Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.Cerberus.1.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) 74.1####.131.94:80
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) im####.ctfas####.net:443
- TCP(TLS/1.0) as####.coin####.com:443
- TCP(TLS/1.0) 74.1####.131.94:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) publish####.coin####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) rr18---####.g####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.2) and####.a####.go####.com:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) www.go####.com:443
- UDP p####.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- as####.coin####.com
- coin####.com
- dynamic####.coin####.com
- egetrge####.xyz
- im####.ctfas####.net
- m####.go####.com
- p####.google####.com
- publish####.coin####.com
- rr18---####.g####.com
- rr2---s####.g####.com
- rr9---s####.g####.com
- www.coin####.com
- www.go####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/06bce53fc9ded6e6_0
- /data/data/####/0b97826063d3d5b6_0
- /data/data/####/0d28663e708f92d8_0
- /data/data/####/0d28663e708f92d8_1
- /data/data/####/11f5cf4b62ab0a3f_0
- /data/data/####/191a989004bf3a8a_0
- /data/data/####/191a989004bf3a8a_1
- /data/data/####/20c600b8f2b9603c_0
- /data/data/####/33396af9325551d7_0
- /data/data/####/349cffaad502de68_0
- /data/data/####/3669320a0780d262_0
- /data/data/####/455a58cd95425160_0
- /data/data/####/4b47add989a32a14_0
- /data/data/####/57f757ee18606317_0
- /data/data/####/57f757ee18606317_1
- /data/data/####/5ca7870b85a76f2c_0
- /data/data/####/5ca7870b85a76f2c_1
- /data/data/####/60a65acc11059737_0
- /data/data/####/60a65acc11059737_1
- /data/data/####/61383d85a9e44702_0
- /data/data/####/640db804462b533a_0
- /data/data/####/640db804462b533a_1
- /data/data/####/69c68f52d3909c39_0
- /data/data/####/69c68f52d3909c39_1
- /data/data/####/6f0b004b13454740_0
- /data/data/####/73345bb60e83d9b9_0
- /data/data/####/73345bb60e83d9b9_1
- /data/data/####/789c39ddd26b7c83_0
- /data/data/####/8d4e92e5acef4165_0
- /data/data/####/9016458dc99f6ad1_0
- /data/data/####/9628760e406aeb70_0
- /data/data/####/9628760e406aeb70_1
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/Yu.dex
- /data/data/####/Yu.dex.flock (deleted)
- /data/data/####/Yu.json
- /data/data/####/a0b124e0f4c97c9d_0
- /data/data/####/a875a882c28f6a6c_0 (deleted)
- /data/data/####/ab0503272fcb548e_0
- /data/data/####/ab0503272fcb548e_1
- /data/data/####/b0af21007df66db7_0
- /data/data/####/b9f58def59d46821_0
- /data/data/####/c1820acaf4c5968c_0
- /data/data/####/c1820acaf4c5968c_1
- /data/data/####/c5048385f07faafe_0
- /data/data/####/c59997b774fbd469_0
- /data/data/####/cedc3f498460b8c9_0
- /data/data/####/com.clerk.holiday_preferences.xml
- /data/data/####/d255c90b4cf94d52_0
- /data/data/####/d255c90b4cf94d52_1
- /data/data/####/d548fd5f49bd7e75_0
- /data/data/####/d641d88d77d5558f_0
- /data/data/####/de115bdb1e633f4d_0
- /data/data/####/df9e3e14ed468f29_0
- /data/data/####/eda34c66aa8e769e_0
- /data/data/####/fb79e44d755a888b_0
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/settings.xml
- /data/data/####/settings.xml.bak
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Использует права администратора.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об активных администраторах устройства.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Запрашивает разрешение на отображение системных уведомлений.
