Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.780.origin
Скрывает свою иконку с экрана.
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) ddeocyo####.com:80
- TCP(HTTP/1.1) vtrnivk####.ru:80
- TCP(TLS/1.0) 1####.250.179.138:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.2) 1####.250.179.170:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) 1####.217.168.206:443
- TCP(TLS/1.2) 1####.250.179.138:443
Запросы DNS:
- actgwno####.com
- actgwno####.com.8.####.8
- afwcduh####.ru
- afwcduh####.ru.8.####.8
- afyvjup####.cn
- afyvjup####.cn.8.####.8
- ahhxymy####.cn
- ahhxymy####.cn.8.####.8
- aijaawb####.cn
- aijaawb####.cn.8.####.8
- ajecwnw####.com
- ajecwnw####.com.8.####.8
- akrsrep####.com
- akrsrep####.com.8.####.8
- alenosj####.com
- alenosj####.com.8.####.8
- alpckuc####.com
- alpckuc####.com.8.####.8
- android####.go####.com
- aqkqwxs####.com
- aqkqwxs####.com.8.####.8
- auxdtbk####.cn
- auxdtbk####.cn.8.####.8
- banwhag####.com
- banwhag####.com.8.####.8
- baxrusl####.ru
- baxrusl####.ru.8.####.8
- bcjynyk####.ru
- bcjynyk####.ru.8.####.8
- bdbsfhu####.cn
- bdbsfhu####.cn.8.####.8
- bfegtxr####.cn
- bfegtxr####.cn.8.####.8
- bgsyeki####.cn
- bgsyeki####.cn.8.####.8
- bkokyvk####.ru
- bkokyvk####.ru.8.####.8
- blgtfju####.cn
- blgtfju####.cn.8.####.8
- bmnccrs####.ru
- bmnccrs####.ru.8.####.8
- bqmncjk####.ru
- bqmncjk####.ru.8.####.8
- btufckl####.cn
- btufckl####.cn.8.####.8
- bwpvnlg####.ru
- bwpvnlg####.ru.8.####.8
- bxtejrh####.ru
- bxtejrh####.ru.8.####.8
- cajrhoq####.cn
- cajrhoq####.cn.8.####.8
- ccbfifb####.com
- ccbfifb####.com.8.####.8
- cnmoiep####.com
- cnmoiep####.com.8.####.8
- cpfncwa####.com
- cpfncwa####.com.8.####.8
- cxcsuvs####.ru
- cxcsuvs####.ru.8.####.8
- cxvspgg####.cn
- cxvspgg####.cn.8.####.8
- ddeocyo####.com
- ddhyyns####.ru
- ddhyyns####.ru.8.####.8
- dfvqefl####.cn
- dfvqefl####.cn.8.####.8
- dgddvem####.ru
- dgddvem####.ru.8.####.8
- dldjyxs####.com
- dldjyxs####.com.8.####.8
- doglgmp####.com
- doglgmp####.com.8.####.8
- ebbpbsc####.ru
- ebbpbsc####.ru.8.####.8
- edgcwxy####.com
- edgcwxy####.com.8.####.8
- egbqtjw####.ru
- egbqtjw####.ru.8.####.8
- ekriwyp####.cn
- ekriwyp####.cn.8.####.8
- eloeomx####.ru
- eloeomx####.ru.8.####.8
- enbxwrr####.com
- enbxwrr####.com.8.####.8
- enhiwng####.cn
- enhiwng####.cn.8.####.8
- epoewug####.cn
- epoewug####.cn.8.####.8
- eunglmn####.com
- eunglmn####.com.8.####.8
- exxmria####.com
- exxmria####.com.8.####.8
- eyaajmk####.cn
- eyaajmk####.cn.8.####.8
- eyfpcic####.cn
- eyfpcic####.cn.8.####.8
- fggyptq####.cn
- fggyptq####.cn.8.####.8
- fgrdoor####.cn
- fgrdoor####.cn.8.####.8
- fgyemsr####.cn
- fgyemsr####.cn.8.####.8
- flrkixu####.com
- flrkixu####.com.8.####.8
- fmoahag####.ru
- fmoahag####.ru.8.####.8
- fpgyakx####.com
- fpgyakx####.com.8.####.8
- fqqjdgk####.com
- fqqjdgk####.com.8.####.8
- frpbjai####.ru
- frpbjai####.ru.8.####.8
- fsjmuxb####.ru
- fsjmuxb####.ru.8.####.8
- fsoqcbn####.ru
- fsoqcbn####.ru.8.####.8
- gbmbtfc####.ru
- gbmbtfc####.ru.8.####.8
- gmqccqx####.com
- gmqccqx####.com.8.####.8
- gqurmfp####.com
- gqurmfp####.com.8.####.8
- grjravc####.ru
- grjravc####.ru.8.####.8
- gvdthkm####.ru
- gvdthkm####.ru.8.####.8
- gysedfv####.cn
- gysedfv####.cn.8.####.8
- hddrayx####.com
- hddrayx####.com.8.####.8
- hiraqao####.cn
- hiraqao####.cn.8.####.8
- hoqpatc####.com
- hoqpatc####.com.8.####.8
- hotbndy####.ru
- hotbndy####.ru.8.####.8
- hturmxv####.com
- hturmxv####.com.8.####.8
- hvsdrgu####.com
- hvsdrgu####.com.8.####.8
- hwwaoyh####.com
- hwwaoyh####.com.8.####.8
- ieeoghb####.ru
- ieeoghb####.ru.8.####.8
- ifctlmd####.ru
- ifctlmd####.ru.8.####.8
- ijhaaju####.cn
- ijhaaju####.cn.8.####.8
- ijnikyr####.cn
- ijnikyr####.cn.8.####.8
- instant####.google####.com
- iowdkmm####.ru
- iowdkmm####.ru.8.####.8
- iwjotjb####.cn
- iwjotjb####.cn.8.####.8
- jaxcwtv####.ru
- jaxcwtv####.ru.8.####.8
- jbdjxuc####.com
- jbdjxuc####.com.8.####.8
- jmqronk####.com
- jmqronk####.com.8.####.8
- jutrgkj####.cn
- jutrgkj####.cn.8.####.8
- kcsvisg####.com
- kcsvisg####.com.8.####.8
- knapjtj####.ru
- knapjtj####.ru.8.####.8
- kqdvngb####.ru
- kqdvngb####.ru.8.####.8
- kuxnolv####.cn
- kuxnolv####.cn.8.####.8
- kvwkoyy####.ru
- kvwkoyy####.ru.8.####.8
- kxpdgkt####.ru
- kxpdgkt####.ru.8.####.8
- lcegtfj####.cn
- lcegtfj####.cn.8.####.8
- ldowhya####.com
- ldowhya####.com.8.####.8
- lgduwvw####.cn
- lgduwvw####.cn.8.####.8
- ljwwwmk####.com
- ljwwwmk####.com.8.####.8
- lmdafwo####.cn
- lmdafwo####.cn.8.####.8
- lsoydvs####.cn
- lsoydvs####.cn.8.####.8
- ltmagel####.ru
- ltmagel####.ru.8.####.8
- lwaraon####.cn
- lwaraon####.cn.8.####.8
- lwsvrnx####.com
- lwsvrnx####.com.8.####.8
- md####.google####.com
- menevvh####.ru
- menevvh####.ru.8.####.8
- mgjyacc####.ru
- mgjyacc####.ru.8.####.8
- mibxlaw####.com
- mibxlaw####.com.8.####.8
- mnbnswc####.ru
- mnbnswc####.ru.8.####.8
- moadxpd####.ru
- moadxpd####.ru.8.####.8
- moipyik####.com
- moipyik####.com.8.####.8
- mttmpip####.ru
- mttmpip####.ru.8.####.8
- nceohee####.ru
- nceohee####.ru.8.####.8
- nihlhyu####.com
- nihlhyu####.com.8.####.8
- nnqmxbr####.ru
- nnqmxbr####.ru.8.####.8
- ntionni####.cn
- ntionni####.cn.8.####.8
- nwnffcp####.cn
- nwnffcp####.cn.8.####.8
- oacdjkk####.com
- oacdjkk####.com.8.####.8
- oeqwycn####.com
- oeqwycn####.com.8.####.8
- olhqpvp####.com
- olhqpvp####.com.8.####.8
- omnwcnn####.ru
- omnwcnn####.ru.8.####.8
- oqbvdjy####.cn
- oqbvdjy####.cn.8.####.8
- oqrikub####.com
- oqrikub####.com.8.####.8
- ovyvgaf####.cn
- ovyvgaf####.cn.8.####.8
- owohmkf####.cn
- owohmkf####.cn.8.####.8
- oxwhyyd####.cn
- oxwhyyd####.cn.8.####.8
- p####.google####.com
- phrsxeh####.com
- phrsxeh####.com.8.####.8
- piemuic####.ru
- piemuic####.ru.8.####.8
- pjtcpcl####.com
- pjtcpcl####.com.8.####.8
- pqlryls####.com
- pqlryls####.com.8.####.8
- psyqwis####.com
- psyqwis####.com.8.####.8
- ptalsrn####.ru
- ptalsrn####.ru.8.####.8
- pvtbbki####.com
- pvtbbki####.com.8.####.8
- pyomudd####.cn
- pyomudd####.cn.8.####.8
- qepeeku####.com
- qepeeku####.com.8.####.8
- qeqrgwo####.cn
- qeqrgwo####.cn.8.####.8
- qhusfpl####.cn
- qhusfpl####.cn.8.####.8
- qjdloii####.ru
- qjdloii####.ru.8.####.8
- qlbfksi####.ru
- qlbfksi####.ru.8.####.8
- qnhvawv####.com
- qnhvawv####.com.8.####.8
- qogvqny####.ru
- qogvqny####.ru.8.####.8
- qtehpio####.cn
- qtehpio####.cn.8.####.8
- qwvicqn####.com
- qwvicqn####.com.8.####.8
- rdlohtj####.ru
- rdlohtj####.ru.8.####.8
- rfbfcrd####.ru
- rfbfcrd####.ru.8.####.8
- rgokxec####.com
- rgokxec####.com.8.####.8
- rincaal####.cn
- rincaal####.cn.8.####.8
- ririqgx####.ru
- ririqgx####.ru.8.####.8
- rkerxlt####.cn
- rkerxlt####.cn.8.####.8
- rmvcjdk####.com
- rmvcjdk####.com.8.####.8
- rovbpsl####.com
- rovbpsl####.com.8.####.8
- rrhljmj####.cn
- rrhljmj####.cn.8.####.8
- rrkduvj####.cn
- rrkduvj####.cn.8.####.8
- rrqubuv####.cn
- rrqubuv####.cn.8.####.8
- rrxlrvy####.com
- rrxlrvy####.com.8.####.8
- rvbcvna####.cn
- rvbcvna####.cn.8.####.8
- sajnwyr####.cn
- sajnwyr####.cn.8.####.8
- sgsmtqb####.ru
- sgsmtqb####.ru.8.####.8
- sjhachs####.ru
- sjhachs####.ru.8.####.8
- snhvsur####.cn
- snhvsur####.cn.8.####.8
- ssmweih####.com
- ssmweih####.com.8.####.8
- stqnrvu####.cn
- stqnrvu####.cn.8.####.8
- sygkdya####.cn
- sygkdya####.cn.8.####.8
- tgtolpn####.com
- tgtolpn####.com.8.####.8
- tgxiurr####.ru
- tgxiurr####.ru.8.####.8
- tjfxwpu####.com
- tjfxwpu####.com.8.####.8
- tkljnja####.ru
- tkljnja####.ru.8.####.8
- tkxxugv####.ru
- tkxxugv####.ru.8.####.8
- tyglapr####.com
- tyglapr####.com.8.####.8
- tyuhpts####.cn
- tyuhpts####.cn.8.####.8
- uakvykv####.cn
- uakvykv####.cn.8.####.8
- uaxkaie####.com
- uaxkaie####.com.8.####.8
- udywgix####.cn
- udywgix####.cn.8.####.8
- ugiyley####.ru
- ugiyley####.ru.8.####.8
- ujnroxc####.com
- ujnroxc####.com.8.####.8
- ulabncr####.ru
- ulabncr####.ru.8.####.8
- untmwqh####.ru
- untmwqh####.ru.8.####.8
- uopxrud####.ru
- uopxrud####.ru.8.####.8
- upyxyiq####.ru
- upyxyiq####.ru.8.####.8
- uwhwfoj####.cn
- uwhwfoj####.cn.8.####.8
- uxcfyup####.com
- uxcfyup####.com.8.####.8
- uxervqu####.cn
- uxervqu####.cn.8.####.8
- uybvbvr####.com
- uybvbvr####.com.8.####.8
- uyepkoo####.ru
- uyepkoo####.ru.8.####.8
- vixmxis####.com
- vixmxis####.com.8.####.8
- vkiclhu####.ru
- vkiclhu####.ru.8.####.8
- vmpmnqy####.com
- vmpmnqy####.com.8.####.8
- vsqacjg####.cn
- vsqacjg####.cn.8.####.8
- vtrnivk####.ru
- vtybpmx####.cn
- vtybpmx####.cn.8.####.8
- vujnyot####.com
- vujnyot####.com.8.####.8
- vwtogfb####.ru
- vwtogfb####.ru.8.####.8
- vxfldja####.cn
- vxfldja####.cn.8.####.8
- vxsycjs####.cn
- vxsycjs####.cn.8.####.8
- wcpajrn####.ru
- wcpajrn####.ru.8.####.8
- wcvemuk####.cn
- wcvemuk####.cn.8.####.8
- wdnygft####.com
- wdnygft####.com.8.####.8
- wifartp####.cn
- wifartp####.cn.8.####.8
- wqjofmw####.cn
- wqjofmw####.cn.8.####.8
- wwhfgbg####.ru
- wwhfgbg####.ru.8.####.8
- xbvnruv####.cn
- xbvnruv####.cn.8.####.8
- xcywomu####.com
- xcywomu####.com.8.####.8
- xdykofd####.com
- xdykofd####.com.8.####.8
- xebrgrx####.ru
- xebrgrx####.ru.8.####.8
- xhashhs####.com
- xhashhs####.com.8.####.8
- xjhleeo####.ru
- xjhleeo####.ru.8.####.8
- xnijofj####.ru
- xnijofj####.ru.8.####.8
- xvyukfx####.ru
- xvyukfx####.ru.8.####.8
- xwohpmc####.ru
- xwohpmc####.ru.8.####.8
- yfloben####.cn
- yfloben####.cn.8.####.8
- yhoevyy####.com
- yhoevyy####.com.8.####.8
- yxalfno####.cn
- yxalfno####.cn.8.####.8
Запросы HTTP POST:
- ddeocyo####.com/poll.php
- vtrnivk####.ru/poll.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/FedEx.xml
- /data/data/####/hioLlT.dex
- /data/data/####/hioLlT.dex.flock (deleted)
- /data/data/####/hioLlT.json
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_DynamicOptDex/hioLlT.json --oat-fd=33 --oat-location=/data/user/0/<Package>/app_DynamicOptDex/hioLlT.dex --compiler-filter=speed
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
