A malicious application spread by the Android.BankBot.Coper.1 dropper trojan and installed on Android devices under the guise of a system app called Cache plugin. It contains an executable dex file that performs the main malicious actions.

Operating routine

An application package of the Android.BankBot.Coper.2 contains a dex file that is located in \res\raw\syxinxxjzdmhf and encrypted with the RC4 algorithm. This file is an Android.BankBot.Coper.1.origin banking trojan. A native library liblfxeKfnTv.so and a ngLlO6J4EqyiYVjCBS3psvf8kwkw6JNt key is used to decrypt it. After this module is decrypted and launched, the icon of the host malicious app is hidden from the list of installed apps on the main screen.

Indicators of compromise

More details on Android.BankBot.Coper.1

More details on Android.BankBot.Coper.2

More details on Android.BankBot.Coper.1.origin

News about the trojan

Recommandations pour le traitement

Android

Si votre appareil mobile fonctionne correctement, veuillez télécharger et installer sur votre appareil mobile le produit antivirus gratuit Dr.Web для Android Light. Lancez un scan complet et suivez les recommandations sur la neutralisation des menaces détectées.
Si l'appareil mobile est bloqué par le Trojan de la famille Android.Locker (un message sur une violation grave de la loi ou une demande de rançon s’affichent sur l'écran de l'appareil mobile), procédez comme suit :
- démarrez votre Smartphone ou votre tablette en mode sans échec (si vous ne savez pas comment faire, consultez la documentation de l'appareil mobile ou contactez le fabricant) ;
- puis téléchargez et installez sur votre appareil contaminé le produit antivirus gratuit Dr.Web для Android Light et lancez un scan complet puis suivez les recommandations sur la neutralisation des menaces détectées ;
- Débranchez votre appareil et rebranchez-le.

En savoir plus sur Dr.Web pour Android

Free trial

14 days

Download now

Get it on Google Play