Android.BankBot.15016

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.BankBot.484.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) nsclick####.b####.com:80
TCP(HTTP/1.1) f####.funs####.com:80
TCP(HTTP/1.1) ad.f####.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) pv.s####.com.####.com:80
TCP(HTTP/1.1) chinaw####.c####.l####.####.com:80
TCP(HTTP/1.1) wap.ylx####.com:80
TCP(HTTP/1.1) ad####.halo####.com:80
TCP(TLS/1.0) norma-e####.m####.com:443
TCP(TLS/1.0) er####.u####.com.####.com:443
TCP(TLS/1.0) pang####.sn####.com.####.net:443
TCP(TLS/1.0) co####.j####.cn:443
TCP(TLS/1.0) adjs-de####.e.kuai####.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) rr6---s####.g####.com:443
TCP(TLS/1.0) new-####.u####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com.####.com:443
TCP(TLS/1.0) sdk.verific####.jig####.cn:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) t####.m.qq.com:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) st####.yx####.com.####.net:443
TCP(TLS/1.0) to####.ctobsn####.com.####.net:443
TCP(TLS/1.0) adash####.man.aliy####.com:443
TCP(TLS/1.0) qzs.gd####.com.####.com:443
TCP(TLS/1.0) p####.ad####.com.####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.2) 1####.194.73.139:443
TCP(TLS/1.2) 74.1####.131.94:443
TCP(TLS/1.2) gmscomp####.google####.com:443
TCP(TLS/1.2) 74.1####.131.139:443
UDP gmscomp####.google####.com:443
TCP api-ac####.pangoli####.com.####.com:443
TCP pang####.sn####.com.####.net:443
TCP tnc3-b####.sn####.com.####.com:443
TCP sf3-ttc####.ps####.com.####.com:443
TCP zb-cent####.m.ta####.com:80
TCP ms####.m.u####.com:443

Запросы DNS:

a####.man.aliy####.com
acc####.m.ta####.com
ad####.halo####.com
ad.f####.com
amdc####.m.ta####.com
and####.b####.qq.com
and####.google####.com
api-ac####.pangoli####.com
app.v####.b####.com
co####.cmpass####.com
co####.j####.cn
er####.u####.com
f####.funs####.com
gmscomp####.google####.com
h####.b####.com
i####.me
l####.cmpass####.com
log.u####.com
m####.go####.com
norma-e####.m####.com
nsclick####.b####.com
o####.e.189.cn
o####.e.kuai####.com
one####.cmpass####.com
openc####.wos####.cn
p####.ad####.com
pang####.sn####.com
pv.s####.com
qzs.gd####.com
rr6---s####.g####.com
rr9---s####.g####.com
s####.e.qq.com
sdk.verific####.jig####.cn
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
st####.xinxian####.com
st####.yx####.com
t####.m.qq.com
tnc3-b####.sn####.com
to####.ctobsn####.com
u####.u####.com
umen####.m.ta####.com
ut####.u####.com
wap.cmpass####.com
wap.junshi####.cn
wap.ylx####.com
www.cmpass####.com

Запросы HTTP GET:

ad####.halo####.com/ssp/sdkAppConfig?appid=####
chinaw####.c####.l####.####.com/releasev1.zip
def####.duals####.cn.####.com:443/bar/get/60c85852a82b08615e526cb5/?pcv=...
f####.funs####.com/funssp/init?pn=####&appid=####
norma-e####.m####.com:443/android/exchange/getpublickey.do
nsclick####.b####.com/p.gif?appid=####&tpl=####&terminal=####&cuid=####&...
nsclick####.b####.com/thapi/feedconfig?imei=####&count=####&pid=####&pkg...
p####.ad####.com.####.com:443/kos/nlav11213/hybrid/ad-union-download-con...
p####.ad####.com.####.com:443/kos/nlav11213/hybrid/ad-union-download-pop...
p####.ad####.com.####.com:443/kos/nlav11213/hybrid/ad-union-splash-page/...
p####.ad####.com.####.com:443/udata/pkg/KS-Android-KSAdSDk/sdk/ksDynamic...
pv.s####.com.####.com/cityjson
qzs.gd####.com.####.com:443/union/res/android/plugin/plugin.dex-1295.jar
qzs.gd####.com.####.com:443/union/res/union_temp_v2/page/ANTempMob/tempM...
qzs.gd####.com.####.com:443/union/res/union_temp_v2/page/ANTempMob/video...
st####.yx####.com.####.net:443/s1/htmls/ad-union-middle-page/ad-union-mi...
st####.yx####.com.####.net:443/s1/htmls/content-interstitial-card/conten...
st####.yx####.com.####.net:443/udata/pkg/KS-Android-KSAdSDk/ks_so-appSta...
st####.yx####.com.####.net:443/udata/pkg/commercial_res_test/ks_so-Tachi...

Запросы HTTP POST:

ad.f####.com/req/init
adash####.man.aliy####.com:443/man/api?ak=####&s=####
adjs-de####.e.kuai####.com:443/rest/e/v3/open/appCheck
adjs-de####.e.kuai####.com:443/rest/e/v3/open/config
adjs-de####.e.kuai####.com:443/rest/e/v3/open/sdk/js2
adjs-de####.e.kuai####.com:443/rest/e/v3/open/sdk2
and####.b####.qq.com/rqd/async?aid=####
co####.j####.cn:443/v1/status
er####.u####.com.####.com:443/api/crashsdk/logcollect?chk=####&vno=####&...
er####.u####.com.####.com:443/apm_cc
er####.u####.com.####.com:443/perf_upload
h####.b####.com:443/app.gif
new-####.u####.com:443/api/postZdata/v4
norma-e####.m####.com:443/push/android/external/add.do
pang####.sn####.com.####.net:443/api/ad/union/sdk/stats/batch/
s####.e.qq.com/activate
s####.e.qq.com:443/event
s####.e.qq.com:443/mediation?version=####
s####.e.qq.com:443/perf
sdk.verific####.jig####.cn:443/config/ver/v4/android
t####.m.qq.com:443/?mc=####
to####.ctobsn####.com.####.net:443/service/2/device_register_only/?aid=#...
to####.ctobsn####.com.####.net:443/service/2/log_settings/?device_platfo...
u####.u####.com:443/umpx_push_launch
u####.u####.com:443/umpx_push_register
u####.u####.com:443/umpx_share
u####.u####.com:443/unify_logs
u####.u####.com:443/zcfg
wap.ylx####.com/encrypt/t/g
wap.ylx####.com/to/pg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.confd
/data/data/####/.confd-journal
/data/data/####/.fsgkea
/data/data/####/.imprint
/data/data/####/.jg.ac
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_pid
/data/data/####/.lock
/data/data/####/.mtj_timestamp
/data/data/####/.turing.dat
/data/data/####/1002
/data/data/####/1004
/data/data/####/105498_au_1
/data/data/####/1d7842c4752cfad2ae1855d9ce1d687a-4011-4011.apk
/data/data/####/3728.yaqcookie
/data/data/####/4237.yaqcookie
/data/data/####/4cb8e5d7cf5299dd8c52b3c53a3383b5
/data/data/####/60c85852a82b08615e526cb5_flow.sp
/data/data/####/60c85852a82b08615e526cb5_flow.sp.bak
/data/data/####/ACCS_BINDdefault.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/JH0OEDIV0MOC.st
/data/data/####/LENNAHC1JH0OEDIV0MOC.st
/data/data/####/LOCAL_APP_STATUS_RULES_JSON
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/Push_Page_Config.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/VERIFY_SP.xml
/data/data/####/VERIFY_SP.xml.bak
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/Y29uZmlnXzYwYzg1ODUyYTgyYjA4NjE1ZTUyNmNiNQ.sp
/data/data/####/Y29uZmlnXzYwYzg1ODUyYTgyYjA4NjE1ZTUyNmNiNQ.sp.bak
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1711556334421
/data/data/####/a.dex
/data/data/####/a.dex.flock (deleted)
/data/data/####/accs.db-journal
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/base-1.apk
/data/data/####/base-1.dex
/data/data/####/base-1.dex.flock (deleted)
/data/data/####/bdvsdk_multiproc_sharedpref.db
/data/data/####/bdvsdk_multiproc_sharedpref.db-journal
/data/data/####/bdvsdk_sharedpref_mtj.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.so
/data/data/####/cache_download_landing_page.html
/data/data/####/cache_feed_splash.html
/data/data/####/cache_insert_screen.html
/data/data/####/cache_pop_wind.html
/data/data/####/cache_sec_download_pop_window.html
/data/data/####/cdt.wa
/data/data/####/channel_umeng_common_config.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/classes.dex;classes8.dex
/data/data/####/classes.dex;classes9.dex
/data/data/####/cn.jiguang.joperate.jcore_config.xml
/data/data/####/cn.jiguang.jverify_v4.xml
/data/data/####/cn.jiguang.prefs.xml
/data/data/####/cn.jiguang.verifysdk.sms.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.qq.e.sdkconfig.xml.bak
/data/data/####/com.video.hj.BETA_VALUES.xml
/data/data/####/com.video.hj.BETA_VALUES.xml.bak
/data/data/####/com.video.hj_preferences.xml
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.vi...hannel
/data/data/####/config
/data/data/####/cr.wa
/data/data/####/crashrecord.xml
/data/data/####/dd497e4dba39ff5baf6c2274df64d2b1
/data/data/####/delayed_transmission_flag_new.xml
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_landing_page.html
/data/data/####/dt.wa
/data/data/####/dynamic-1711556329291-3.3.62.apk
/data/data/####/dynamic.apk
/data/data/####/dynamic.dex
/data/data/####/dynamic.dex.flock (deleted)
/data/data/####/efs_launch.xml
/data/data/####/efsid
/data/data/####/efsid3728
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_cache.xml.bak
/data/data/####/httpdns_config_enable.xml
/data/data/####/huanju_fusion_info.xml
/data/data/####/i==1.2.0&&1.5.9_1711556325870_dW5pZnlfbG9ncw==;.log
/data/data/####/insert_screen.html
/data/data/####/ksadrep.db-journal
/data/data/####/ksadsdk_JS_CONFIG.xml
/data/data/####/ksadsdk_config.xml
/data/data/####/ksadsdk_device_sig.xml
/data/data/####/ksadsdk_download_landing_page_config.xml
/data/data/####/ksadsdk_download_pop_window_config.xml
/data/data/####/ksadsdk_egid.xml
/data/data/####/ksadsdk_insert_screen_config.xml
/data/data/####/ksadsdk_model.xml
/data/data/####/ksadsdk_pref.xml
/data/data/####/ksadsdk_rep.xml
/data/data/####/ksadsdk_sec_download_pop_window_config.xml
/data/data/####/ksadsdk_seq.xml
/data/data/####/ksadsdk_splash_template_config.xml
/data/data/####/kscfg_outdfp.xml
/data/data/####/kssdk_api_pref.xml
/data/data/####/kwappstatus-v7a17115563612501428287107.tmp
/data/data/####/libMMANDKSignature.1396be94.so
/data/data/####/libMMANDKSignature.d1057db6.so
/data/data/####/libPglmetasec_ml.so
/data/data/####/libavmdl_lite.so
/data/data/####/libbh.so
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libkwad-fb.so
/data/data/####/libkwad-j2v8.so
/data/data/####/libkwad-yoga.so
/data/data/####/libkwappstatus.so
/data/data/####/libsgcore.so
/data/data/####/libtobEmbedEncrypt.so
/data/data/####/libttmplayer_lite.so
/data/data/####/libturingau.1396be94.so
/data/data/####/libturingau.d1057db6.so
/data/data/####/libyaqbasic.1396be94.so
/data/data/####/libyaqbasic.d1057db6.so
/data/data/####/libyaqpro.1396be94.so
/data/data/####/libyaqpro.d1057db6.so
/data/data/####/local_crash_lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/mofang_share_preference.xml
/data/data/####/mpdc_105498_1
/data/data/####/native_record_lock
/data/data/####/old_report_cache.l
/data/data/####/old_report_cache.l (deleted)
/data/data/####/p==6.3.3&&1.5.9_1711556326996_dW1weF9wdXNoX3JlZ...y;.log
/data/data/####/p==6.3.3&&1.5.9_1711556337651_dW1weF9wdXNoX2xhd...=;.log
/data/data/####/paconfig.sp
/data/data/####/paconfig.sp.bak
/data/data/####/pangle_com.byted.pangle_bd_embed_tea_agent.db-journal
/data/data/####/pangle_com.byted.pangle_downloader.db-journal
/data/data/####/pangle_com.byted.pangle_embed_applog_stats.xml
/data/data/####/pangle_com.byted.pangle_embed_header_custom.xml
/data/data/####/pangle_com.byted.pangle_npth.xml
/data/data/####/pangle_com.byted.pangle_npth_log.db-journal
/data/data/####/pangle_com.byted.pangle_snssdk_openudid.xml
/data/data/####/pangle_com.byted.pangle_sp_global_info.xml
/data/data/####/pangle_com.byted.pangle_sp_global_info.xml.bak
/data/data/####/pangle_com.byted.pangle_sp_multi_info.xml
/data/data/####/pangle_com.byted.pangle_sp_multi_ttadnet_config.xml
/data/data/####/pangle_com.byted.pangle_sphelper_ttopenadsdk.xml
/data/data/####/pangle_com.byted.pangle_ss_app_config.xml
/data/data/####/pangle_com.byted.pangle_tt_ad_sdk_sp.xml
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings.xml
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings.xml.bak
/data/data/####/pangle_com.byted.pangle_tt_sp_app_list.xml
/data/data/####/pangle_com.byted.pangle_ttnet_tnc_config1371.xml
/data/data/####/pangle_com.byted.pangle_ttopenadsdk.xml
/data/data/####/pangle_com.byted.pangle_ttopenadsdk.xml.bak
/data/data/####/pangle_com.byted.pangle_ttopensdk.db-journal
/data/data/####/pangle_meta_data_sp.xml
/data/data/####/patrace_gzip_1_2_4237_8142_1711556344340
/data/data/####/patracepv_gzip_1_2_4237_6328_1711556343694
/data/data/####/pop_wind.html
/data/data/####/proc_auxv
/data/data/####/pub.dat
/data/data/####/qa_ad_mob.xml
/data/data/####/qa_ad_mob.xml.bak (deleted)
/data/data/####/s==7.1.4&&1.5.9_1711556325388_dW1weF9zaGFyZQ==;.log
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sec_download_pop_window.html
/data/data/####/security_info
/data/data/####/sendlock
/data/data/####/share.db-journal
/data/data/####/sotk-v7a17115563264211368175072.tmp
/data/data/####/sp_replace_flag.sp
/data/data/####/sp_replace_flag.sp.bak
/data/data/####/ssoconfigs.xml
/data/data/####/t==9.4.7&&1.5.9_1711556326157_dW5pZnlfbG9ncw==;.log
/data/data/####/temp.dat
/data/data/####/temp.png
/data/data/####/temp00.png
/data/data/####/turingfd_conf_105498_au.xml
/data/data/####/turingfd_conf_105498_au.xml.bak
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_policy_grant.xml
/data/data/####/um_session_id.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_policy_result_flag
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_sp_oaid.xml
/data/data/####/umeng_zcfg_flag
/data/data/####/umeng_zero_cache.db
/data/data/####/umeng_zero_cache.db-journal
/data/data/####/umzid_general_config.xml
/data/data/####/unique
/data/data/####/update_lc
/data/data/####/ver
/data/data/####/wa_gzip_1_1_3728_1199_1711556351977
/data/data/####/yaq.1396be94.sec
/data/data/####/yaq.d1057db6.sec
/data/data/####/yaq2.1396be94.sec
/data/data/####/yaq2.d1057db6.sec
/data/data/####/yaq3_0.1396be94.sec
/data/data/####/yaq3_0.d1057db6.sec
/data/data/####/yaqsdkcookie
/data/data/####/z==1.2.0&&1.5.9_1711556321495_emNmZw==;.log
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.oukdtft
/data/media/####/.turing.dat
/data/media/####/2024-03-27.log.txt
/data/media/####/2115e57e5cd34e10d8fd7a9374bc8af3
/data/media/####/4af5141710bdd56f002b7548d6de0ca7
/data/media/####/5f41d7282ccb9a4f6b23724cdcdb4cff
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/afac6582df2aecb3c61836ab9618b173
/data/media/####/clientudid.dat
/data/media/####/config.txt
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/meta.dat
/data/media/####/temp_pkg_info.json
/data/misc/####/primary.prof
/data/user_de/####/move_to_de_records.xml

Другие:

Запускает следующие shell-скрипты:

/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
cat /proc/sys/kernel/random/boot_id
cat /sys/class/net/wlan0/address
cat /sys/devices/soc0/serial_number
chmod 0755 /data/user/0/<Package>/app_cache/cache/bx_sdk.so
chmod 0755 /data/user/0/<Package>/app_cache/cache/temp.dat
getprop
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.system.manufacturer
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls -l /system/bin/su
ls /
ls /sys/class/thermal
sh
sh -c type su

Загружает динамические библиотеки:

libBugly
libMMANDKSignature.1396be94
libMMANDKSignature.d1057db6
libPglmetasec_ml
libavmdl_lite
libcrashsdk
libjiagu
libkwad-fb
libkwad-j2v8
libkwad-yoga
libkwappstatus
libsgcore
libtnet-3.1.14
libtobEmbedEncrypt
libturingau.1396be94
libturingau.d1057db6
libumeng-spy
libvideo_decrypt
libyaqbasic.1396be94
libyaqbasic.d1057db6
libyaqpro.1396be94
libyaqpro.d1057db6

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
RSA-ECB-OAEPWithSHA-256AndMGF1Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней