Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Banker.976.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) joodya####.art:443
Запросы DNS:
- joodya####.art
Запросы HTTP POST:
- joodya####.art:443/api
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/androidx.work.workdb-wal
- /data/data/####/androidx.work.workdb.lck
- /data/data/####/com.photicli.molod.xml
- /data/data/####/mdmx.json
- /data/data/####/profileInstalled
- /data/data/####/profileinstaller_profileWrittenFor_lastUpdateTime.dat
- /data/misc/####/primary.prof
- /no_backup/androidx.work.workdb
- /no_backup/androidx.work.workdb-shm
- /no_backup/androidx.work.workdb-wal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/ping -c 1 8.8.8.8
- /system/bin/su
Загружает динамические библиотеки:
- libcrypt-lib
- libcrypto-lib
- libprotect-lib
Использует повышенные привилегии.
Отрисовывает собственные окна поверх других приложений.
Перехватывает уведомления.
