Android.BankBot.13809

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.BankBot.12953

Сетевая активность:

Подключается к:

TCP(DNS) <Google DNS>
TCP(DNS) 8####.8.4.4:53
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) ko-plus####.oss-ap-####.aliy####.com:80
TCP(HTTP/1.1) shop10####.orange####.vip:80
TCP(HTTP/1.1) dualsta####.a####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) and####.b####.qq.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) co####.j####.cn:443
TCP(TLS/1.0) ce3e####.j####.cn:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) cloud-c####.rtc.aliy####.com:443
TCP(TLS/1.0) videoc####.cn-hang####.log.####.com:443
TCP(TLS/1.0) pushsty####.qini####.com:443
TCP(TLS/1.0) firebas####.google####.com:443
TCP(TLS/1.0) config-####.j####.cn:443
TCP(TLS/1.0) sdkse####.im.jig####.cn:443
TCP(TLS/1.2) 1####.177.14.138:443
TCP(TLS/1.2) firebas####.google####.com:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) www.google####.com:443
UDP 85.1####.117.141:443
UDP 1####.229.215.60:19000
UDP s.j####.cn:19000
UDP rr1---s####.g####.com:443
UDP firebas####.google####.com:443
UDP 1####.196.118.23:19000
TCP 1####.36.106.89:7005
TCP i####.j####.cn:7005
UDP 1####.121.49.100:19000

Запросы DNS:

2.and####.p####.####.org
a####.a####.com
and####.a####.go####.com
and####.b####.qq.com
ce3e####.j####.cn
cloud-c####.rtc.aliy####.com
co####.j####.cn
config-####.j####.cn
dualsta####.a####.com
dualsta####.a####.com
easytom####.com
firebas####.google####.com
i####.j####.cn
ko-plus####.oss-ap-####.aliy####.com
m####.go####.com
p####.google####.com
pushs####.j####.cn
rr1---s####.g####.com
s.j####.cn
sdk.im.jig####.cn
sdkse####.im.jig####.cn
shop10####.orange####.vip
sis.j####.io
videoc####.cn-hang####.log.####.com
www.google####.com

Запросы HTTP GET:

sdkse####.im.jig####.cn:443/token
sdkse####.im.jig####.cn:443/users/957807181/blacklist
sdkse####.im.jig####.cn:443/users/957807181/friends
sdkse####.im.jig####.cn:443/users/957807181/groupsShield?version=####
sdkse####.im.jig####.cn:443/users/957807181/nodisturb?version=####
shop10####.orange####.vip/api/app/blacklist?phone_code=####&reset=####
shop10####.orange####.vip/api/app/mapping-phone?phone_code=####&reset=####
shop10####.orange####.vip/api/app/oss/configs
shop10####.orange####.vip/api/app/whitelist?phone_code=####
videoc####.cn-hang####.log.####.com:443/logstores/alilive-log/track?APIV...

Запросы HTTP HEAD:

ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/alpaca-2214650...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/bear-1331989_1...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/bitcoin-200776...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/blueberries-22...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/cats-eyes-2671...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/chicks-2426644...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/cow-2788835_19...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/dog-2437110_12...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/fly-2523917_12...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/fuchs-2424369_...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/lighthouse-222...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/macro-2300109_...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/monkey-2790452...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/pic01.jpg
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/pic02.jpg
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/pic03.jpg
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/pic04.jpg
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/pic05.jpg
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/portrait-28706...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/salami-2645403...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/steam-locomoti...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/tit-2926522_19...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/tree-2925324_1...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/vegetables-292...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/water-2208931_...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/wolf-in-sheeps...

Запросы HTTP POST:

and####.b####.qq.com:443/rqd/async?aid=####
ce3e####.j####.cn:443/wi/op8jdu
cloud-c####.rtc.aliy####.com:443/configservice/v3/getLivePushConfig
co####.j####.cn:443/v1/status
def####.cn.zb.####.com:443/ws/device/adius?ent=####&in=jFoU####&keyt=####
dualsta####.a####.com/rest/aaid/get?ts=####&key=####&scode=####
dualsta####.a####.com/sdk/compliance/params
firebas####.google####.com:443/v1/projects/newnaver-6fb13/installations
sdkse####.im.jig####.cn:443/users/batch?idtype=####
shop10####.orange####.vip/api/app/app-reg
shop10####.orange####.vip/api/app/device-state
shop10####.orange####.vip/api/app/function/switch-callback
shop10####.orange####.vip/api/app/upload-file

Запросы HTTP PUT:

ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/alpaca-2214650...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/bear-1331989_1...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/bitcoin-200776...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/blueberries-22...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/cats-eyes-2671...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/chicks-2426644...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/cow-2788835_19...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/dog-2437110_12...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/fly-2523917_12...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/fuchs-2424369_...
ko-plus####.oss-ap-####.aliy####.com/file/file/shop10/128/lighthouse-222...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.updateIV.dat
/data/data/####/.updateIV.dat_0
/data/data/####/.updateIV.dat_1
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/04ced8e039c10b3e2b7bf339c471c540.0
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/1004
/data/data/####/1667861364679-privacy.data
/data/data/####/18100274916788.0
/data/data/####/2690554748063.0
/data/data/####/3ed7b20e-b910-4933-ab91-2d4f6d698f43
/data/data/####/5492513904087.0
/data/data/####/7292550344125.0
/data/data/####/75100276646946.0
/data/data/####/8990575440096.0
/data/data/####/9196319453997.0
/data/data/####/957807181jpushim.db
/data/data/####/957807181jpushim.db-journal
/data/data/####/AMap.privacy.data.xml
/data/data/####/AMap.privacy.data.xml.bak
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/CookiePersistence.xml
/data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo2OTk4NDYzMDE3M...Tk.xml
/data/data/####/IpInfos.xml
/data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo2OTk4NDYz...k.json
/data/data/####/PersistedInstallation1348486206tmp
/data/data/####/PersistedInstallation1597798833tmp
/data/data/####/Push_Page_Config.xml
/data/data/####/SharedPreferenceAdiu.xml
/data/data/####/adiu.amap.com.443
/data/data/####/afm.cache
/data/data/####/alsn20170807.db
/data/data/####/alsn20170807.db-journal
/data/data/####/ani_config.cache
/data/data/####/bac.catch
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/cn.jiguang.analytics_push.xml
/data/data/####/cn.jiguang.analytics_push.xml.bak
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.prefs.xml
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jmessage.preferences.xml
/data/data/####/cn.jmessage.preferences.xml.bak
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.config.xml
/data/data/####/cn.jpush.config.xml.bak
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml.bak
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.google.android.datatransport.events
/data/data/####/com.google.android.datatransport.events-journal
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.firebase.messaging.xml
/data/data/####/crashrecord.xml
/data/data/####/crashrecord.xml (deleted)
/data/data/####/data.db
/data/data/####/data.db-journal
/data/data/####/fdb60390b9cb6bda92612ce730dfd329.0
/data/data/####/file1
/data/data/####/file1-c
/data/data/####/file2
/data/data/####/file2-c
/data/data/####/generatefid.lock
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/info_screen.xml
/data/data/####/info_screen.xml.bak
/data/data/####/info_screen.xml.bak (deleted)
/data/data/####/journal
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-journal (deleted)
/data/data/####/jpush_local_notification.db-wal
/data/data/####/k.store
/data/data/####/local_crash_lock
/data/data/####/native_record_lock
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/open_common.xml
/data/data/####/open_common.xml.bak
/data/data/####/pcf.cat
/data/data/####/pref.xml
/data/data/####/pref1.xml
/data/data/####/proc_auxv
/data/data/####/push_stat_cache.json
/data/data/####/room-journal (deleted)
/data/data/####/tosversion
/data/media/####/.adiu
/data/media/####/.jdevice_id_map.bat
/data/media/####/.jpush_uid.bat
/data/media/####/.push_deviceid
/data/media/####/alilive_data.txt
/data/media/####/allfiles1_1667861438900.txt
/data/media/####/alpaca-2214650_1920.jpg
/data/media/####/app_1667861397016.txt
/data/media/####/bear-1331989_1280.jpg
/data/media/####/bitcoin-2007769_1280.jpg
/data/media/####/blueberries-2270379_1280.jpg
/data/media/####/cats-eyes-2671903_1920.jpg
/data/media/####/chicks-2426644_1920.jpg
/data/media/####/cloud_config_cache_v3.dat
/data/media/####/com.android.calculator2.jpg
/data/media/####/com.android.calendar.jpg
/data/media/####/com.android.camera2.jpg
/data/media/####/com.android.contacts.jpg
/data/media/####/com.android.deskclock.jpg
/data/media/####/com.android.development.jpg
/data/media/####/com.android.dialer.jpg
/data/media/####/com.android.documentsui.jpg
/data/media/####/com.android.email.jpg
/data/media/####/com.android.gallery3d.jpg
/data/media/####/com.android.messaging.jpg
/data/media/####/com.android.quicksearchbox.jpg
/data/media/####/com.android.settings.jpg
/data/media/####/com.android.vending.jpg
/data/media/####/com.cyanogenmod.eleven.jpg
/data/media/####/com.example.android.notepad.jpg
/data/media/####/com.example.android.rssreader.jpg
/data/media/####/com.google.android.play.games.jpg
/data/media/####/com.sjz.ktc.paua.fms.jpg
/data/media/####/contact1_1667861379083.txt
/data/media/####/contact1_1667861404543.txt
/data/media/####/cow-2788835_1920.jpg
/data/media/####/crash-20221108014924303.txt
/data/media/####/crash-20221108014924624.txt
/data/media/####/crash-20221108014924650.txt
/data/media/####/crash-20221108014933191.txt
/data/media/####/crash-20221108014933540.txt
/data/media/####/crash-20221108014937109.txt
/data/media/####/crash-20221108014939580.txt
/data/media/####/dog-2437110_1280.jpg
/data/media/####/fly-2523917_1280.jpg
/data/media/####/fuchs-2424369_1920.jpg
/data/media/####/jackpal.androidterm.jpg
/data/media/####/lighthouse-2225445_1280.jpg
/data/media/####/macro-2300109_1920.jpg
/data/media/####/monkey-2790452_1920.jpg
/data/media/####/note1_1667861377184.txt
/data/media/####/num_list1_1667861377093.txt
/data/media/####/org.chromium.webview_shell.jpg
/data/media/####/perNote.txt
/data/media/####/pic01.jpg
/data/media/####/pic02.jpg
/data/media/####/pic03.jpg
/data/media/####/pic04.jpg
/data/media/####/pic05.jpg
/data/media/####/portrait-2870659_1920.jpg
/data/media/####/steam-locomotive-2926528_1920.jpg
/data/media/####/tit-2926522_1920.jpg
/data/media/####/tree-2925324_1920.jpg
/data/media/####/vegetables-2924245_1280.jpg
/data/media/####/water-2208931_1280.jpg
/data/media/####/wolf-in-sheeps-clothing-2577813_1920.jpg
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
getprop
getprop ro.build.nubia.rom.code
getprop ro.build.sense.version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.com.google.clientidbase
getprop ro.flyme.published
getprop ro.meizu.setupwizard.flyme
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop sys.lge.lgmdm_version
stat -c %i /data/app
stat -c %i /data/data
stat -c %x /data/app
stat -c %x /data/data
stat -c %z /data/
stat -c %z /data/app

Загружает динамические библиотеки:

liball_in_one
libshell-super.2019

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию о входящих/исходящих звонках.

Получает информацию об отправленых/принятых SMS.

Перехватывает уведомления.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней