Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.372.origin
Перехватывает входящие SMS и прекращает процесс их передачи обработчикам других приложений.
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(SSL/3.0) pri####.trustco####.net:443
- TCP(SSL/3.0) try.abt####.com:443
- TCP(SSL/3.0) cdn.ad####.fr:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) pri####.trustco####.net:443
- TCP(TLS/1.0) c####.jq####.com:443
- TCP(TLS/1.0) t.content####.net:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) logs####.x####.com:443
- TCP(TLS/1.0) 2-01-2d####.cdx.ced####.net:443
- TCP(TLS/1.0) 1####.217.20.110:443
- TCP(TLS/1.0) cdn.ad####.fr:443
- TCP(TLS/1.0) www.lap####.fr:443
- TCP(TLS/1.0) m####.google####.com:443
- TCP(TLS/1.0) actorss####.k####.com:443
- TCP(TLS/1.0) try.abt####.com:443
Запросы DNS:
- actorss####.k####.com
- and####.cli####.go####.com
- c####.jq####.com
- cdn.ad####.fr
- cdn.tagcomm####.com
- cdn.trustco####.net
- logs####.x####.com
- m####.google####.com
- pri####.trustco####.net
- s####.club
- t.content####.net
- try.abt####.com
- www.googlet####.com
- www.lap####.fr
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/f_000026
- /data/data/####/f_000027
- /data/data/####/f_000028
- /data/data/####/index
- /data/data/####/mybank.xml
- /data/data/####/mycode.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.t.n.g.bk.JVA
Загружает динамические библиотеки:
- msy
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
