Android.Banker.Mamont.18

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Banker.Mamont.17.origin

Sends data of incoming SMS to a remote host.

Network activity:

Connects to:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(TLS/1.0) widget####.uxfeed####.ru:443
TCP(TLS/1.0) cdn.uxfeed####.ru:443
TCP(TLS/1.0) mc.ya####.ru:443
TCP(TLS/1.0) content####.google####.com:443
TCP(TLS/1.0) st####.ru####.ru:443
TCP(TLS/1.0) f####.google####.com:443
TCP(TLS/1.0) ru####.ru:443
TCP(TLS/1.0) raffik-####.store:443
TCP(TLS/1.0) yast####.net:443
TCP(TLS/1.0) ya####.ru:443

DNS requests:

cdn.uxfeed####.ru
content####.google####.com
f####.google####.com
mc.ya####.ru
pic.rutube####.ru
raffik-####.store
ru####.ru
st####.ru####.ru
widget####.uxfeed####.ru
ya####.ru
yast####.net

HTTP GET requests:

raffik-####.store:443/api/get_bot_commands.php?tag=####

HTTP POST requests:

raffik-####.store:443/api/log_sms.php
raffik-####.store:443/api/register_bot.php
raffik-####.store:443/api/update_permissions.php

File system changes:

Creates the following files:

/app_webview/Default/####/000003.log
/app_webview/Default/####/LOCK
/app_webview/Default/####/LOG
/app_webview/Default/####/MANIFEST-000001
/app_webview/Default/Cookies
/app_webview/Default/Web Data
/app_webview/Default/Web Data-journal
/app_webview/variations_seed_new
/app_webview/webview_data.lock
/data/data/####/.org.chromium.Chromium.2lAaGj
/data/data/####/.org.chromium.Chromium.w6Mx9G (deleted)
/data/data/####/000001.dbtmp
/data/data/####/00bee098a981dd89_0
/data/data/####/016562a0b391d896_0
/data/data/####/017203547317e95e_0
/data/data/####/0284043647fd96e6_0
/data/data/####/043a5430f4812fb9_0
/data/data/####/04c1c68f6688d0dc_0
/data/data/####/04d4eed2f7dff90f_0
/data/data/####/056a1b6bc8fb4f6b_0
/data/data/####/082d93e1952bfc47_0
/data/data/####/09efa5ef2c5a6b1d_0
/data/data/####/0e6682b4fdfb3f76_0
/data/data/####/0f367b88ad65fd13_0
/data/data/####/116a1aa7a6d62089_0
/data/data/####/14d28964e6c650f5_0
/data/data/####/169d5fd8967cd7bf_0
/data/data/####/174c1be3d2ed0db0_0
/data/data/####/18348cd378bec05e_0
/data/data/####/1ab73b8a2d80cb17_0
/data/data/####/1adeeaa5603dc29f_0
/data/data/####/1b7821bab712b452_0
/data/data/####/1bc46cd3acc5b241_0
/data/data/####/1c25ea1e01561729_0
/data/data/####/1c4538c3d176fb8e_0
/data/data/####/1d9aa792e74c70a3_0
/data/data/####/1e978f21ef3a0433_0
/data/data/####/1f04742a7a5eec09_0
/data/data/####/1ff6577c4e480fd3_0
/data/data/####/20a9b46a5130f659_0
/data/data/####/214302c859a1d597_0
/data/data/####/2228934d0e7ad154_0
/data/data/####/231c839527f37503_0
/data/data/####/2357fc63ee6b23f1_0
/data/data/####/23bd8a4e86f80ab6_0
/data/data/####/24f1cc70288a4beb_0
/data/data/####/2553931c8aa8ec0f_0
/data/data/####/262b4d93990247b4_0
/data/data/####/268cb36888078ce2_0
/data/data/####/269ecafdba73c7b5_0
/data/data/####/269f20995155d649_0
/data/data/####/271c679950d6e795_0
/data/data/####/2728e9340ae696bc_0
/data/data/####/27b81775590c9dae_0
/data/data/####/27d499c8857bb3de_0
/data/data/####/288a3b99b5b6baf2_0
/data/data/####/28cde2d105425885_0
/data/data/####/2ac5a3f5ab28a9d6_0
/data/data/####/2b0f1f20c6e7c88c_0
/data/data/####/2b29a07f46bd6d51_0
/data/data/####/2bda11d005e8cd7c_0
/data/data/####/2c3c16a12d5b7f8f_0
/data/data/####/2dfba1c1e675c6b9_0
/data/data/####/2fb9630132c34544_0
/data/data/####/323d4f0548a59a87_0
/data/data/####/33671e2fa4df60a0_0
/data/data/####/344fca949faffbd0_0
/data/data/####/34c04ea55b1fd1a8_0
/data/data/####/36a8876a5520a104_0
/data/data/####/36e7f9887d2fdbda_0
/data/data/####/37f8e970ecd17671_0
/data/data/####/385437798ad10ab6_0
/data/data/####/38c536b2145fae76_0
/data/data/####/3a85928a1ad9b22a_0
/data/data/####/3b50ff249e361498_0
/data/data/####/3c41118f600a711f_0
/data/data/####/3ce83ece2ed0078a_0
/data/data/####/3e9d9bee7af4ba6c_0
/data/data/####/3e9ff5da16094699_0
/data/data/####/3fc09572769b9e34_0
/data/data/####/4059125ead4ad7c0_0
/data/data/####/43323b006e25b07d_0
/data/data/####/43a1e4a78019d902_0
/data/data/####/445962d1e23db630_0
/data/data/####/44d261788c17c4ec_0
/data/data/####/4523eaa81fef3e86_0
/data/data/####/455649a43cfd8642_0
/data/data/####/463083e1da428337_0
/data/data/####/466235b1fdfa8c83_0
/data/data/####/47ca983c86c8dc35_0
/data/data/####/47dd1a5c8d0fc136_0
/data/data/####/47f9d112bfa45b6b_0
/data/data/####/48138558a5f170c3_0
/data/data/####/48557bc8919ba19f_0
/data/data/####/4925657ab0e410f2_0
/data/data/####/49457210956e9f86_0
/data/data/####/497dfa6feda95ea2_0
/data/data/####/4a24cce50950be9c_0
/data/data/####/4a87c2e827af097f_0
/data/data/####/4ced0a40230ea16a_0
/data/data/####/4d036fef3d38ab45_0
/data/data/####/4d0e1ed4fbc0523c_0
/data/data/####/4e4785357093f50a_0
/data/data/####/4ebac30e95634aba_0
/data/data/####/4f2f522d698a0ce6_0
/data/data/####/4f6d38d90b4fa0cc_0
/data/data/####/50c6cdee717fcaa3_0
/data/data/####/51465d622a1c3895_0
/data/data/####/529e60a161d5825b_0
/data/data/####/53338ef154b31813_0
/data/data/####/54c26266240131e6_0
/data/data/####/55493bca55da3884_0
/data/data/####/56eee55af26a71a1_0
/data/data/####/58d8abef0fdbb02e_0
/data/data/####/5b22a90aca008fd1_0
/data/data/####/5bb0a1de48f3e5ac_0
/data/data/####/5c3747d17bc01996_0
/data/data/####/5c66e8c08dac1c34_0
/data/data/####/5d1a97738eecbc7e_0
/data/data/####/5d56c6aa47ae81e4_0
/data/data/####/5ece3305fbf19168_0
/data/data/####/5f95f75c30f517f7_0
/data/data/####/60e0d2fa3e78780a_0
/data/data/####/611a7a6e2b263a09_0
/data/data/####/61af7f6e87a33c97_0
/data/data/####/62a808a28858dde4_0
/data/data/####/62f2d9fc37e6c1d9_0
/data/data/####/63332a602cd8ee7f_0
/data/data/####/65913085a1b002c8_0
/data/data/####/662ac0b2ef16177a_0
/data/data/####/66ddb285473f4ec4_0
/data/data/####/67c13d2128295298_0
/data/data/####/688d1040ca363687_0
/data/data/####/68AmjRQBPOce80XsYVxeQleSDhu4f2TC.dex
/data/data/####/6960df0eb5d07db6_0
/data/data/####/697be0ae3d017cf4_0
/data/data/####/6a19f35eb68363b0_0
/data/data/####/6b8566dbd8377917_0
/data/data/####/6c33955ec91d1b66_0
/data/data/####/6c468fe94ec16810_0
/data/data/####/6ef94dc981fc0e5c_0
/data/data/####/6f75bd128b855e24_0
/data/data/####/7166ba8f8af0a650_0
/data/data/####/717871442d3cbf12_0
/data/data/####/72c65950ba63496a_0
/data/data/####/730b81bff9e8f34f_0
/data/data/####/735998776942f6da_0
/data/data/####/73eec093395d6f94_0
/data/data/####/74688b79e7de7a2a_0
/data/data/####/7496025ae4116ed8_0
/data/data/####/7908e40e20f447f2_0
/data/data/####/7b65b38feb3c1d82_0
/data/data/####/7ca9ca8d9b2ec6bf_0
/data/data/####/7cdd2aa69c154252_0
/data/data/####/7d302214d1d00e4c_0
/data/data/####/7de204d6bee8a92e_0
/data/data/####/7df86f9a22aee713_0
/data/data/####/7f5d1ed29ddbcced_0
/data/data/####/8007378e3fce2b80_0
/data/data/####/81e1661a1cffdb5c_0
/data/data/####/82249d6be4170dff_0
/data/data/####/830c2492f4fa4102_0
/data/data/####/830cb0dcad4200b3_0
/data/data/####/842a876a6f6882a8_0
/data/data/####/86003c5f3efba70a_0
/data/data/####/86ecaf3ec9d9eadf_0
/data/data/####/877b499458f4f7a5_0
/data/data/####/878340ba94b859c7_0
/data/data/####/8890544208672898_0
/data/data/####/89c2cfaf583e5b8c_0
/data/data/####/8a16afc805a52ba7_0
/data/data/####/8a9dcd5ae1f82888_0
/data/data/####/8b09124b07b786ef_0
/data/data/####/8b6aa2730af96d0d_0
/data/data/####/8b8e4646b5c82062_0
/data/data/####/8ba57fa90ea893e5_0
/data/data/####/8c093b073178a7f0_0
/data/data/####/8e8ccac1f160f22f_0
/data/data/####/8efedb7eba9e783b_0
/data/data/####/8f672541b74cbc4e_0
/data/data/####/8f6e4be9763ed385_0
/data/data/####/9034fabb65a98d08_0
/data/data/####/9177f4181fa488a9_0
/data/data/####/91aecd3fb887813a_0
/data/data/####/929b7dc8581301b4_0
/data/data/####/92ad3255cea3c84d_0
/data/data/####/93635a1a175999c4_0
/data/data/####/93fdb1a969c7ba10_0
/data/data/####/958051ddacc252c3_0
/data/data/####/98dae19de0e6275c_0
/data/data/####/99bd057387501e7b_0
/data/data/####/9a2f51a0f548560e_0
/data/data/####/9a4000794c49dff6_0
/data/data/####/9d104555170572cd_0
/data/data/####/9d65b4b0b02b88a5_0
/data/data/####/9d76fc0b1fc40f10_0
/data/data/####/9d985f3a9811dc98_0
/data/data/####/9f5669e5d3be435f_0
/data/data/####/9fbdde0323118997_0
/data/data/####/BotPrefs.xml
/data/data/####/BrowserMetrics-spare.pma.tmp
/data/data/####/Cookies-journal
/data/data/####/MANIFEST-000001
/data/data/####/PermissionsReport.xml
/data/data/####/RQhwJJkFL1s5ZPaFadRovpbuKs1y8yWt.dex
/data/data/####/SwkaCm5ZZUELlrsbhmCus80G2SXHyC9u.dex
/data/data/####/VQsz56JqGwtkRlE5OnPyOGdKFaQS6Wtu.dex
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a04ba91c9d3f31ee_0
/data/data/####/a0eb1981aa7037aa_0
/data/data/####/a231b691cc102bac_0
/data/data/####/a314bf2694790545_0
/data/data/####/a376f57f5f67a03d_0
/data/data/####/a595fbb3d0bd8a66_0
/data/data/####/a64d7842eefb9f49_0
/data/data/####/a67f37e238e5d716_0
/data/data/####/a85d67ee6fe91249_0
/data/data/####/a8ee5398bfde177d_0
/data/data/####/a9ccc143843ff0ba_0
/data/data/####/aa7cdb38bb40564f_0
/data/data/####/aa924421ecd288e0_0
/data/data/####/aab54bf159dd0c83_0
/data/data/####/aae8b1bcc077b71a_0
/data/data/####/ac55eccfb6d664fc_0
/data/data/####/ad43b0a28ec3f27d_0
/data/data/####/af50388fee6ebac1_0
/data/data/####/af8a33ba67651274_0
/data/data/####/b11fd1590f853d4b_0
/data/data/####/b150d9703d186a99_0
/data/data/####/b3d098c7f4b020f1_0
/data/data/####/b3dc173bb489e0ab_0
/data/data/####/b44dc09080401924_0
/data/data/####/b764a8b238a058b7_0
/data/data/####/b843fd45c423a541_0
/data/data/####/b8738918b36ffa5f_0
/data/data/####/b94e059959987636_0
/data/data/####/bbe2ae8fb87e8677_0
/data/data/####/bcac7cf6c0907ba6_0
/data/data/####/bcfe2d36c27be686_0
/data/data/####/bf05fe003917d692_0
/data/data/####/bf209c490d693a80_0
/data/data/####/bf537cd3d6f553e8_0
/data/data/####/c09983524a8f7441_0
/data/data/####/c0fc8fe7b248fc06_0
/data/data/####/c13063f624921daa_0
/data/data/####/c34eb5775b987906_0
/data/data/####/c3d657ec2e3ec997_0
/data/data/####/c5b4600ed254d159_0
/data/data/####/c5bde8acd6e92c80_0
/data/data/####/c65587900db5bc9c_0
/data/data/####/cb986dfe4e6c58da_0
/data/data/####/cbbc368978307e81_0
/data/data/####/cc5551e716b6968a_0
/data/data/####/cc796ab0dd541316_0
/data/data/####/cd3ff799ac989816_0
/data/data/####/cd650ede12154577_0
/data/data/####/cddb956a39198f6a_0
/data/data/####/ce027391c34cc7ab_0
/data/data/####/cfb73e3e76a18adb_0
/data/data/####/d043ed7d2b995375_0
/data/data/####/d15f8f80e2f426ea_0
/data/data/####/d164b6bb917c6e73_0
/data/data/####/d27edefdbbb10e52_0
/data/data/####/d401a72154bf7fad_0
/data/data/####/d48e79611d8ba9a0_0
/data/data/####/d4dd749b76ec9af9_0
/data/data/####/d75770559309c88e_0
/data/data/####/d7e5eac338508ab6_0
/data/data/####/d9783b97ddc8801c_0
/data/data/####/da59c5ddeed937d2_0
/data/data/####/da7d82ddceacff9f_0
/data/data/####/dada166357c2bfa7_0
/data/data/####/dbbad14d97ca6e7b_0
/data/data/####/deb08518cdfbbf06_0
/data/data/####/df02a734bc97b8da_0
/data/data/####/df38d9e60010d17b_0
/data/data/####/e01c337f44f2ee04_0
/data/data/####/e1c435d32e028c93_0
/data/data/####/e351f5b3abcce28a_0
/data/data/####/e5a0ae99c769bff4_0
/data/data/####/e60c2c4ebcb6df04_0
/data/data/####/e62c26d205021fb5_0
/data/data/####/e6d41da01dc545ee_0
/data/data/####/e7054a92c92fc9f9_0
/data/data/####/e7ad7bb958ac21a0_0
/data/data/####/e85f6c329a47cbc0_0
/data/data/####/e96075c22a5e33b3_0
/data/data/####/e981caba7f43e1dc_0
/data/data/####/e9b448eba2a80ec8_0
/data/data/####/e9ff1f301ad1e8c9_0
/data/data/####/eb72b416c1b8f982_0
/data/data/####/eceaa67a49566215_0
/data/data/####/eddd55fc13f07b9b_0
/data/data/####/ee243ba36ca26f49_0
/data/data/####/ee897baecd2dcdc1_0
/data/data/####/ef9616502ffe214f_0
/data/data/####/f152b39a1007c4a0_0
/data/data/####/f1cc9693df25451b_0
/data/data/####/f24314359dd92175_0
/data/data/####/f39ddd82580e816c_0
/data/data/####/f50d033c03fa54e4_0
/data/data/####/f5780a10b343d95f_0
/data/data/####/f5cf0f757e8a9e4f_0
/data/data/####/f6c4c12616ab31f5_0
/data/data/####/fba6397bcc4518a6_0
/data/data/####/fbfb6559aaf12605_0
/data/data/####/fcc58fc3dd6c51d8_0
/data/data/####/fe21f477ba1302fb_0
/data/data/####/ff0f88f26fb96d52_0
/data/data/####/font_unique_name_table.pb
/data/data/####/index
/data/data/####/ke0AY0d2OkcTASFUbmq5RXUrYLZLYLoh.dex
/data/data/####/nOkvuPpA5mMQaW29VMvMO4chXa8n9wx9.dex
/data/data/####/profileInstalled
/data/data/####/settings.dat
/data/data/####/temp-index
/data/data/####/the-real-index
/data/data/####/todelete_f275ed2d2b1872b8_0_1 (deleted)
/data/data/####/variations_seed_new
/data/data/####/variations_stamp
/data/data/####/ۦۖ۫
/data/data/####/ۦۖ۫.
/data/misc/####/primary.prof

Miscellaneous:

Executes the following shell scripts:

/system/bin/su
rm -r/data/user/0/<Package>/app_ded/68AmjRQBPOce80XsYVxeQleSDhu4f2TC.dex
rm -r/data/user/0/<Package>/app_ded/RQhwJJkFL1s5ZPaFadRovpbuKs1y8yWt.dex
rm -r/data/user/0/<Package>/app_ded/SwkaCm5ZZUELlrsbhmCus80G2SXHyC9u.dex
rm -r/data/user/0/<Package>/app_ded/VQsz56JqGwtkRlE5OnPyOGdKFaQS6Wtu.dex
rm -r/data/user/0/<Package>/app_ded/ke0AY0d2OkcTASFUbmq5RXUrYLZLYLoh.dex
rm -r/data/user/0/<Package>/app_ded/nOkvuPpA5mMQaW29VMvMO4chXa8n9wx9.dex

Loads the following dynamic libraries:

libnp_protect_res

Uses elevated priveleges.

Accesses the ITelephony private interface.

Uses special library to hide executable bytecode.

Gets information about phone status (number, IMEI, etc.).

Displays its own windows over windows of other apps.

Appears corrupted in a way typical for malicious files.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial