Android.BankBot.13866

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.BankBot.12953

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) shop10####.orange####.vip:80
TCP(HTTP/1.1) dualsta####.a####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) and####.b####.qq.com:443
TCP(TLS/1.0) def####.cn.zb.####.com:443
TCP(TLS/1.0) t####.j####.cn:443
TCP(TLS/1.0) ce3e####.j####.cn:443
TCP(TLS/1.0) co####.j####.cn:443
TCP(TLS/1.0) f####.j####.cn:443
TCP(TLS/1.0) firebas####.google####.com:443
TCP(TLS/1.0) config-####.j####.cn:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) pushsty####.qini####.com:443
TCP(TLS/1.2) 1####.251.1.113:443
TCP(TLS/1.2) 64.2####.165.94:443
TCP 1####.78.9.251:7001
UDP easytom####.com:19000
UDP rr1---s####.g####.com:443
UDP rr2---s####.g####.com:443
UDP firebas####.google####.com:443

Запросы DNS:

2.and####.p####.####.org
a####.a####.com
ali-s####.j####.cn
and####.b####.qq.com
bj####.j####.cn
ce3e####.j####.cn
co####.j####.cn
config-####.j####.cn
dualsta####.a####.com
dualsta####.a####.com
easytom####.com
f####.j####.cn
firebas####.google####.com
gd-s####.j####.cn
p####.google####.com
pla####.google####.com
pushs####.j####.cn
rr1---s####.g####.com
rr2---s####.g####.com
s.j####.cn
shop10####.orange####.vip
sis.j####.io
t####.j####.cn

Запросы HTTP POST:

and####.b####.qq.com:443/rqd/async?aid=####
ce3e####.j####.cn:443/wi/op8jdu
ce3e####.j####.cn:443/wi/sm2cg
co####.j####.cn:443/v1/status
def####.cn.zb.####.com:443/ws/device/adius?ent=####&in=jFoU####&keyt=####
dualsta####.a####.com/rest/aaid/get?ts=####&key=####&scode=####
dualsta####.a####.com/sdk/compliance/params
firebas####.google####.com:443/v1/projects/newnaver-6fb13/installations
shop10####.orange####.vip/api/app/device-state
shop10####.orange####.vip/api/app/function/switch-callback
shop10####.orange####.vip/api/app/upload-file

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/078820f4-354b-4b20-b424-6875ddc7b4c7
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/1004
/data/data/####/1668466877267-privacy.data
/data/data/####/17106103156722.0
/data/data/####/22100554664677.0
/data/data/####/3246f7d4-df8a-45f9-9586-615397038bc1
/data/data/####/3999860154776.0
/data/data/####/40106102793901.0
/data/data/####/5099865646173.0
/data/data/####/54100553928008.0
/data/data/####/5d215970-eda7-4290-b736-67ae7622998c
/data/data/####/5d215970-eda7-4290-b736-67ae7622998c (deleted)
/data/data/####/77ca4436-6add-467e-98bb-91f25ac278d2
/data/data/####/997c9b09-e0e4-4d1c-bf69-e09ae9bb3310
/data/data/####/AMap.privacy.data.xml
/data/data/####/AMap.privacy.data.xml.bak
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/CookiePersistence.xml
/data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo2OTk4NDYzMDE3M...Tk.xml
/data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo2OTk4NDYzMDE3M...ml.bak
/data/data/####/IpInfos.xml
/data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo2OTk4NDYz...k.json
/data/data/####/PersistedInstallation1445353725tmp
/data/data/####/PersistedInstallation1957839260tmp
/data/data/####/PersistedInstallation1998622643tmp
/data/data/####/PersistedInstallation895473907tmp
/data/data/####/Push_Page_Config.xml
/data/data/####/SharedPreferenceAdiu.xml
/data/data/####/adiu.amap.com.443
/data/data/####/ani_config.cache
/data/data/####/atv.cache
/data/data/####/bac.catch
/data/data/####/bal.catch
/data/data/####/ban.catch
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/bwc.catch
/data/data/####/cn.jiguang.analytics_push.xml
/data/data/####/cn.jiguang.analytics_push.xml.bak
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.common.xml.bak
/data/data/####/cn.jiguang.prefs.xml
/data/data/####/cn.jiguang.prefs.xml.bak
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.report.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml.bak
/data/data/####/cn.jmessage.preferences.xml
/data/data/####/cn.jmessage.preferences.xml.bak
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.config.xml
/data/data/####/cn.jpush.config.xml (deleted)
/data/data/####/cn.jpush.config.xml.bak
/data/data/####/cn.jpush.config.xml.bak (deleted)
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/cn.jpush.preferences.v2.xml.bak
/data/data/####/com.google.android.datatransport.events
/data/data/####/com.google.android.datatransport.events-journal
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.firebase.messaging.xml
/data/data/####/crashrecord.xml
/data/data/####/data.db
/data/data/####/data.db-journal
/data/data/####/di.json
/data/data/####/e830b691-95ef-4887-b081-bd509c90d923
/data/data/####/ef65737e-5725-4f3f-a091-bfd9f49eb195
/data/data/####/ef66d4ce-91fb-4c42-b0ec-1e1ceb28370c
/data/data/####/f0034cf4-f307-46a1-9d65-8811c6f19ee3
/data/data/####/fdfc4c30-09b1-4df3-b393-6e497fa6ad3c
/data/data/####/file1
/data/data/####/file1-c
/data/data/####/file2
/data/data/####/file2-c
/data/data/####/generatefid.lock
/data/data/####/info_screen.xml
/data/data/####/info_screen.xml.bak
/data/data/####/journal
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-journal (deleted)
/data/data/####/jpush_local_notification.db-wal
/data/data/####/k.store
/data/data/####/local_crash_lock
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/open_common.xml
/data/data/####/open_common.xml.bak
/data/data/####/pcf.cat
/data/data/####/pref1.xml
/data/data/####/proc_auxv
/data/data/####/push_stat_cache.json
/data/data/####/rl.catch
/data/data/####/tosversion
/data/media/####/.adiu
/data/media/####/.jdevice_id_map.bat
/data/media/####/.push_deviceid
/data/media/####/.push_udid
/data/media/####/crash-20221115020114715.txt
/data/media/####/crash-20221115020115449.txt
/data/media/####/crash-20221115020117183.txt
/data/media/####/crash-20221115020126706.txt
/data/media/####/perNote.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
getprop
getprop ro.build.nubia.rom.code
getprop ro.build.sense.version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.com.google.clientidbase
getprop ro.flyme.published
getprop ro.meizu.setupwizard.flyme
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop sys.lge.lgmdm_version
ps
stat -c %i /data/app
stat -c %i /data/data
stat -c %x /data/app
stat -c %x /data/data
stat -c %z /data/
stat -c %z /data/app

Загружает динамические библиотеки:

libdaemon
libshell-super.2019

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-ECB-OAEPWithSHA256AndMGF1Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Перехватывает уведомления.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней