Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.1195.origin
Сетевая активность:
Подключается к:
- UDP(???) 2####.255.255.255:67
- UDP(DNS) <Google DNS>
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) monzo####.site:8640
- TCP(HTTP/1.1) connect####.gst####.com:80
- UDP(NTP) t####.and####.com:123
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) clients####.google####.com:443
- TCP(TLS/1.0) up####.google####.com:443
- TCP(TLS/1.0) dl.go####.com:443
- TCP(TLS/1.0) ed####.me.g####.com:443
- TCP(TLS/1.0) monzo####.site:8640
Запросы DNS:
- clients####.google####.com
- connect####.gst####.com
- dl.go####.com
- ed####.me.g####.com
- monzo####.site
- t####.and####.com
- up####.google####.com
- www.go####.com
Запросы HTTP GET:
- monzo####.site:8640/socket.io/?EIO=####&transport=####
- www.go####.com/gen_204
Изменения в файловой системе:
Создает следующие файлы:
- /app_webview/BrowserMetrics/BrowserMetrics-6934B72A-C85.pma (deleted)
- /app_webview/Default/####/000003.log (deleted)
- /app_webview/Default/####/LOCK (deleted)
- /app_webview/Default/####/LOG (deleted)
- /app_webview/Default/####/MANIFEST-000001 (deleted)
- /app_webview/Default/Web Data (deleted)
- /app_webview/webview_data.lock (deleted)
- /data/data/####/.org.chromium.Chromium.CEehUJ
- /data/data/####/Mnx.json
- /data/data/####/androidx.work.workdb-wal
- /data/data/####/androidx.work.workdb.lck
- /data/data/####/jlWrjgEmhnZDkA.xml
- /data/data/####/settings.dat
- /no_backup/androidx.work.workdb (deleted)
- /no_backup/androidx.work.workdb-shm (deleted)
- /no_backup/androidx.work.workdb-wal (deleted)
Другие:
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
Имеет подозрительные повреждения, типичные для вредоносных файлов.
Пытается определить окружение песочницы.
