Часть 1

касательно альпинки( и да, версия настолько старая распространялась, почему-то не указали в отчете доктор веб)
Вредоносная часть находилась в classes.dex( e73a6ae369c778b90071aef3388ce5acfdad5c27 ), classes3.dex( 7b318e13032c31412616d0e64e82511abf2aa8ac ), ...
Помимо подозрительного Telegram API для  C&C коммуникации,отключение оптимизации батареи(android.permission.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS) было тоже тревожным звоночком, забыл указать в посте

Если вдруг кто захочет попробовать выйти на след, то есть Matkap, но уже вероятность небольшая

Токен бота, который принадлежал атакующим
https://api.telegram.org/bot7833953061:AAHDhij-Ppl-ZsoJ_Z5yeqGbHijN4ySdMig/
https://api.telegram.org/bot7833953061:AAHDhij-pl-soJ_Z5yeqGbHijN4ySdMig/

И КСТАТИ! БОТ ЕЩЕ ЖИВ!

ДИСКЛЕЙМЕР:

НЕ КОЧАЦ , НЕ ТАПАТЬ , НЕ ПЫТАТЬСЯ ЗАКАЗАТЬ РОСТОВСКИХ КУРТИЗАНОК
через этот бот:
@alpinequestbot

Любим и ценим вас ❤️