Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Banker.6208
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) f####.gst####.com:80
- UDP(NTP) t####.and####.com:123
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) sexydix####.com:443
- TCP(TLS/1.0) sexydix####.firebas####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) r-u####.barta####.wor####.dev:443
- TCP(TLS/1.0) fire####.google####.com:443
- TCP(TLS/1.0) a####.go####.com:443
- TCP(TLS/1.0) s####.dual####.s-part-####.####.net:443
- TCP(TLS/1.0) st####.cloudfl####.com:443
- TCP(TLS/1.0) cl####.sleek####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) f.cla####.ms:443
- TCP(TLS/1.0) rgreso####.b####.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) sexydix####.b####.net:443
- TCP(TLS/1.0) sexy####.com:443
- TCP(TLS/1.0) api-cl####.sleek####.com:443
- TCP(TLS/1.0) pre####.r####.it:443
- TCP(TLS/1.0) sdads####.b####.net:443
- TCP(TLS/1.0) th####.only####.com:443
- UDP fire####.google####.com:443
- UDP a####.go####.com:443
- UDP sexy####.com:443
- UDP sexydix####.b####.net:443
- UDP 2####.255.255.255:67
Запросы DNS:
- a####.go####.com
- api-cl####.sleek####.com
- cl####.sleek####.com
- connect####.gst####.com
- externa####.r####.it
- f####.gst####.com
- f.cla####.ms
- fire####.google####.com
- firebas####.google####.com
- pre####.r####.it
- r-u####.barta####.wor####.dev
- rgreso####.b####.net
- sdads####.b####.net
- sexy####.com
- sexydix####.b####.net
- sexydix####.b####.net
- sexydix####.com
- sexydix####.firebas####.com
- st####.cloudfl####.com
- t####.and####.com
- th####.only####.com
- www.cla####.ms
- www.go####.com
- www.google-####.com
- www.googlet####.com
Изменения в файловой системе:
Создает следующие файлы:
- /app_webview/Default/####/000003.log
- /app_webview/Default/####/000004.log
- /app_webview/Default/####/Databases.db
- /app_webview/Default/####/Databases.db-journal
- /app_webview/Default/####/LOCK
- /app_webview/Default/####/LOG
- /app_webview/Default/####/MANIFEST-000001
- /app_webview/Default/Cookies
- /app_webview/Default/QuotaManager
- /app_webview/Default/QuotaManager-journal
- /app_webview/Default/Web Data
- /app_webview/Default/Web Data-journal
- /app_webview/variations_seed_new
- /app_webview/webview_data.lock
- /cache/WebView/####/ae27bdb4c0e8dbc6_0
- /data/data/####/.org.chromium.Chromium.mFDnC4
- /data/data/####/000001.dbtmp
- /data/data/####/000003.log
- /data/data/####/000005.ldb
- /data/data/####/0039341ca4589c64_0
- /data/data/####/014aade9695c4ed9_0
- /data/data/####/01dcc8bc83eb097b_0
- /data/data/####/0ea597972187b8d4_0
- /data/data/####/0f1646b828baec6a_0
- /data/data/####/12090c3d0d0439ee_0
- /data/data/####/12d6efc559879aac_0
- /data/data/####/13c96a05ed149485_0
- /data/data/####/14dd3de3e271bd69_0
- /data/data/####/15aed986206f1e92_0
- /data/data/####/17dd086454f39b91_0
- /data/data/####/18a49d3a3ea63abe_0
- /data/data/####/1c2812de0d3c2440_0
- /data/data/####/1cf9a94a70f9acf9_0
- /data/data/####/21c74ec81cf005a8_0
- /data/data/####/228c9b1ae8b15ec6_0
- /data/data/####/23e11bd67c045d9b_0
- /data/data/####/24928072dbf05137_0
- /data/data/####/266e65417409c200_0
- /data/data/####/267d42ce5ce07ad5_0
- /data/data/####/2c2427f692d7c1c6_0
- /data/data/####/2c3f33262b095870_0
- /data/data/####/2cb8a1c6ebc719cd_0
- /data/data/####/308de4766555bb60_0
- /data/data/####/30eed4b56c09a600_0
- /data/data/####/319d5827e4af53b7_0
- /data/data/####/3441d671268bf2ae_0
- /data/data/####/368ad6a609701f46_0
- /data/data/####/3829cf1cd319389a_0
- /data/data/####/3a548e0098c71057_0
- /data/data/####/3bb264a08ab3de16_0
- /data/data/####/3deced2c3d4c8e47_0
- /data/data/####/4355f4c6562c1b6e_0
- /data/data/####/43f9399a432d1ee7_0
- /data/data/####/45117d21d1538fdc_0
- /data/data/####/45415153c3d3c176_0
- /data/data/####/4bb003e0b810507e_0
- /data/data/####/4cdfb7e473a509a3_0
- /data/data/####/4e3f3f798d83d0ff_0
- /data/data/####/50379b0abe72108d_0
- /data/data/####/5711721436feb7dd_0
- /data/data/####/5d5027922292328c_0
- /data/data/####/5d93154ebfff56a6_0
- /data/data/####/5e0643805e2b94dc_0
- /data/data/####/5ec6ee04a1eddcb6_0
- /data/data/####/5faa9f9972bfa95f_0
- /data/data/####/66ee4456e9f89865_0
- /data/data/####/698ca400203bdb20_0
- /data/data/####/6d63f6185c6f1829_0
- /data/data/####/6dea1fb585bb31bd_0
- /data/data/####/7073bb68ab00dd5d_0
- /data/data/####/715da10b35aa72ab_0
- /data/data/####/75a3d977909b3f36_0
- /data/data/####/783e93055ee429ae_0
- /data/data/####/7855814d0cb611c2_0
- /data/data/####/792689fddbf60f74_0
- /data/data/####/7a73f58f436d23af_0
- /data/data/####/7e2e2c6b38acc49d_0
- /data/data/####/867204b6119c9952_0
- /data/data/####/87046aef918dc7e7_0
- /data/data/####/89dfa7f8baa90a8d_0
- /data/data/####/8e4b0d7d228c9062_0
- /data/data/####/8ef870280be4aba7_0
- /data/data/####/8fa8780be2233a97_0
- /data/data/####/900f154f1073f123_0
- /data/data/####/9016f639e610f385_0
- /data/data/####/933470cbdb985067_0
- /data/data/####/971b809cb24e0ab1_0
- /data/data/####/992203ed539e3f74_0
- /data/data/####/99e8655c98f12f1b_0
- /data/data/####/9ac61abc6bdf6ac9_0
- /data/data/####/9d7d6e2ff48a2ac9_0
- /data/data/####/9e4bc0e019f37bf5_0
- /data/data/####/9f923053facc0dc1_0
- /data/data/####/Cookies-journal
- /data/data/####/MANIFEST-000001
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a812872ecf8382f3_0
- /data/data/####/a8c55d5e73bb2430_0
- /data/data/####/ab3a99af906651c2_0
- /data/data/####/ac5775f959057c27_0
- /data/data/####/ac602733c4e7fe02_0
- /data/data/####/acc98789a6fe14f2_0
- /data/data/####/ad6f5cca810cc4e4_0
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/androidx.work.workdb-wal
- /data/data/####/androidx.work.workdb.lck
- /data/data/####/b02745a2e99a646d_0
- /data/data/####/b23a07b6f9eed09a_0
- /data/data/####/b5e2fa9010d17180_0
- /data/data/####/b72d4faf23f162ac_0
- /data/data/####/ba700cd5314dbe5d_0
- /data/data/####/bb1d702f866ce8a5_0
- /data/data/####/be29068a7e5e25d7_0
- /data/data/####/be4ce1c6352d1537_0
- /data/data/####/c27f7d0ce63552c5_0
- /data/data/####/c48b6b631c55660a_0
- /data/data/####/c54ca9c88973891b_0
- /data/data/####/c67b0e7794dff11e_0
- /data/data/####/c7251b54b6cc10a5_0
- /data/data/####/c8a9382c41286915_0
- /data/data/####/cb5d5dfe30707c36_0
- /data/data/####/d6138499f77ce69d_0
- /data/data/####/d64d016d2ac6362d_0
- /data/data/####/d8296e9c181b941a_0
- /data/data/####/d8abee336fdb2a74_0
- /data/data/####/db7a9ae842b9a5f0_0
- /data/data/####/dba3af2000976017_0
- /data/data/####/dc722431d0bd4730_0
- /data/data/####/dd619e46842a8885_0
- /data/data/####/dd934919a75b7a81_0
- /data/data/####/ded3d41fadae8b1e_0
- /data/data/####/e0c7716abde88b2a_0
- /data/data/####/e197ce029b9f8a13_0
- /data/data/####/e1f16e166c6edd7c_0
- /data/data/####/e49113b0c0f05a35_0
- /data/data/####/e5ea81f20b46f14d_0
- /data/data/####/eJlOR.json
- /data/data/####/eJlOR.json.cur.prof
- /data/data/####/eJlOR.vdex
- /data/data/####/ee6b6464163ad51b_0
- /data/data/####/f47ee97c2b1ee8b2_0
- /data/data/####/f588daf4e001b32e_0
- /data/data/####/f81423ba32dd5b35_0
- /data/data/####/fdae55a675df03e3_0
- /data/data/####/font_unique_name_table.pb
- /data/data/####/index
- /data/data/####/profileInstalled
- /data/data/####/profileinstaller_profileWrittenFor_lastUpdateTime.dat
- /data/data/####/sPYJBIPCv.xml
- /data/data/####/settings.dat
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/todelete_0f1646b828baec6a_0_1 (deleted)
- /data/data/####/todelete_12090c3d0d0439ee_0_1 (deleted)
- /data/data/####/todelete_14dd3de3e271bd69_0_1 (deleted)
- /data/data/####/todelete_23e11bd67c045d9b_0_1 (deleted)
- /data/data/####/todelete_45415153c3d3c176_0_1 (deleted)
- /data/data/####/todelete_71c54076868ecb6f_0_1 (deleted)
- /data/data/####/todelete_bb1d702f866ce8a5_0_1 (deleted)
- /data/data/####/todelete_c8a9382c41286915_0_1 (deleted)
- /data/data/####/todelete_d64d016d2ac6362d_0_1 (deleted)
- /data/data/####/todelete_e1f16e166c6edd7c_0_1 (deleted)
- /data/data/####/todelete_fdae55a675df03e3_0_1 (deleted)
- /data/data/####/variations_seed_new
- /data/data/####/variations_stamp
- /data/misc/####/primary.prof
- /no_backup/androidx.work.workdb
- /no_backup/androidx.work.workdb-shm
- /no_backup/androidx.work.workdb-wal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/su
Использует повышенные привилегии.
Отрисовывает собственные окна поверх других приложений.
Имеет подозрительные повреждения, типичные для вредоносных файлов.
Пытается определить окружение песочницы.
