Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.780.origin
Скрывает свою иконку с экрана.
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) muqgllm####.com:80
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) 1####.217.19.202:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.2) 1####.250.179.170:443
- TCP(TLS/1.2) 2####.58.214.10:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) 1####.250.179.174:443
Запросы DNS:
- aaqqbfe####.cn
- aaqqbfe####.cn.8.####.8
- acjmsbl####.cn
- acjmsbl####.cn.8.####.8
- aexggqo####.ru
- aexggqo####.ru.8.####.8
- agiuqoj####.com
- agiuqoj####.com.8.####.8
- alcbisl####.ru
- alcbisl####.ru.8.####.8
- algaxjt####.com
- algaxjt####.com.8.####.8
- alwwexd####.cn
- alwwexd####.cn.8.####.8
- ameghpu####.cn
- ameghpu####.cn.8.####.8
- android####.go####.com
- artovft####.ru
- artovft####.ru.8.####.8
- avjrrvm####.ru
- avjrrvm####.ru.8.####.8
- aylfdcs####.com
- aylfdcs####.com.8.####.8
- bejglpt####.com
- bejglpt####.com.8.####.8
- bfjsknd####.cn
- bfjsknd####.cn.8.####.8
- bfqvefg####.com
- bfqvefg####.com.8.####.8
- bgketdg####.com
- bgketdg####.com.8.####.8
- bmkafoc####.ru
- bmkafoc####.ru.8.####.8
- boadvax####.com
- boadvax####.com.8.####.8
- boeaemj####.cn
- boeaemj####.cn.8.####.8
- bqfpghk####.com
- bqfpghk####.com.8.####.8
- bwlxcmx####.cn
- bwlxcmx####.cn.8.####.8
- bwnsbqi####.com
- bwnsbqi####.com.8.####.8
- cahudwr####.cn
- cahudwr####.cn.8.####.8
- cbqlpfa####.ru
- cbqlpfa####.ru.8.####.8
- ccxxjul####.cn
- ccxxjul####.cn.8.####.8
- cdtagcs####.com
- cdtagcs####.com.8.####.8
- chxvsru####.ru
- chxvsru####.ru.8.####.8
- ckytrhr####.ru
- ckytrhr####.ru.8.####.8
- clhngup####.ru
- clhngup####.ru.8.####.8
- cmgknce####.com
- cmgknce####.com.8.####.8
- cnlxtal####.ru
- cnlxtal####.ru.8.####.8
- cnrmhhb####.com
- cnrmhhb####.com.8.####.8
- cobwuoq####.com
- cobwuoq####.com.8.####.8
- cqneokj####.ru
- cqneokj####.ru.8.####.8
- ctyceiu####.com
- ctyceiu####.com.8.####.8
- culyrnr####.cn
- culyrnr####.cn.8.####.8
- ddpegng####.cn
- ddpegng####.cn.8.####.8
- ddxsnbm####.cn
- ddxsnbm####.cn.8.####.8
- demxqus####.ru
- demxqus####.ru.8.####.8
- dieyebm####.ru
- dieyebm####.ru.8.####.8
- diojelq####.com
- diojelq####.com.8.####.8
- dmjpvns####.cn
- dmjpvns####.cn.8.####.8
- dvfplkv####.ru
- dvfplkv####.ru.8.####.8
- dwpvghq####.com
- dwpvghq####.com.8.####.8
- dytjtgy####.cn
- dytjtgy####.cn.8.####.8
- eakmbat####.cn
- eakmbat####.cn.8.####.8
- eammomt####.cn
- eammomt####.cn.8.####.8
- ebjggwj####.com
- ebjggwj####.com.8.####.8
- eblribk####.cn
- eblribk####.cn.8.####.8
- egtlogq####.com
- egtlogq####.com.8.####.8
- ehywqot####.ru
- ehywqot####.ru.8.####.8
- emmkmqv####.cn
- emmkmqv####.cn.8.####.8
- eoopqhn####.ru
- eoopqhn####.ru.8.####.8
- eqpwimy####.com
- eqpwimy####.com.8.####.8
- eslmewi####.com
- eslmewi####.com.8.####.8
- etpjxkv####.cn
- etpjxkv####.cn.8.####.8
- evchwji####.cn
- evchwji####.cn.8.####.8
- evlffvt####.ru
- evlffvt####.ru.8.####.8
- ewetnod####.ru
- ewetnod####.ru.8.####.8
- eyehjhc####.cn
- eyehjhc####.cn.8.####.8
- fagiebd####.ru
- fagiebd####.ru.8.####.8
- fceqdfa####.com
- fceqdfa####.com.8.####.8
- fewefjb####.ru
- fewefjb####.ru.8.####.8
- ffbcpsc####.cn
- ffbcpsc####.cn.8.####.8
- fjxpnqs####.ru
- fjxpnqs####.ru.8.####.8
- flpjvan####.cn
- flpjvan####.cn.8.####.8
- fltyadw####.cn
- fltyadw####.cn.8.####.8
- fpabeio####.ru
- fpabeio####.ru.8.####.8
- fqepmpv####.cn
- fqepmpv####.cn.8.####.8
- fqmbgqn####.com
- fqmbgqn####.com.8.####.8
- fqpsqjw####.ru
- fqpsqjw####.ru.8.####.8
- fupuhye####.cn
- fupuhye####.cn.8.####.8
- fvwffij####.com
- fvwffij####.com.8.####.8
- fwsacwe####.ru
- fwsacwe####.ru.8.####.8
- fxtusjm####.ru
- fxtusjm####.ru.8.####.8
- fyvqaxx####.com
- fyvqaxx####.com.8.####.8
- gclflbp####.com
- gclflbp####.com.8.####.8
- gissxwd####.cn
- gissxwd####.cn.8.####.8
- gpqepre####.cn
- gpqepre####.cn.8.####.8
- gpyyvry####.ru
- gpyyvry####.ru.8.####.8
- gqhsuty####.ru
- gqhsuty####.ru.8.####.8
- gqrhsvl####.ru
- gqrhsvl####.ru.8.####.8
- gsfviik####.com
- gsfviik####.com.8.####.8
- gslabjr####.ru
- gslabjr####.ru.8.####.8
- gtkuqkw####.com
- gtkuqkw####.com.8.####.8
- gtltxpk####.ru
- gtltxpk####.ru.8.####.8
- gtmgdlw####.com
- gtmgdlw####.com.8.####.8
- gwohjiv####.com
- gwohjiv####.com.8.####.8
- gxrvrnx####.ru
- gxrvrnx####.ru.8.####.8
- hclbeie####.cn
- hclbeie####.cn.8.####.8
- hfgmoce####.ru
- hfgmoce####.ru.8.####.8
- hgukpjk####.com
- hgukpjk####.com.8.####.8
- hjeecqr####.com
- hjeecqr####.com.8.####.8
- hjkqvvi####.cn
- hjkqvvi####.cn.8.####.8
- hkcmoyu####.ru
- hkcmoyu####.ru.8.####.8
- hlvqdht####.cn
- hlvqdht####.cn.8.####.8
- hmwgmuc####.ru
- hmwgmuc####.ru.8.####.8
- honkdtb####.com
- honkdtb####.com.8.####.8
- hovrnxy####.ru
- hovrnxy####.ru.8.####.8
- hstdlxb####.cn
- hstdlxb####.cn.8.####.8
- huqndff####.com
- huqndff####.com.8.####.8
- hwgmvox####.cn
- hwgmvox####.cn.8.####.8
- hwtviap####.ru
- hwtviap####.ru.8.####.8
- hxirosn####.com
- hxirosn####.com.8.####.8
- hxjrdea####.ru
- hxjrdea####.ru.8.####.8
- hyobjsk####.ru
- hyobjsk####.ru.8.####.8
- icngkch####.cn
- icngkch####.cn.8.####.8
- icprjxw####.ru
- icprjxw####.ru.8.####.8
- icwugpm####.ru
- icwugpm####.ru.8.####.8
- icxxfbq####.ru
- icxxfbq####.ru.8.####.8
- ihdggyh####.ru
- ihdggyh####.ru.8.####.8
- ijughjq####.cn
- ijughjq####.cn.8.####.8
- imwhkrf####.ru
- imwhkrf####.ru.8.####.8
- instant####.google####.com
- ipvdewe####.cn
- ipvdewe####.cn.8.####.8
- ivcnfps####.ru
- ivcnfps####.ru.8.####.8
- iwwylyf####.com
- iwwylyf####.com.8.####.8
- ixnlujr####.com
- ixnlujr####.com.8.####.8
- iyfyavk####.ru
- iyfyavk####.ru.8.####.8
- japqwbo####.com
- japqwbo####.com.8.####.8
- jbrfsvm####.com
- jbrfsvm####.com.8.####.8
- jebxnek####.com
- jebxnek####.com.8.####.8
- jhuygoo####.ru
- jhuygoo####.ru.8.####.8
- jiewhjp####.cn
- jiewhjp####.cn.8.####.8
- jkuijbw####.com
- jkuijbw####.com.8.####.8
- jpvcdcr####.ru
- jpvcdcr####.ru.8.####.8
- jwdpqce####.ru
- jwdpqce####.ru.8.####.8
- kaodlyo####.cn
- kaodlyo####.cn.8.####.8
- kbokfco####.ru
- kbokfco####.ru.8.####.8
- kcvsclv####.cn
- kcvsclv####.cn.8.####.8
- kdbrokw####.com
- kdbrokw####.com.8.####.8
- kdjulki####.com
- kdjulki####.com.8.####.8
- kfdjatn####.cn
- kfdjatn####.cn.8.####.8
- kfpwfws####.com
- kfpwfws####.com.8.####.8
- kgoehcf####.com
- kgoehcf####.com.8.####.8
- kgtbbhq####.cn
- kgtbbhq####.cn.8.####.8
- khxqcqd####.ru
- khxqcqd####.ru.8.####.8
- klwdrgo####.cn
- klwdrgo####.cn.8.####.8
- kvongew####.ru
- kvongew####.ru.8.####.8
- kwffdbs####.com
- kwffdbs####.com.8.####.8
- kytrpnc####.ru
- kytrpnc####.ru.8.####.8
- lciujeh####.com
- lciujeh####.com.8.####.8
- lcocvrv####.com
- lcocvrv####.com.8.####.8
- lfktfty####.cn
- lfktfty####.cn.8.####.8
- lhvhohv####.ru
- lhvhohv####.ru.8.####.8
- lmdouyj####.com
- lmdouyj####.com.8.####.8
- lnaccyp####.ru
- lnaccyp####.ru.8.####.8
- lthlhyh####.com
- lthlhyh####.com.8.####.8
- lulssnj####.cn
- lulssnj####.cn.8.####.8
- lvdfyfp####.cn
- lvdfyfp####.cn.8.####.8
- m####.go####.com
- mbjvgir####.com
- mbjvgir####.com.8.####.8
- mbmsyqj####.cn
- mbmsyqj####.cn.8.####.8
- mdfpysw####.cn
- mdfpysw####.cn.8.####.8
- mduprmm####.ru
- mduprmm####.ru.8.####.8
- mhdeedr####.ru
- mhdeedr####.ru.8.####.8
- mhjybel####.cn
- mhjybel####.cn.8.####.8
- mhrktoe####.com
- mhrktoe####.com.8.####.8
- mrqsgfe####.cn
- mrqsgfe####.cn.8.####.8
- mucvffr####.ru
- mucvffr####.ru.8.####.8
- muqgllm####.com
- muujqou####.com
- muujqou####.com.8.####.8
- mxskpxq####.cn
- mxskpxq####.cn.8.####.8
- nalybxl####.ru
- nalybxl####.ru.8.####.8
- naqddve####.cn
- naqddve####.cn.8.####.8
- ngptjrm####.cn
- ngptjrm####.cn.8.####.8
- niqdpjn####.cn
- niqdpjn####.cn.8.####.8
- nncvrbu####.com
- nncvrbu####.com.8.####.8
- nocuvyr####.com
- nocuvyr####.com.8.####.8
- nonftsc####.ru
- nonftsc####.ru.8.####.8
- noqimjf####.ru
- noqimjf####.ru.8.####.8
- npbjplw####.ru
- npbjplw####.ru.8.####.8
- nqasxwi####.cn
- nqasxwi####.cn.8.####.8
- nqxddpb####.ru
- nqxddpb####.ru.8.####.8
- nrmenob####.ru
- nrmenob####.ru.8.####.8
- nvhjvnh####.cn
- nvhjvnh####.cn.8.####.8
- nvtcavt####.cn
- nvtcavt####.cn.8.####.8
- nxbokpg####.com
- nxbokpg####.com.8.####.8
- nybyfin####.cn
- nybyfin####.cn.8.####.8
- oasgkkn####.com
- oasgkkn####.com.8.####.8
- obunryu####.ru
- obunryu####.ru.8.####.8
- odaomyc####.com
- odaomyc####.com.8.####.8
- ogxlqnm####.cn
- ogxlqnm####.cn.8.####.8
- omucxtj####.cn
- omucxtj####.cn.8.####.8
- optmqym####.com
- optmqym####.com.8.####.8
- oqpyqaj####.ru
- oqpyqaj####.ru.8.####.8
- ovwjbxh####.cn
- ovwjbxh####.cn.8.####.8
- owomcin####.com
- owomcin####.com.8.####.8
- owvldhh####.cn
- owvldhh####.cn.8.####.8
- oygvqeg####.com
- oygvqeg####.com.8.####.8
- pbbxvck####.com
- pbbxvck####.com.8.####.8
- pclubpy####.ru
- pclubpy####.ru.8.####.8
- peyiqha####.ru
- peyiqha####.ru.8.####.8
- pjicpmd####.cn
- pjicpmd####.cn.8.####.8
- plfjtps####.cn
- plfjtps####.cn.8.####.8
- plkcioa####.cn
- plkcioa####.cn.8.####.8
- plnbllw####.cn
- plnbllw####.cn.8.####.8
- pnjdaym####.com
- pnjdaym####.com.8.####.8
- pqnqjam####.cn
- pqnqjam####.cn.8.####.8
- qbdrhot####.com
- qbdrhot####.com.8.####.8
- qbubmsl####.com
- qbubmsl####.com.8.####.8
- qdwuujx####.cn
- qdwuujx####.cn.8.####.8
- qmbsjvn####.com
- qmbsjvn####.com.8.####.8
- qmogpah####.ru
- qmogpah####.ru.8.####.8
- qndjofd####.ru
- qndjofd####.ru.8.####.8
- qnymkyl####.cn
- qnymkyl####.cn.8.####.8
- qwtuaok####.com
- qwtuaok####.com.8.####.8
- ragssqg####.com
- ragssqg####.com.8.####.8
- rebhdta####.com
- rebhdta####.com.8.####.8
- ripmnsy####.ru
- ripmnsy####.ru.8.####.8
- rmjjmlk####.cn
- rmjjmlk####.cn.8.####.8
- ruxqtwa####.ru
- ruxqtwa####.ru.8.####.8
- rwkpgmx####.ru
- rwkpgmx####.ru.8.####.8
- rxxhfwa####.com
- rxxhfwa####.com.8.####.8
- sayfecq####.cn
- sayfecq####.cn.8.####.8
- sbluprc####.com
- sbluprc####.com.8.####.8
- sbpdjwh####.ru
- sbpdjwh####.ru.8.####.8
- sfxjdfm####.cn
- sfxjdfm####.cn.8.####.8
- sgpxplb####.com
- sgpxplb####.com.8.####.8
- shhhwvf####.cn
- shhhwvf####.cn.8.####.8
- shvwqwu####.ru
- shvwqwu####.ru.8.####.8
- siissfo####.cn
- siissfo####.cn.8.####.8
- siqolbx####.cn
- siqolbx####.cn.8.####.8
- siugfgp####.cn
- siugfgp####.cn.8.####.8
- slabtrq####.ru
- slabtrq####.ru.8.####.8
- snbfdum####.com
- snbfdum####.com.8.####.8
- sqxkhcv####.ru
- sqxkhcv####.ru.8.####.8
- stxhwnv####.ru
- stxhwnv####.ru.8.####.8
- sxgxkee####.com
- sxgxkee####.com.8.####.8
- tcypnti####.com
- tcypnti####.com.8.####.8
- trfsjbb####.ru
- trfsjbb####.ru.8.####.8
- tsnschv####.cn
- tsnschv####.cn.8.####.8
- tstwujh####.ru
- tstwujh####.ru.8.####.8
- tyosvxa####.com
- tyosvxa####.com.8.####.8
- uburrlp####.com
- uburrlp####.com.8.####.8
- uexghvl####.cn
- uexghvl####.cn.8.####.8
- uhkqqaa####.ru
- uhkqqaa####.ru.8.####.8
- ukfyeip####.com
- ukfyeip####.com.8.####.8
- ulrjmyo####.com
- ulrjmyo####.com.8.####.8
- umkxikq####.com
- umkxikq####.com.8.####.8
- uqcfmgu####.cn
- uqcfmgu####.cn.8.####.8
- usxillr####.cn
- usxillr####.cn.8.####.8
- uthcupx####.cn
- uthcupx####.cn.8.####.8
- uuyjevl####.com
- uuyjevl####.com.8.####.8
- uvipsku####.cn
- uvipsku####.cn.8.####.8
- vhgcunk####.cn
- vhgcunk####.cn.8.####.8
- visgrwj####.cn
- visgrwj####.cn.8.####.8
- vkjkrgh####.com
- vkjkrgh####.com.8.####.8
- vkvryti####.ru
- vkvryti####.ru.8.####.8
- vnysmhu####.com
- vnysmhu####.com.8.####.8
- vpdyafv####.ru
- vpdyafv####.ru.8.####.8
- vtuvnbi####.cn
- vtuvnbi####.cn.8.####.8
- wdmefnc####.cn
- wdmefnc####.cn.8.####.8
- wfgxxuo####.com
- wfgxxuo####.com.8.####.8
- wfrkhec####.cn
- wfrkhec####.cn.8.####.8
- wjtuvrh####.com
- wjtuvrh####.com.8.####.8
- wngvwnn####.com
- wngvwnn####.com.8.####.8
- wnyyvoj####.ru
- wnyyvoj####.ru.8.####.8
- woryvrg####.com
- woryvrg####.com.8.####.8
- wqtfjqm####.ru
- wqtfjqm####.ru.8.####.8
- wrojrer####.cn
- wrojrer####.cn.8.####.8
- wuocvst####.ru
- wuocvst####.ru.8.####.8
- wwfpgtq####.com
- wwfpgtq####.com.8.####.8
- xdjrlxn####.com
- xdjrlxn####.com.8.####.8
- xgkkvpa####.ru
- xgkkvpa####.ru.8.####.8
- xjodija####.ru
- xjodija####.ru.8.####.8
- xmliunw####.cn
- xmliunw####.cn.8.####.8
- xnwjtwq####.ru
- xnwjtwq####.ru.8.####.8
- xqguucm####.ru
- xqguucm####.ru.8.####.8
- xqpfxdt####.com
- xqpfxdt####.com.8.####.8
- xrgyarc####.ru
- xrgyarc####.ru.8.####.8
- xutotva####.ru
- xutotva####.ru.8.####.8
- xvaujun####.cn
- xvaujun####.cn.8.####.8
- xxqovkt####.cn
- xxqovkt####.cn.8.####.8
- xyupdrd####.cn
- xyupdrd####.cn.8.####.8
- xywpsxb####.com
- xywpsxb####.com.8.####.8
- yaigvus####.cn
- yaigvus####.cn.8.####.8
- yglhbgl####.com
- yglhbgl####.com.8.####.8
- yguoptv####.cn
- yguoptv####.cn.8.####.8
- yhnonqn####.ru
- yhnonqn####.ru.8.####.8
- yigngqr####.ru
- yigngqr####.ru.8.####.8
- yigogml####.com
- yigogml####.com.8.####.8
- yyjglta####.ru
- yyjglta####.ru.8.####.8
Запросы HTTP POST:
- muqgllm####.com/poll.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/FedEx.xml
- /data/data/####/classes-v1.bin
- /data/data/####/classes-v1.dex
- /data/data/####/classes-v1.dex.flock (deleted)
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.bin --oat-fd=33 --oat-location=/data/user/0/<Package>/app_apkprotector_dex/classes-v1.dex --compiler-filter=speed
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
