Android.SmsSpy.12729

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.Banker.Mamont.228.origin

Sends data of incoming SMS to a remote host.

Network activity:

Connects to:

UDP(???) www.go####.com:443
UDP(???) 2####.255.255.255:67
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) connect####.gst####.com:80
TCP(HTTP/1.1) mon####.abloub####.com:80
UDP(NTP) t####.and####.com:123
TCP(TLS/1.0) go####.com:443
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) ed####.me.g####.com:443
TCP(TLS/1.0) clie####.go####.com:443
TCP(TLS/1.0) clients####.google####.com:443
TCP(TLS/1.0) up####.google####.com:443

DNS requests:

clie####.go####.com
clients####.google####.com
connect####.gst####.com
ed####.me.g####.com
go####.com
mon####.abloub####.com
ssl.gst####.com
t####.and####.com
up####.google####.com
www.go####.com

HTTP GET requests:

mon####.abloub####.com/api/device/ws?device_id=####

HTTP POST requests:

mon####.abloub####.com/api/device/register

File system changes:

Creates the following files:

/data/data/####/geo_state.dat
/data/data/####/profileInstalled
/data/data/####/profileinstaller_profileWrittenFor_lastUpdateTime.dat
/data/data/####/vegyuTL.eb.cur.prof
/data/data/####/vegyuTL.eb.tmp
/data/data/####/vegyuTL.vdex
/data/data/####/webfox_prefs.xml
/data/misc/####/primary.prof

Miscellaneous:

Gets information about installed apps.

Displays its own windows over windows of other apps.

Intercepts notifications.

Appears corrupted in a way typical for malicious files.

Рекомендации по лечению

Android

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android