Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.Ermac.6.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) it####.live:80
- TCP(TLS/1.0) content####.google####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) acco####.you####.com:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) up####.google####.com:443
- TCP(TLS/1.0) dl.go####.com:443
- TCP(TLS/1.0) p####.go####.com:443
- UDP www.gst####.com:443
- UDP acco####.go####.com:443
Запросы DNS:
- acco####.go####.com
- acco####.you####.com
- as####.pro
- clients####.google####.com
- content####.google####.com
- dl.go####.com
- ed####.me.g####.com
- f####.gst####.com
- it####.live
- md####.live
- nd####.live
- os####.pro
- p####.go####.com
- up####.google####.com
- www.gst####.com
Запросы HTTP GET:
- it####.live/socket.io/?EIO=####&transport=####
- it####.live/socket.io/?EIO=####&transport=####&sid=####
Запросы HTTP POST:
- it####.live/php/01ug.php/
- it####.live/php/1t7jh3nvq9nq.php/
- it####.live/php/29q5limyu9xwb.php/
- it####.live/php/3qc8xyhjq98rc0mb.php/
- it####.live/php/4el74uidimbuxihbojd.php/
- it####.live/php/5xibhrgph9iyj.php/
- it####.live/php/5yrz4qu9c8usjqmhxju.php/
- it####.live/php/7x7gydxlbv.php/
- it####.live/php/8mbfei4ra13.php/
- it####.live/php/btlg45.php/
- it####.live/php/e445a9x25wj.php/
- it####.live/php/esxzsk4yji6ni.php/
- it####.live/php/exyi12d3x7kvy3rhizi.php/
- it####.live/php/f0i7aw.php/
- it####.live/php/fl5w9qcihi.php/
- it####.live/php/hjy4k0.php/
- it####.live/php/jf37vqxykiupz6t7.php/
- it####.live/php/k42.php/
- it####.live/php/k50xdzswt5.php/
- it####.live/php/ktxpc8nn.php/
- it####.live/php/md1qn1vysp.php/
- it####.live/php/mtqkg8.php/
- it####.live/php/ocrx8s69xnf.php/
- it####.live/php/oxersxk3.php/
- it####.live/php/pg.php/
- it####.live/php/r2s3gnjnluu6h9ec.php/
- it####.live/php/s0ifwgj.php/
- it####.live/php/t3hte.php/
- it####.live/php/tzb7ahb0a5psju1uj6.php/
- it####.live/php/u20d6gnxeytde.php/
- it####.live/php/vfmxw95wp05sld1.php/
- it####.live/php/w92.php/
- it####.live/php/ye2lqdikrk4.php/
- it####.live/php/ywggyrj95yf.php/
- it####.live/php/z5r5tm9i82c9hbo2uks.php/
- it####.live/socket.io/?EIO=####&transport=####&sid=####
Изменения в файловой системе:
Создает следующие файлы:
- /com.yomofufozoradafi.jabeku/app_webview/####/000003.log
- /com.yomofufozoradafi.jabeku/app_webview/####/Cookies
- /com.yomofufozoradafi.jabeku/app_webview/####/LOCK
- /com.yomofufozoradafi.jabeku/app_webview/####/LOG
- /com.yomofufozoradafi.jabeku/app_webview/####/MANIFEST-000001
- /com.yomofufozoradafi.jabeku/app_webview/####/QuotaManager
- /com.yomofufozoradafi.jabeku/app_webview/####/QuotaManager-journal
- /com.yomofufozoradafi.jabeku/app_webview/####/Web Data
- /com.yomofufozoradafi.jabeku/app_webview/####/Web Data-journal
- /com.yomofufozoradafi.jabeku/app_webview/webview_data.lock
- /com.yomofufozoradafi.jabeku/no_backup/androidx.work.workdb
- /com.yomofufozoradafi.jabeku/no_backup/androidx.work.workdb-shm
- /com.yomofufozoradafi.jabeku/no_backup/androidx.work.workdb-wal
- /data/misc/####/primary.prof
- /data/user/####/.org.chromium.Chromium.QYBkIY
- /data/user/####/.org.chromium.Chromium.ew14SC
- /data/user/####/000001.dbtmp
- /data/user/####/000003.log
- /data/user/####/1ec5cf08d04e55fe_0
- /data/user/####/2fbff3fc9efb2d38_0
- /data/user/####/33166b95042feb2d_0
- /data/user/####/34441e6492e6c963_0
- /data/user/####/351f7635e099f99e_0
- /data/user/####/41c30152509d4558_0
- /data/user/####/65bf1b59260a656f_0
- /data/user/####/6bd0389d25c01c31_0
- /data/user/####/7f8887186cb3ab65_0
- /data/user/####/8195a348069be13a_0
- /data/user/####/8340b7d2928cc0e6_0
- /data/user/####/8756674ea1ad2ffb_0
- /data/user/####/8e10f629c9990b58_0
- /data/user/####/BrowserMetrics-spare.pma.tmp
- /data/user/####/Cookies-journal
- /data/user/####/JDiqt.json
- /data/user/####/JDiqt.json.cur.prof
- /data/user/####/LOCK
- /data/user/####/LOG
- /data/user/####/MANIFEST-000001
- /data/user/####/WebViewChromiumPrefs.xml
- /data/user/####/a4b83504c88f0f75_0
- /data/user/####/ac2d8b06d36d7495_0
- /data/user/####/ad866f8cc40d01d8_0
- /data/user/####/ae733620b9a22b47_0
- /data/user/####/androidx.work.workdb-journal (deleted)
- /data/user/####/androidx.work.workdb-wal
- /data/user/####/b0e9737b5f99d918_0
- /data/user/####/cc7e04253972ed44_0
- /data/user/####/dc20aaa68c00f108_0
- /data/user/####/ebf2b73ba3635f73_0
- /data/user/####/f8ee3bdb08ee9165_0
- /data/user/####/f954508625fd4b08_0
- /data/user/####/fd2c0febf6e32e50_0
- /data/user/####/font_unique_name_table.pb
- /data/user/####/index
- /data/user/####/settings.dat
- /data/user/####/settings.xml
- /data/user/####/settings.xml.bak
- /data/user/####/temp-index
- /data/user/####/the-real-index
- /data/user/####/todelete_4a9085be64a9306f_0_1 (deleted)
- /data/user/####/todelete_50ce727b7e8aa2a1_0_1 (deleted)
- /data/user/####/todelete_7e5271d65b027836_0_1 (deleted)
- /data/user/####/todelete_c802dee663c2a7b8_0_1 (deleted)
- /data/user/####/todelete_d3ab70e6380a49e1_0_1 (deleted)
- /data/user/####/todelete_ead9e48e1d6c6a56_0_1 (deleted)
- /data/user/####/variations_seed_new
- /data/user/####/variations_stamp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/su
Использует повышенные привилегии.
Отрисовывает собственные окна поверх других приложений.
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
Имеет подозрительные повреждения, типичные для вредоносных файлов.
Пытается определить окружение песочницы.
