Android.BankBot.9007

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.BankBot.8970

Детект на основе машинного обучения.

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 1####.217.17.138:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) 1####.177.14.95:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.2) 1####.217.17.138:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP(TLS/1.2) 64.2####.164.138:443

Запросы DNS:

android####.go####.com
instant####.google####.com
md####.google####.com
p####.google####.com
www.google####.com
www.gst####.com

Изменения в файловой системе:

Создает следующие файлы:

/data/com.cpubg.cn/####/.lock
/data/dalvik-cache/####/system@framework@am.jar@classes.dex
/data/dalvik-cache/####/system@framework@am.jar@classes.dex.flo...leted)
/data/data/####/.jgck
/data/data/####/.lock (deleted)
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.oat
/data/data/####/libjiagu.so
/data/data/####/libjiagu_64.so

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --instruction-set=x86_64 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/log -p d -t su /dev/com.android.settings/.socket3443
/system/bin/log -p d -t su 10065 /system/bin/app_process64 executing 0 /system/bin/sh using binary /system/bin/sh : sh
/system/bin/log -p d -t su connecting client 3423
/system/bin/log -p d -t su connecting client 3557
/system/bin/log -p d -t su db allowed
/system/bin/log -p d -t su remote args: 1
/system/bin/log -p d -t su remote pid: 3423
/system/bin/log -p d -t su remote pid: 3557
/system/bin/log -p d -t su remote pts_slave:
/system/bin/log -p d -t su remote req pid: 3380
/system/bin/log -p d -t su remote req pid: 3514
/system/bin/log -p d -t su remote uid: 10065
/system/bin/log -p d -t su sending code
/system/bin/log -p d -t su starting daemon client 10065 10065
/system/bin/log -p d -t su su invoked.
/system/bin/log -p d -t su waiting for child exit
/system/bin/log -p d -t su waiting for user
/system/bin/log -p e -t su sqlite3 open /data/user_de/0/com.android.settings/databases/su.sqlite failure: 14
rm -r <SD-Card>/SxkGod/FireAimat
rm -r <SD-Card>/SxkGod/OpenMirror
rm -r <SD-Card>/SxkGod/OpenMirrorFire
rm -r <SD-Card>/SxkGod/Tracing
rm -r <SD-Card>/SxkGod/breast
rm -r <SD-Card>/SxkGod/head
rm -r <SD-Card>/SxkGod/material
rm -r <SD-Card>/SxkGod/open
rm -r <SD-Card>/SxkGod/prioritychoose
rm -r <SD-Card>/SxkGod/range
rm -r <SD-Card>/SxkGod/waist
rm -r <SD-Card>/SxkGod/zimzm
sh
su