Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.780.origin
Скрывает свою иконку с экрана.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) drerkbu####.ru:80
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 2####.58.211.106:443
- TCP(TLS/1.0) 1####.217.19.202:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.2) 2####.58.211.106:443
- TCP(TLS/1.2) 1####.217.168.206:443
- TCP(TLS/1.2) 1####.217.19.195:443
- TCP(TLS/1.2) safebro####.google####.com:443
Запросы DNS:
- aagfwye####.cn
- aagfwye####.cn.8.####.8
- abeulxt####.ru
- abeulxt####.ru.8.####.8
- ajanfpi####.ru
- ajanfpi####.ru.8.####.8
- ajmhtba####.com
- ajmhtba####.com.8.####.8
- aksjiig####.cn
- aksjiig####.cn.8.####.8
- anikdus####.cn
- anikdus####.cn.8.####.8
- aoshglo####.com
- aoshglo####.com.8.####.8
- aoyymbo####.ru
- aoyymbo####.ru.8.####.8
- awidwha####.cn
- awidwha####.cn.8.####.8
- bdbcohx####.ru
- bdbcohx####.ru.8.####.8
- bdsmdnc####.cn
- bdsmdnc####.cn.8.####.8
- bgjxgfu####.com
- bgjxgfu####.com.8.####.8
- bhllodt####.ru
- bhllodt####.ru.8.####.8
- bjqhxhq####.cn
- bjqhxhq####.cn.8.####.8
- brkkffv####.ru
- brkkffv####.ru.8.####.8
- brkolex####.com
- brkolex####.com.8.####.8
- btxalmp####.com
- btxalmp####.com.8.####.8
- bwyhjkl####.cn
- bwyhjkl####.cn.8.####.8
- bykstpn####.cn
- bykstpn####.cn.8.####.8
- bylatlm####.cn
- bylatlm####.cn.8.####.8
- cdollwr####.ru
- cdollwr####.ru.8.####.8
- cdyqlrc####.ru
- cdyqlrc####.ru.8.####.8
- cicsphn####.com
- cicsphn####.com.8.####.8
- ckxeslo####.com
- ckxeslo####.com.8.####.8
- clhcfpi####.com
- clhcfpi####.com.8.####.8
- clqqpli####.cn
- clqqpli####.cn.8.####.8
- cmuvkej####.ru
- cmuvkej####.ru.8.####.8
- cqdqaeh####.ru
- cqdqaeh####.ru.8.####.8
- cqvwdss####.com
- cqvwdss####.com.8.####.8
- cwgwgti####.com
- cwgwgti####.com.8.####.8
- datufco####.com
- datufco####.com.8.####.8
- dfssryc####.com
- dfssryc####.com.8.####.8
- dhhtgmu####.cn
- dhhtgmu####.cn.8.####.8
- doqwcbx####.com
- doqwcbx####.com.8.####.8
- dqdpjsh####.com
- dqdpjsh####.com.8.####.8
- drerkbu####.ru
- ebtmxlq####.cn
- ebtmxlq####.cn.8.####.8
- ectlcbp####.com
- ectlcbp####.com.8.####.8
- eeucvcl####.cn
- eeucvcl####.cn.8.####.8
- efgigta####.cn
- efgigta####.cn.8.####.8
- efgotmj####.cn
- efgotmj####.cn.8.####.8
- ehxkuhf####.ru
- ehxkuhf####.ru.8.####.8
- eoycmye####.com
- eoycmye####.com.8.####.8
- essjpbx####.cn
- essjpbx####.cn.8.####.8
- faxvqno####.com
- faxvqno####.com.8.####.8
- fdfkeso####.ru
- fdfkeso####.ru.8.####.8
- felqkct####.ru
- felqkct####.ru.8.####.8
- fikcosu####.cn
- fikcosu####.cn.8.####.8
- fjhdwqi####.com
- fjhdwqi####.com.8.####.8
- fjjcsaj####.cn
- fjjcsaj####.cn.8.####.8
- flfwave####.cn
- flfwave####.cn.8.####.8
- fqddlbn####.cn
- fqddlbn####.cn.8.####.8
- fssaoha####.cn
- fssaoha####.cn.8.####.8
- ftabocy####.com
- ftabocy####.com.8.####.8
- gatpowa####.cn
- gatpowa####.cn.8.####.8
- gbmhyqm####.ru
- gbmhyqm####.ru.8.####.8
- gbxpljw####.ru
- gbxpljw####.ru.8.####.8
- gcwttui####.com
- gcwttui####.com.8.####.8
- gcytvbt####.cn
- gcytvbt####.cn.8.####.8
- ggskbqj####.cn
- ggskbqj####.cn.8.####.8
- gibysrw####.ru
- gibysrw####.ru.8.####.8
- gscaxlp####.ru
- gscaxlp####.ru.8.####.8
- gtpuyat####.cn
- gtpuyat####.cn.8.####.8
- gxmxkgx####.cn
- gxmxkgx####.cn.8.####.8
- gyfixxr####.com
- gyfixxr####.com.8.####.8
- hiblfcv####.cn
- hiblfcv####.cn.8.####.8
- hiotlwv####.ru
- hiotlwv####.ru.8.####.8
- hkxnqwr####.ru
- hkxnqwr####.ru.8.####.8
- hrtlxrm####.ru
- hrtlxrm####.ru.8.####.8
- hscqeak####.com
- hscqeak####.com.8.####.8
- hyoxshr####.cn
- hyoxshr####.cn.8.####.8
- iberfjr####.cn
- iberfjr####.cn.8.####.8
- ibnnovj####.cn
- ibnnovj####.cn.8.####.8
- icgxmbc####.ru
- icgxmbc####.ru.8.####.8
- iglmovh####.cn
- iglmovh####.cn.8.####.8
- ihsvwdj####.com
- ihsvwdj####.com.8.####.8
- ihwliht####.cn
- ihwliht####.cn.8.####.8
- iloomdl####.cn
- iloomdl####.cn.8.####.8
- instant####.google####.com
- iqdbypv####.cn
- iqdbypv####.cn.8.####.8
- ivsdpgp####.com
- ivsdpgp####.com.8.####.8
- ixcsvqx####.ru
- ixcsvqx####.ru.8.####.8
- jdpbmud####.cn
- jdpbmud####.cn.8.####.8
- jpwbmjq####.ru
- jpwbmjq####.ru.8.####.8
- jqxnqlx####.com
- jqxnqlx####.com.8.####.8
- jtjyprs####.com
- jtjyprs####.com.8.####.8
- juagqoj####.ru
- juagqoj####.ru.8.####.8
- jubqxti####.cn
- jubqxti####.cn.8.####.8
- jwrynmd####.com
- jwrynmd####.com.8.####.8
- jyfvybw####.com
- jyfvybw####.com.8.####.8
- jyiceic####.ru
- jyiceic####.ru.8.####.8
- kdaylsj####.cn
- kdaylsj####.cn.8.####.8
- kebsngh####.ru
- kebsngh####.ru.8.####.8
- kgaoehm####.ru
- kgaoehm####.ru.8.####.8
- kjfckgs####.ru
- kjfckgs####.ru.8.####.8
- kmmfwgf####.com
- kmmfwgf####.com.8.####.8
- kmrihbg####.cn
- kmrihbg####.cn.8.####.8
- knywkgm####.ru
- knywkgm####.ru.8.####.8
- kpessyx####.ru
- kpessyx####.ru.8.####.8
- kplwqap####.cn
- kplwqap####.cn.8.####.8
- kqdbtsu####.ru
- kqdbtsu####.ru.8.####.8
- kqhqoju####.com
- kqhqoju####.com.8.####.8
- kxuctna####.com
- kxuctna####.com.8.####.8
- lbxomcx####.com
- lbxomcx####.com.8.####.8
- ljjcrmx####.cn
- ljjcrmx####.cn.8.####.8
- lkutthe####.com
- lpfenwo####.com
- lpfenwo####.com.8.####.8
- lqgtdwn####.cn
- lqgtdwn####.cn.8.####.8
- lqhnyjy####.com
- lqhnyjy####.com.8.####.8
- luvpshw####.cn
- luvpshw####.cn.8.####.8
- lwkxkxh####.cn
- lwkxkxh####.cn.8.####.8
- lylclle####.ru
- lylclle####.ru.8.####.8
- m####.go####.com
- mbwrjiv####.com
- mbwrjiv####.com.8.####.8
- md####.google####.com
- mghjqnd####.ru
- mghjqnd####.ru.8.####.8
- mhpqksv####.com
- mhpqksv####.com.8.####.8
- mjkqlxn####.com
- mjkqlxn####.com.8.####.8
- mlxwyyf####.ru
- mnmauig####.ru
- mnmauig####.ru.8.####.8
- mpfijbe####.cn
- mpfijbe####.cn.8.####.8
- mpmtluj####.com
- mpmtluj####.com.8.####.8
- mqfwldh####.cn
- mqfwldh####.cn.8.####.8
- mqgeqyt####.ru
- mshxceb####.cn
- mshxceb####.cn.8.####.8
- mtcxtjd####.ru
- mtcxtjd####.ru.8.####.8
- mvpvhxb####.cn
- mvpvhxb####.cn.8.####.8
- mythqeu####.com
- mythqeu####.com.8.####.8
- necwvds####.ru
- necwvds####.ru.8.####.8
- nhomgqd####.com
- nhomgqd####.com.8.####.8
- njxcowm####.com
- njxcowm####.com.8.####.8
- nmgnypa####.ru
- nmgnypa####.ru.8.####.8
- npypofa####.ru
- npypofa####.ru.8.####.8
- nrbneuy####.com
- nrbneuy####.com.8.####.8
- nvemege####.com
- nvemege####.com.8.####.8
- nvyasch####.com
- nvyasch####.com.8.####.8
- oclnsxk####.ru
- oclnsxk####.ru.8.####.8
- oeygogc####.cn
- oeygogc####.cn.8.####.8
- ogqptua####.com
- ogqptua####.com.8.####.8
- opfvtrp####.cn
- opfvtrp####.cn.8.####.8
- oumdfqm####.com
- oumdfqm####.com.8.####.8
- ovnykhx####.cn
- ovnykhx####.cn.8.####.8
- p####.google####.com
- pbpxfre####.ru
- pbpxfre####.ru.8.####.8
- pbykufm####.cn
- pbykufm####.cn.8.####.8
- pgkffio####.com
- pgkffio####.com.8.####.8
- pinhrgs####.com
- pinhrgs####.com.8.####.8
- pkbofre####.cn
- pkbofre####.cn.8.####.8
- pmtqbib####.ru
- pmtqbib####.ru.8.####.8
- pqjgnhq####.cn
- pqjgnhq####.cn.8.####.8
- prktkpp####.cn
- prktkpp####.cn.8.####.8
- ptosyun####.com
- ptosyun####.com.8.####.8
- puhjnda####.com
- puhjnda####.com.8.####.8
- pvqujgb####.ru
- pvqujgb####.ru.8.####.8
- pwkgcon####.ru
- pwkgcon####.ru.8.####.8
- qbkmatr####.com
- qbkmatr####.com.8.####.8
- qgojlvn####.cn
- qgojlvn####.cn.8.####.8
- qkljdoj####.ru
- qkljdoj####.ru.8.####.8
- qnejhrw####.ru
- qnejhrw####.ru.8.####.8
- qowtxnr####.ru
- qowtxnr####.ru.8.####.8
- quchbty####.cn
- quchbty####.cn.8.####.8
- qylmhqv####.com
- qylmhqv####.com.8.####.8
- rblwyqy####.com
- rblwyqy####.com.8.####.8
- rektlkv####.ru
- rektlkv####.ru.8.####.8
- rktxbln####.ru
- rktxbln####.ru.8.####.8
- rlsvjaj####.ru
- rlsvjaj####.ru.8.####.8
- rlvdscj####.cn
- rlvdscj####.cn.8.####.8
- rmhmieq####.ru
- rmhmieq####.ru.8.####.8
- rymejbl####.cn
- rymejbl####.cn.8.####.8
- safebro####.google####.com
- scgtsux####.com
- scgtsux####.com.8.####.8
- sdmxxpa####.ru
- sdmxxpa####.ru.8.####.8
- sdqabbu####.com
- sdqabbu####.com.8.####.8
- sfvtfhp####.com
- sfvtfhp####.com.8.####.8
- skqcyiv####.com
- skqcyiv####.com.8.####.8
- smsdfxh####.ru
- smsdfxh####.ru.8.####.8
- sofcxbb####.com
- sofcxbb####.com.8.####.8
- svgptst####.ru
- svgptst####.ru.8.####.8
- sxdkwch####.cn
- sxdkwch####.cn.8.####.8
- tekqfqm####.com
- tekqfqm####.com.8.####.8
- tfmupvs####.ru
- tfmupvs####.ru.8.####.8
- tjyhhdm####.cn
- tjyhhdm####.cn.8.####.8
- tktaqet####.cn
- tktaqet####.cn.8.####.8
- tmrqfds####.cn
- tmrqfds####.cn.8.####.8
- tniedgf####.com
- tniedgf####.com.8.####.8
- tpsaxnk####.cn
- tpsaxnk####.cn.8.####.8
- ubyfvba####.cn
- ubyfvba####.cn.8.####.8
- ucvsdko####.com
- ucvsdko####.com.8.####.8
- udneccw####.com
- udneccw####.com.8.####.8
- ufwcslq####.ru
- ufwcslq####.ru.8.####.8
- uhidltj####.cn
- uhidltj####.cn.8.####.8
- ujhfbya####.com
- ujhfbya####.com.8.####.8
- umksqlm####.com
- umksqlm####.com.8.####.8
- unbsgcp####.ru
- unbsgcp####.ru.8.####.8
- unctghu####.com
- unctghu####.com.8.####.8
- uohubqa####.cn
- uohubqa####.cn.8.####.8
- vdmclsd####.ru
- vdmclsd####.ru.8.####.8
- veaofrs####.cn
- veaofrs####.cn.8.####.8
- vqplhqa####.cn
- vqplhqa####.cn.8.####.8
- vvtqghp####.ru
- vvtqghp####.ru.8.####.8
- wcxuvxh####.ru
- wcxuvxh####.ru.8.####.8
- wiwsdrr####.com
- wiwsdrr####.com.8.####.8
- wmdpint####.ru
- wmdpint####.ru.8.####.8
- wobyiev####.ru
- wobyiev####.ru.8.####.8
- xbrswbl####.ru
- xbrswbl####.ru.8.####.8
- xtuhqfr####.cn
- xtuhqfr####.cn.8.####.8
- xuqvrnx####.ru
- xuqvrnx####.ru.8.####.8
- xwesqyh####.cn
- xwesqyh####.cn.8.####.8
- ybthawp####.ru
- ybthawp####.ru.8.####.8
- yctnhsa####.com
- yctnhsa####.com.8.####.8
- ycxncpa####.ru
- ycxncpa####.ru.8.####.8
- ydftuhk####.ru
- ydftuhk####.ru.8.####.8
- yfpyxqb####.com
- yfpyxqb####.com.8.####.8
- yfwfavj####.cn
- yfwfavj####.cn.8.####.8
- yohncrj####.com
- yohncrj####.com.8.####.8
- yptpvuh####.ru
- yptpvuh####.ru.8.####.8
- ysymlwx####.com
- ysymlwx####.com.8.####.8
- yuexjwl####.ru
- yuexjwl####.ru.8.####.8
- yvebfsw####.ru
- yvebfsw####.ru.8.####.8
- yvhcmsk####.cn
- yvhcmsk####.cn.8.####.8
- yvlugng####.ru
- yvlugng####.ru.8.####.8
- yxmpehj####.com
- yxmpehj####.com.8.####.8
- yybptyf####.cn
- yybptyf####.cn.8.####.8
Запросы HTTP POST:
- drerkbu####.ru/poll.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Correos.xml
- /data/data/####/classes-v1.bin
- /data/data/####/classes-v1.dex
- /data/data/####/classes-v1.dex.flock (deleted)
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.bin --oat-fd=33 --oat-location=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.dex --compiler-filter=speed
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
