Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.Ermac.6.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) it####.live:80
- TCP(TLS/1.0) content####.google####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) p####.go####.com:443
- TCP(TLS/1.0) clients####.google####.com:443
- UDP www.gst####.com:443
- UDP acco####.go####.com:443
Запросы DNS:
- acco####.go####.com
- acco####.you####.com
- as####.pro
- clients####.google####.com
- content####.google####.com
- ed####.me.g####.com
- f####.gst####.com
- it####.live
- md####.live
- nd####.live
- os####.pro
- p####.go####.com
- up####.google####.com
- www.gst####.com
Запросы HTTP GET:
- it####.live/socket.io/?EIO=####&transport=####
- it####.live/socket.io/?EIO=####&transport=####&sid=####
Запросы HTTP POST:
- it####.live/php/1h.php/
- it####.live/php/24v5.php/
- it####.live/php/3.php/
- it####.live/php/39h8.php/
- it####.live/php/42vdwxbehydlm4s.php/
- it####.live/php/47stz53mxnn.php/
- it####.live/php/6kbwqznda7783k8ssy.php/
- it####.live/php/7.php/
- it####.live/php/8oqwzx.php/
- it####.live/php/8rgu.php/
- it####.live/php/968v3dtb5rpb5x3.php/
- it####.live/php/97l6pjxynklg65.php/
- it####.live/php/d53xinoxf92ui.php/
- it####.live/php/g2hqhqjtzay8bxy.php/
- it####.live/php/h0ppagje2aroqe9yt.php/
- it####.live/php/huu848w.php/
- it####.live/php/i4ei.php/
- it####.live/php/iiec.php/
- it####.live/php/iycvpvp.php/
- it####.live/php/j.php/
- it####.live/php/jfos551wecm5po.php/
- it####.live/php/kslva.php/
- it####.live/php/l9uqq.php/
- it####.live/php/le86sxqfff.php/
- it####.live/php/mlp7mh0vgti09na7r.php/
- it####.live/php/ppqjel91cwa5gidkgvun.php/
- it####.live/php/pubeatpvxi9165zt98ga.php/
- it####.live/php/qj.php/
- it####.live/php/s8qge.php/
- it####.live/php/sn8z9vvon.php/
- it####.live/php/sqlrp49.php/
- it####.live/php/ujt16g.php/
- it####.live/php/vdh9bmc9so0o.php/
- it####.live/php/w0oji.php/
- it####.live/php/w4uegi.php/
- it####.live/php/w8j0xzmurgfdkz0ncm.php/
- it####.live/php/w9mbgqomyg94tarb.php/
- it####.live/php/wh22ccl.php/
- it####.live/php/x8wfc7o59.php/
- it####.live/php/xv0pavcxll8b76dyjzd.php/
- it####.live/php/ycf2ptxw8uljfptayy5.php/
- it####.live/php/zq.php/
- it####.live/php/zwbq3s9lsvfmnlvxxyw2.php/
- it####.live/php/zz8bqktp3eio4pg.php/
- it####.live/socket.io/?EIO=####&transport=####&sid=####
Изменения в файловой системе:
Создает следующие файлы:
- /com.hegizobexabejeyi.wodivi/app_webview/####/000003.log
- /com.hegizobexabejeyi.wodivi/app_webview/####/Cookies
- /com.hegizobexabejeyi.wodivi/app_webview/####/LOCK
- /com.hegizobexabejeyi.wodivi/app_webview/####/LOG
- /com.hegizobexabejeyi.wodivi/app_webview/####/MANIFEST-000001
- /com.hegizobexabejeyi.wodivi/app_webview/####/QuotaManager
- /com.hegizobexabejeyi.wodivi/app_webview/####/QuotaManager-journal
- /com.hegizobexabejeyi.wodivi/app_webview/####/Web Data
- /com.hegizobexabejeyi.wodivi/app_webview/####/Web Data-journal
- /com.hegizobexabejeyi.wodivi/app_webview/webview_data.lock
- /com.hegizobexabejeyi.wodivi/no_backup/androidx.work.workdb
- /com.hegizobexabejeyi.wodivi/no_backup/androidx.work.workdb-shm
- /com.hegizobexabejeyi.wodivi/no_backup/androidx.work.workdb-wal
- /data/misc/####/primary.prof
- /data/user/####/.org.chromium.Chromium.Em6Bj7 (deleted)
- /data/user/####/000001.dbtmp
- /data/user/####/000003.log
- /data/user/####/000003.log (deleted)
- /data/user/####/19341abe2f3f7678_0
- /data/user/####/1ec5cf08d04e55fe_0
- /data/user/####/2fbff3fc9efb2d38_0
- /data/user/####/33166b95042feb2d_0
- /data/user/####/34441e6492e6c963_0
- /data/user/####/351f7635e099f99e_0
- /data/user/####/41c30152509d4558_0
- /data/user/####/65bf1b59260a656f_0
- /data/user/####/6bd0389d25c01c31_0
- /data/user/####/7f8887186cb3ab65_0
- /data/user/####/8195a348069be13a_0
- /data/user/####/8340b7d2928cc0e6_0
- /data/user/####/8756674ea1ad2ffb_0
- /data/user/####/8e10f629c9990b58_0
- /data/user/####/AqFyruR.json
- /data/user/####/AqFyruR.json.cur.prof
- /data/user/####/BrowserMetrics-spare.pma.tmp
- /data/user/####/Cookies-journal
- /data/user/####/LOCK
- /data/user/####/LOCK (deleted)
- /data/user/####/LOG
- /data/user/####/LOG (deleted)
- /data/user/####/LOG.old
- /data/user/####/MANIFEST-000001
- /data/user/####/MANIFEST-000001 (deleted)
- /data/user/####/WebViewChromiumPrefs.xml
- /data/user/####/a4b83504c88f0f75_0
- /data/user/####/ac2d8b06d36d7495_0
- /data/user/####/ad866f8cc40d01d8_0
- /data/user/####/ae733620b9a22b47_0
- /data/user/####/androidx.work.workdb-journal (deleted)
- /data/user/####/androidx.work.workdb-wal
- /data/user/####/b0e9737b5f99d918_0
- /data/user/####/dc20aaa68c00f108_0
- /data/user/####/ebf2b73ba3635f73_0
- /data/user/####/f8ee3bdb08ee9165_0
- /data/user/####/f954508625fd4b08_0
- /data/user/####/fd2c0febf6e32e50_0
- /data/user/####/font_unique_name_table.pb
- /data/user/####/index
- /data/user/####/pref_store
- /data/user/####/settings.dat
- /data/user/####/settings.xml
- /data/user/####/settings.xml.bak
- /data/user/####/temp-index
- /data/user/####/the-real-index
- /data/user/####/todelete_376cf9080f79cef4_0_1 (deleted)
- /data/user/####/todelete_7e5271d65b027836_0_1 (deleted)
- /data/user/####/todelete_b3ae142016915409_0_1 (deleted)
- /data/user/####/todelete_c29ad1756553fedb_0_1 (deleted)
- /data/user/####/todelete_c802dee663c2a7b8_0_1 (deleted)
- /data/user/####/todelete_ead9e48e1d6c6a56_0_1 (deleted)
- /data/user/####/variations_seed_new
- /data/user/####/variations_stamp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/su
Использует повышенные привилегии.
Отрисовывает собственные окна поверх других приложений.
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
Имеет подозрительные повреждения, типичные для вредоносных файлов.
Пытается определить окружение песочницы.
