Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.780.origin
Скрывает свою иконку с экрана.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) ddeocyo####.com:80
- TCP(HTTP/1.1) 8.2####.76.91:80
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) 1####.217.17.106:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) 1####.217.17.106:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) 1####.217.20.78:443
Запросы DNS:
- actgwno####.com
- actgwno####.com.8.####.8
- adcxgew####.cn
- adcxgew####.cn.8.####.8
- adqtyau####.cn
- adqtyau####.cn.8.####.8
- afwcduh####.ru
- afwcduh####.ru.8.####.8
- ahhxymy####.cn
- ahhxymy####.cn.8.####.8
- aiaxata####.cn
- aiaxata####.cn.8.####.8
- aijaawb####.cn
- aijaawb####.cn.8.####.8
- akrsrep####.com.8.####.8
- amqeeal####.cn
- amqeeal####.cn.8.####.8
- android####.go####.com
- aqxnxfg####.cn
- aqxnxfg####.cn.8.####.8
- arffsdq####.ru
- arffsdq####.ru.8.####.8
- auxdtbk####.cn
- auxdtbk####.cn.8.####.8
- awtoxyn####.com.8.####.8
- bdbsfhu####.cn.8.####.8
- beplcqn####.cn.8.####.8
- bfegtxr####.cn
- bfegtxr####.cn.8.####.8
- bgsyeki####.cn
- bgsyeki####.cn.8.####.8
- bkokyvk####.ru
- blgtfju####.cn
- blgtfju####.cn.8.####.8
- bnfbpyn####.cn
- bnfbpyn####.cn.8.####.8
- bnntmmb####.ru
- bnntmmb####.ru.8.####.8
- bqmncjk####.ru
- bqmncjk####.ru.8.####.8
- bxtejrh####.ru
- bxtejrh####.ru.8.####.8
- cajrhoq####.cn.8.####.8
- cilhayp####.ru
- cilhayp####.ru.8.####.8
- cjyhuum####.cn
- cjyhuum####.cn.8.####.8
- cpfncwa####.com.8.####.8
- cxcsuvs####.ru.8.####.8
- cxvspgg####.cn
- cxvspgg####.cn.8.####.8
- ddeocyo####.com
- ddhyyns####.ru
- ddhyyns####.ru.8.####.8
- dfvqefl####.cn
- dfvqefl####.cn.8.####.8
- doglgmp####.com
- doglgmp####.com.8.####.8
- dokgkel####.ru
- dokgkel####.ru.8.####.8
- dpafhrd####.com
- dpafhrd####.com.8.####.8
- dsoepey####.com
- dsoepey####.com.8.####.8
- dypypfm####.ru.8.####.8
- eakmisc####.ru
- eakmisc####.ru.8.####.8
- edrselo####.cn
- edrselo####.cn.8.####.8
- egeofmb####.com
- egeofmb####.com.8.####.8
- eirfvyb####.ru
- eirfvyb####.ru.8.####.8
- ekkdmtm####.cn.8.####.8
- enbxwrr####.com
- enbxwrr####.com.8.####.8
- enhiwng####.cn
- epoewug####.cn.8.####.8
- eunglmn####.com
- eunglmn####.com.8.####.8
- exxmria####.com
- exxmria####.com.8.####.8
- fggyptq####.cn
- fgyemsr####.cn
- fgyemsr####.cn.8.####.8
- fmoahag####.ru
- fmoahag####.ru.8.####.8
- frpbjai####.ru
- frpbjai####.ru.8.####.8
- frvgvdg####.cn
- frvgvdg####.cn.8.####.8
- fsjmuxb####.ru.8.####.8
- gaspbwy####.cn
- gaspbwy####.cn.8.####.8
- gbmbtfc####.ru
- gkrdvtp####.com
- gkrdvtp####.com.8.####.8
- glukqgk####.com
- glukqgk####.com.8.####.8
- gmqccqx####.com
- gmqccqx####.com.8.####.8
- gqurmfp####.com
- gqurmfp####.com.8.####.8
- grjravc####.ru.8.####.8
- gvdthkm####.ru
- gvdthkm####.ru.8.####.8
- hfrsqiw####.com
- hfrsqiw####.com.8.####.8
- hiraqao####.cn
- hiraqao####.cn.8.####.8
- hotbndy####.ru
- hotbndy####.ru.8.####.8
- hpingam####.com
- hpingam####.com.8.####.8
- hturmxv####.com.8.####.8
- hvsdrgu####.com.8.####.8
- hwwaoyh####.com
- hwwaoyh####.com.8.####.8
- ibwqcsi####.com
- ibwqcsi####.com.8.####.8
- idnkwxk####.com
- idnkwxk####.com.8.####.8
- ieeoghb####.ru
- ieeoghb####.ru.8.####.8
- ihyylik####.ru
- ihyylik####.ru.8.####.8
- instant####.google####.com
- iowdkmm####.ru
- iowdkmm####.ru.8.####.8
- iqvmvci####.com
- iqvmvci####.com.8.####.8
- jaxcwtv####.ru
- jmqronk####.com
- jmqronk####.com.8.####.8
- jnxsfqv####.cn
- jnxsfqv####.cn.8.####.8
- jpdcese####.ru
- jpdcese####.ru.8.####.8
- jqlsigp####.cn
- jqlsigp####.cn.8.####.8
- jutrgkj####.cn
- jutrgkj####.cn.8.####.8
- kcsvisg####.com.8.####.8
- konbhla####.ru
- konbhla####.ru.8.####.8
- kqdvngb####.ru
- kqdvngb####.ru.8.####.8
- kuxnolv####.cn.8.####.8
- kvwkoyy####.ru
- kvwkoyy####.ru.8.####.8
- kxpdgkt####.ru
- kxpdgkt####.ru.8.####.8
- kyksvyi####.com
- kyksvyi####.com.8.####.8
- lcrrcto####.ru
- lcrrcto####.ru.8.####.8
- ldowhya####.com
- ldowhya####.com.8.####.8
- ljwwwmk####.com
- ljwwwmk####.com.8.####.8
- lmdafwo####.cn
- lmdafwo####.cn.8.####.8
- ltmagel####.ru.8.####.8
- lwaraon####.cn
- lwaraon####.cn.8.####.8
- lwsvrnx####.com
- lwsvrnx####.com.8.####.8
- lyvgcda####.ru
- lyvgcda####.ru.8.####.8
- m####.go####.com
- mcrvrvv####.ru
- mcrvrvv####.ru.8.####.8
- md####.google####.com
- mdjgdyo####.cn
- mdjgdyo####.cn.8.####.8
- menevvh####.ru
- menevvh####.ru.8.####.8
- mfqspds####.cn
- mfqspds####.cn.8.####.8
- mibxlaw####.com
- mibxlaw####.com.8.####.8
- mnbnswc####.ru
- mnbnswc####.ru.8.####.8
- moipyik####.com
- moipyik####.com.8.####.8
- morpuop####.com
- morpuop####.com.8.####.8
- mqhbfie####.com
- mqhbfie####.com.8.####.8
- mtopwlw####.cn
- mtopwlw####.cn.8.####.8
- nceohee####.ru
- nceohee####.ru.8.####.8
- ndmvubg####.com
- ndmvubg####.com.8.####.8
- nhqmsar####.ru
- nhqmsar####.ru.8.####.8
- nihlhyu####.com
- nihlhyu####.com.8.####.8
- nlvvbvc####.cn.8.####.8
- nnqmxbr####.ru
- nnqmxbr####.ru.8.####.8
- nnuilna####.ru
- nnuilna####.ru.8.####.8
- nruljeh####.com
- nruljeh####.com.8.####.8
- ntionni####.cn
- ntionni####.cn.8.####.8
- nufmwjk####.com
- nufmwjk####.com.8.####.8
- nwnffcp####.cn
- nwnffcp####.cn.8.####.8
- oacdjkk####.com.8.####.8
- ocedmmo####.com.8.####.8
- oeqwycn####.com
- oeqwycn####.com.8.####.8
- oimdcjx####.ru.8.####.8
- omnwcnn####.ru
- omnwcnn####.ru.8.####.8
- oqrikub####.com
- oqrikub####.com.8.####.8
- owohmkf####.cn.8.####.8
- p####.google####.com
- pgwgssr####.ru
- pgwgssr####.ru.8.####.8
- phrsxeh####.com
- phrsxeh####.com.8.####.8
- pjtcpcl####.com
- pjtcpcl####.com.8.####.8
- pmfkcoa####.ru
- pmfkcoa####.ru.8.####.8
- pqlryls####.com.8.####.8
- psyqwis####.com
- psyqwis####.com.8.####.8
- pvtbbki####.com
- pvtbbki####.com.8.####.8
- pvuhjmx####.ru
- pvuhjmx####.ru.8.####.8
- pyomudd####.cn
- pyomudd####.cn.8.####.8
- qasaoda####.ru
- qasaoda####.ru.8.####.8
- qbrtnwj####.cn
- qbrtnwj####.cn.8.####.8
- qearaap####.com
- qearaap####.com.8.####.8
- qepeeku####.com
- qepeeku####.com.8.####.8
- qeqrgwo####.cn
- qeqrgwo####.cn.8.####.8
- qhusfpl####.cn
- qhusfpl####.cn.8.####.8
- qimnwhe####.com
- qimnwhe####.com.8.####.8
- qlbfksi####.ru.8.####.8
- qogvqny####.ru
- qogvqny####.ru.8.####.8
- qspjjss####.ru
- qspjjss####.ru.8.####.8
- qtehpio####.cn
- qtehpio####.cn.8.####.8
- qwqtnuo####.ru
- qwqtnuo####.ru.8.####.8
- qwvicqn####.com
- qwvicqn####.com.8.####.8
- rbpqgfx####.com
- rbpqgfx####.com.8.####.8
- rdlohtj####.ru
- rdlohtj####.ru.8.####.8
- rimqwgn####.cn
- rimqwgn####.cn.8.####.8
- ririqgx####.ru
- ririqgx####.ru.8.####.8
- riryees####.ru.8.####.8
- rixorcy####.com
- rixorcy####.com.8.####.8
- rkerxlt####.cn
- rkerxlt####.cn.8.####.8
- rlssyih####.com
- rlssyih####.com.8.####.8
- rmvcjdk####.com
- rmvcjdk####.com.8.####.8
- rrhljmj####.cn
- rrhljmj####.cn.8.####.8
- rrkduvj####.cn
- rrkduvj####.cn.8.####.8
- rsfvqmd####.cn
- rsfvqmd####.cn.8.####.8
- sajnwyr####.cn
- sajnwyr####.cn.8.####.8
- sfodcpj####.cn
- sfodcpj####.cn.8.####.8
- sjhachs####.ru
- sjhachs####.ru.8.####.8
- snlmeix####.com
- snlmeix####.com.8.####.8
- ssmweih####.com
- sygkdya####.cn
- sygkdya####.cn.8.####.8
- tfogfhj####.ru
- tfogfhj####.ru.8.####.8
- tkljnja####.ru.8.####.8
- tkxxugv####.ru
- tkxxugv####.ru.8.####.8
- tocldim####.cn
- tocldim####.cn.8.####.8
- twgetih####.cn
- twgetih####.cn.8.####.8
- tyuhpts####.cn.8.####.8
- udywgix####.cn
- ugiyley####.ru
- ugiyley####.ru.8.####.8
- ujnroxc####.com.8.####.8
- ukamywh####.cn
- ukamywh####.cn.8.####.8
- ulabncr####.ru
- untmwqh####.ru
- untmwqh####.ru.8.####.8
- uopgtcg####.com
- uopgtcg####.com.8.####.8
- uopxrud####.ru.8.####.8
- upyxyiq####.ru
- upyxyiq####.ru.8.####.8
- uurbvhr####.cn
- uurbvhr####.cn.8.####.8
- uwhwfoj####.cn.8.####.8
- uwrsuja####.cn
- uwrsuja####.cn.8.####.8
- uxcfyup####.com
- uxcfyup####.com.8.####.8
- uxervqu####.cn
- uybvbvr####.com
- uybvbvr####.com.8.####.8
- uyepkoo####.ru.8.####.8
- vayxiem####.com
- vayxiem####.com.8.####.8
- vixmxis####.com.8.####.8
- vmpmnqy####.com.8.####.8
- vsqacjg####.cn.8.####.8
- vtrnivk####.ru
- vtybpmx####.cn.8.####.8
- vujnyot####.com
- vujnyot####.com.8.####.8
- vwtogfb####.ru
- vxfldja####.cn
- vxfldja####.cn.8.####.8
- wcvemuk####.cn
- wcvemuk####.cn.8.####.8
- wdnygft####.com
- wdnygft####.com.8.####.8
- wenghak####.ru
- wenghak####.ru.8.####.8
- wytkgff####.cn
- wytkgff####.cn.8.####.8
- xbvnruv####.cn
- xcywomu####.com
- xcywomu####.com.8.####.8
- xdaunux####.cn
- xdaunux####.cn.8.####.8
- xebrgrx####.ru
- xebrgrx####.ru.8.####.8
- xhashhs####.com
- xnijofj####.ru.8.####.8
- xrndwyq####.com
- xrndwyq####.com.8.####.8
- xuufcot####.ru
- xuufcot####.ru.8.####.8
- xvksedo####.ru
- xvksedo####.ru.8.####.8
- xwritrh####.cn.8.####.8
- xyapplp####.com.8.####.8
- yfhkint####.ru
- yfhkint####.ru.8.####.8
- yfloben####.cn
- yfloben####.cn.8.####.8
- ynmrvou####.ru
- ynmrvou####.ru.8.####.8
- yobifmq####.com
- yobifmq####.com.8.####.8
- yxalfno####.cn
- yxalfno####.cn.8.####.8
Запросы HTTP POST:
- ddeocyo####.com/poll.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/FedEx.xml
- /data/data/####/classes-v1.bin
- /data/data/####/classes-v1.dex
- /data/data/####/classes-v1.dex.flock (deleted)
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.bin --oat-fd=33 --oat-location=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.dex --compiler-filter=speed
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
