213.png
/data/data/####/214.png
/data/data/####/215.png
/data/data/####/216.png
/data/data/####/217.png
/data/data/####/218.png
/data/data/####/219.png
/data/data/####/220.png
/data/data/####/221.jpg
/data/data/####/222.png
/data/data/####/222b.png
/data/data/####/223.png
/data/data/####/236.jpg
/data/data/####/243.jpg
/data/data/####/244.png
/data/data/####/245.png
/data/data/####/246.png
/data/data/####/247.png
/data/data/####/248.png
/data/data/####/249.png
/data/data/####/250.png
/data/data/####/251.png
/data/data/####/252.png
/data/data/####/253.png
/data/data/####/254.png
/data/data/####/255.png
/data/data/####/256.png
/data/data/####/257.png
/data/data/####/258.png
/data/data/####/259.png
/data/data/####/26.png
/data/data/####/260.png
/data/data/####/261.png
/data/data/####/262.png
/data/data/####/263.png
/data/data/####/264.png
/data/data/####/265.png
/data/data/####/266.png
/data/data/####/267.png
/data/data/####/268.png
/data/data/####/269.png
/data/data/####/27.png
/data/data/####/270.png
/data/data/####/271.png
/data/data/####/272.bin
/data/data/####/272.png
/data/data/####/273.png
/data/data/####/274.png
/data/data/####/275.png
/data/data/####/276.bin
/data/data/####/276.png
/data/data/####/277.png
/data/data/####/278.png
/data/data/####/279.png
/data/data/####/28.png
/data/data/####/280.bin
/data/data/####/280.png
/data/data/####/281.png
/data/data/####/282.png
/data/data/####/283.png
/data/data/####/284.bin
/data/data/####/284.png
/data/data/####/285.png
/data/data/####/286.png
/data/data/####/287.png
/data/data/####/288.bin
/data/data/####/288.png
/data/data/####/289.png
/data/data/####/29.png
/data/data/####/290.png
/data/data/####/291.png
/data/data/####/292.png
/data/data/####/293.png
/data/data/####/3.png
/data/data/####/30.png
/data/data/####/307.png
/data/data/####/308.png
/data/data/####/309.png
/data/data/####/31.png
/data/data/####/310.png
/data/data/####/311.png
/data/data/####/312.png
/data/data/####/313.png
/data/data/####/314.png
/data/data/####/315.png
/data/data/####/316.png
/data/data/####/317.png
/data/data/####/318.png
/data/data/####/319.png
/data/data/####/32.png
/data/data/####/320.png
/data/data/####/321.png
/data/data/####/322.png
/data/data/####/323.png
/data/data/####/324.png
/data/data/####/327.png
/data/data/####/328.png
/data/data/####/329.png
/data/data/####/330.png
/data/data/####/330b.png
/data/data/####/331.png
/data/data/####/332.png
/data/data/####/333.png
/data/data/####/334.png
/data/data/####/335.png
/data/data/####/336.png
/data/data/####/337.png
/data/data/####/338.png
/data/data/####/339.png
/data/data/####/34.png
/data/data/####/340.png
/data/data/####/341.png
/data/data/####/342.png
/data/data/####/344.png
/data/data/####/345.png
/data/data/####/346.png
/data/data/####/347.png
/data/data/####/348.png
/data/data/####/349.png
/data/data/####/35.png
/data/data/####/350.png
/data/data/####/351.png
/data/data/####/352.png
/data/data/####/353.png
/data/data/####/354.png
/data/data/####/355.png
/data/data/####/356.png
/data/data/####/357.png
/data/data/####/358.png
/data/data/####/359.png
/data/data/####/36.png
/data/data/####/360.png
/data/data/####/361.png
/data/data/####/37.png
/data/data/####/39.png
/data/data/####/4.png
/data/data/####/40.png
/data/data/####/41.png
/data/data/####/42.png
/data/data/####/43.png
/data/data/####/44.png
/data/data/####/45.png
/data/data/####/46.png
/data/data/####/47.png
/data/data/####/48.png
/data/data/####/49.png
/data/data/####/5.png
/data/data/####/50.png
/data/data/####/53.bin
/data/data/####/53.png
/data/data/####/54.bin
/data/data/####/54.png
/data/data/####/55.png
/data/data/####/56.png
/data/data/####/57.png
/data/data/####/58.png
/data/data/####/59.png
/data/data/####/6.png
/data/data/####/60.png
/data/data/####/61.png
/data/data/####/62.png
/data/data/####/63.png
/data/data/####/64.png
/data/data/####/65.png
/data/data/####/67.png
/data/data/####/68.png
/data/data/####/69.png
/data/data/####/7.png
/data/data/####/70.png
/data/data/####/71.png
/data/data/####/72.png
/data/data/####/74.png
/data/data/####/75.png
/data/data/####/76.png
/data/data/####/79.png
/data/data/####/7Cg8FIEh-J6xfO3wPmrQrw==
/data/data/####/8.png
/data/data/####/80.png
/data/data/####/81.jpg
/data/data/####/82.png
/data/data/####/83.png
/data/data/####/84.png
/data/data/####/85.png
/data/data/####/86.png
/data/data/####/87.png
/data/data/####/9.jpg
/data/data/####/92.png
/data/data/####/93.png
/data/data/####/94.png
/data/data/####/95.png
/data/data/####/96.png
/data/data/####/97.png
/data/data/####/98.png
/data/data/####/99.png
/data/data/####/9WH819e-yyuwolAEb5sqsw==.new
/data/data/####/A_daiji01.png
/data/data/####/A_daiji02.png
/data/data/####/A_daiji03.png
/data/data/####/A_daiji04.png
/data/data/####/A_daiji05.png
/data/data/####/A_paobu01.png
/data/data/####/A_paobu02.png
/data/data/####/A_paobu03.png
/data/data/####/A_paobu04.png
/data/data/####/A_paobu05.png
/data/data/####/A_paobu06.png
/data/data/####/A_paobu07.png
/data/data/####/A_paobu08.png
/data/data/####/A_paobu09.png
/data/data/####/A_paobu10.png
/data/data/####/A_paobu11.png
/data/data/####/A_paobu12.png
/data/data/####/A_sheji01.png
/data/data/####/A_sheji02.png
/data/data/####/A_sheji03.png
/data/data/####/A_sheji04.png
/data/data/####/A_sheji05.png
/data/data/####/A_sheji06.png
/data/data/####/A_sheji07.png
/data/data/####/A_sheji08.png
/data/data/####/A_sheji09.png
/data/data/####/A_sheji10.png
/data/data/####/A_siwang01.png
/data/data/####/A_siwang02.png
/data/data/####/A_siwang03.png
/data/data/####/A_siwang04.png
/data/data/####/A_siwang05.png
/data/data/####/A_siwang06.png
/data/data/####/A_siwang07.png
/data/data/####/A_siwang08.png
/data/data/####/Alvin2.xml
/data/data/####/B_daiji01.png
/data/data/####/B_daiji02.png
/data/data/####/B_daiji03.png
/data/data/####/B_daiji04.png
/data/data/####/B_daiji05.png
/data/data/####/B_paobu01.png
/data/data/####/B_paobu02.png
/data/data/####/B_paobu03.png
/data/data/####/B_paobu04.png
/data/data/####/B_paobu05.png
/data/data/####/B_paobu06.png
/data/data/####/B_paobu07.png
/data/data/####/B_paobu08.png
/data/data/####/B_paobu09.png
/data/data/####/B_paobu10.png
/data/data/####/B_paobu11.png
/data/data/####/B_paobu12.png
/data/data/####/B_sheji01.png
/data/data/####/B_sheji02.png
/data/data/####/B_sheji03.png
/data/data/####/B_sheji04.png
/data/data/####/B_sheji05.png
/data/data/####/B_sheji06.png
/data/data/####/B_sheji07.png
/data/data/####/B_sheji08.png
/data/data/####/B_sheji09.png
/data/data/####/B_sheji10.png
/data/data/####/B_siwang01.png
/data/data/####/B_siwang02.png
/data/data/####/B_siwang03.png
/data/data/####/B_siwang04.png
/data/data/####/B_siwang05.png
/data/data/####/B_siwang06.png
/data/data/####/B_siwang07.png
/data/data/####/B_siwang08.png
/data/data/####/C_daiji01.png
/data/data/####/C_daiji02.png
/data/data/####/C_daiji03.png
/data/data/####/C_daiji04.png
/data/data/####/C_daiji05.png
/data/data/####/C_paobu01.png
/data/data/####/C_paobu02.png
/data/data/####/C_paobu03.png
/data/data/####/C_paobu04.png
/data/data/####/C_paobu05.png
/data/data/####/C_paobu06.png
/data/data/####/C_paobu07.png
/data/data/####/C_paobu08.png
/data/data/####/C_paobu09.png
/data/data/####/C_paobu10.png
/data/data/####/C_paobu11.png
/data/data/####/C_paobu12.png
/data/data/####/C_sheji01.png
/data/data/####/C_sheji02.png
/data/data/####/C_sheji03.png
/data/data/####/C_sheji04.png
/data/data/####/C_sheji05.png
/data/data/####/C_sheji06.png
/data/data/####/C_sheji07.png
/data/data/####/C_sheji08.png
/data/data/####/C_sheji09.png
/data/data/####/C_sheji10.png
/data/data/####/C_siwang01.png
/data/data/####/C_siwang02.png
/data/data/####/C_siwang03.png
/data/data/####/C_siwang04.png
/data/data/####/C_siwang05.png
/data/data/####/C_siwang06.png
/data/data/####/C_siwang07.png
/data/data/####/C_siwang08.png
/data/data/####/ContextData.xml
/data/data/####/D_daiji01.png
/data/data/####/D_daiji02.png
/data/data/####/D_daiji03.png
/data/data/####/D_daiji04.png
/data/data/####/D_daiji05.png
/data/data/####/D_paobu01.png
/data/data/####/D_paobu02.png
/data/data/####/D_paobu03.png
/data/data/####/D_paobu04.png
/data/data/####/D_paobu05.png
/data/data/####/D_paobu06.png
/data/data/####/D_paobu07.png
/data/data/####/D_paobu08.png
/data/data/####/D_paobu09.png
/data/data/####/D_paobu10.png
/data/data/####/D_paobu11.png
/data/data/####/D_paobu12.png
/data/data/####/D_sheji01.png
/data/data/####/D_sheji02.png
/data/data/####/D_sheji03.png
/data/data/####/D_sheji04.png
/data/data/####/D_sheji05.png
/data/data/####/D_sheji06.png
/data/data/####/D_sheji07.png
/data/data/####/D_sheji08.png
/data/data/####/D_sheji09.png
/data/data/####/D_sheji10.png
/data/data/####/D_siwang01.png
/data/data/####/D_siwang02.png
/data/data/####/D_siwang03.png
/data/data/####/D_siwang04.png
/data/data/####/D_siwang05.png
/data/data/####/D_siwang06.png
/data/data/####/D_siwang07.png
/data/data/####/D_siwang08.png
/data/data/####/E_daiji01.png
/data/data/####/E_daiji02.png
/data/data/####/E_daiji03.png
/data/data/####/E_daiji04.png
/data/data/####/E_daiji05.png
/data/data/####/E_paobu01.png
/data/data/####/E_paobu02.png
/data/data/####/E_paobu03.png
/data/data/####/E_paobu04.png
/data/data/####/E_paobu05.png
/data/data/####/E_paobu06.png
/data/data/####/E_paobu07.png
/data/data/####/E_paobu08.png
/data/data/####/E_paobu09.png
/data/data/####/E_paobu10.png
/data/data/####/E_paobu11.png
/data/data/####/E_paobu12.png
/data/data/####/E_siwang01.png
/data/data/####/E_siwang02.png
/data/data/####/E_siwang03.png
/data/data/####/E_siwang04.png
/data/data/####/E_siwang05.png
/data/data/####/E_siwang06.png
/data/data/####/E_siwang07.png
/data/data/####/E_siwang08.png
/data/data/####/MyGame.db-journal
/data/data/####/X34wQNcUvlowzV92Zllcvw==.new
/data/data/####/a1.bin
/data/data/####/a1.png
/data/data/####/a2.bin
/data/data/####/a2.png
/data/data/####/a3.bin
/data/data/####/a3.png
/data/data/####/a4.bin
/data/data/####/a4.png
/data/data/####/about.png
/data/data/####/addbullet.ogg
/data/data/####/addbullet_after.mp3
/data/data/####/aiyouxi.png
/data/data/####/ak47.ogg
/data/data/####/ak47.png
/data/data/####/ak47_1.png
/data/data/####/armor.png
/data/data/####/arx160.mp3
/data/data/####/arx160.png
/data/data/####/arx160_1.png
/data/data/####/at49.mp3
/data/data/####/at49.png
/data/data/####/at49_1.png
/data/data/####/awp.ogg
/data/data/####/awp.png
/data/data/####/awp_1.png
/data/data/####/b1.bin
/data/data/####/b1.png
/data/data/####/b3.bin
/data/data/####/b3.png
/data/data/####/baidu
/data/data/####/berettam93r.png
/data/data/####/berettam93r_1.png
/data/data/####/boss1.bin
/data/data/####/boss1.png
/data/data/####/boss2.bin
/data/data/####/boss2.png
/data/data/####/boss3.bin
/data/data/####/boss3.png
/data/data/####/boss4.bin
/data/data/####/boss4.png
/data/data/####/button.mp3
/data/data/####/buy_button.ogg
/data/data/####/c2.bin
/data/data/####/c2.png
/data/data/####/c3.bin
/data/data/####/c3.png
/data/data/####/c4.bin
/data/data/####/c4.png
/data/data/####/cancel.mp3
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/changjin_0.mp3
/data/data/####/changjin_2.mp3
/data/data/####/changjin_3.mp3
/data/data/####/cj2_qianmian.png
/data/data/####/config.properties
/data/data/####/d1.bin
/data/data/####/d1.png
/data/data/####/d3.bin
/data/data/####/d3.png
/data/data/####/d4.bin
/data/data/####/d4.png
/data/data/####/daojulibao.png
/data/data/####/dead_a1a2a3a4.ogg
/data/data/####/dead_b1b3.ogg
/data/data/####/dead_c2c3c4.ogg
/data/data/####/dead_d1d3d4.mp3
/data/data/####/dead_e1e3.ogg
/data/data/####/dead_f2f4.mp3
/data/data/####/dead_g1g3g4.mp3
/data/data/####/denglulibao.png
/data/data/####/dialog.bin
/data/data/####/e1.bin
/data/data/####/e1.png
/data/data/####/e3.bin
/data/data/####/e3.png
/data/data/####/equipment.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2.bin
/data/data/####/f2.png
/data/data/####/f4.bin
/data/data/####/f4.png
/data/data/####/fPHMNcH2gHK1Jza1F-hV8g==
/data/data/####/fail.mp3
/data/data/####/feiji.mp3
/data/data/####/file.bin
/data/data/####/flve_seven.png
/data/data/####/flve_seven_1.png
/data/data/####/fmp.mp3
/data/data/####/fmp.png
/data/data/####/fmp_1.png
/data/data/####/font_goumai.png
/data/data/####/font_jinbidalibao.png
/data/data/####/font_lingqu.png
/data/data/####/font_queding.png
/data/data/####/font_wenzigoumai.png
/data/data/####/font_wenziqueding.png
/data/data/####/font_wenziquxiao.png
/data/data/####/g1.bin
/data/data/####/g1.png
/data/data/####/g3.bin
/data/data/####/g3.png
/data/data/####/g4.bin
/data/data/####/g4.png
/data/data/####/getprop
/data/data/####/h1.bin
/data/data/####/h1DxZywV5uNN4KUw
/data/data/####/helper
/data/data/####/icon_qiangshenlibao.png
/data/data/####/icon_xinshoulibao.png
/data/data/####/icon_zhandoulibao.png
/data/data/####/jiantou_big.png
/data/data/####/jiantou_small.png
/data/data/####/jiesuoguanka.png
/data/data/####/jinbilibao.png
/data/data/####/libhelper.so
/data/data/####/libsmsmanager.so
/data/data/####/libzxvps.so
/data/data/####/liudan1.mp3
/data/data/####/liudan2.mp3
/data/data/####/liudan3.mp3
/data/data/####/logo.png
/data/data/####/m249.mp3
/data/data/####/m249.png
/data/data/####/m249_1.png
/data/data/####/m4a1.ogg
/data/data/####/m4a1.png
/data/data/####/m4a1_1.png
/data/data/####/m60.mp3
/data/data/####/m60.png
/data/data/####/m60_1.png
/data/data/####/m82.mp3
/data/data/####/m82.png
/data/data/####/m82_1.png
/data/data/####/m92f.png
/data/data/####/m92f_1.png
/data/data/####/mansuit.png
/data/data/####/menu.mp3
/data/data/####/nPdQ0CFZsREcg033.zip
/data/data/####/name.mp3
/data/data/####/pid
/data/data/####/qianghuo.png
/data/data/####/quanbujiesuo.png
/data/data/####/qy_db_pay-journal
/data/data/####/r0.png
/data/data/####/r1.png
/data/data/####/rdata_comsdmrwefs.new
/data/data/####/renzhi.bin
/data/data/####/renzhi.png
/data/data/####/rmb.jpg
/data/data/####/rwnnwmgt7xe0p6qh.dex
/data/data/####/sdk.xml
/data/data/####/shouqiang.mp3
/data/data/####/siwangfuhuo.png
/data/data/####/tkfuq_f.zip
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/unknown.xml
/data/data/####/vestballistic.png
/data/data/####/win.mp3
/data/data/####/word_3d.mp3
/data/data/####/x1.bin
/data/data/####/x1.png
/data/data/####/x2.bin
/data/data/####/x2.png
/data/data/####/x3.bin
/data/data/####/x3.png
/data/data/####/x4.bin
/data/data/####/x4.png
/data/data/####/xinshoulibao.png
/data/data/####/xm214.mp3
/data/data/####/xm214.png
/data/data/####/xm214_1.png
/data/data/####/z1.bin
/data/data/####/z1.png
/data/data/####/zhandoudalibao.png
/data/data/####/zidan.bin
/data/data/####/zidan.png
/data/data/####/zidanfei.bin
/data/data/####/zidanfei.png
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/device

Miscellaneous:

Executes the following shell scripts:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 777 <Package Folder>/files/_zx_lib/helper
dd if=<Package Folder>/files/_zx_lib/libhelper.so of=<Package Folder>/files/_zx_lib/helper
getprop
ls -l /system/bin/su
sh

Loads the following dynamic libraries:

libhelper
libsmsmanager
libzxvps
wjjy7dz2eo6rtsfd

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-ECB-NoPadding

Accesses the ITelephony private interface.

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Displays its own windows over windows of other apps.

Gets information about sent/received SMS.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial