Android.RemoteCode.466

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) 1####.205.160.63:80
TCP(HTTP/1.1) img.thebeas####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) img.thebeas####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
TCP(TLS/1.0) cras####.growi####.com:443
TCP(TLS/1.0) api.thebeas####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) x####.com:443
TCP(TLS/1.0) hs-pa####.b0.a####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP 1####.205.160.76:443
TCP umengj####.m.ta####.com:80

Запросы DNS:

ag####.m.ta####.com
api.growi####.com
api.s####.com
api.thebeas####.com
as####.growi####.com
cras####.growi####.com
e.crashly####.com
hs-pa####.s####.com
i####.cn
img.thebeas####.com
l####.tbs.qq.com
log.u####.com
msg.umengc####.com
s####.u####.com
sett####.crashly####.com
ssl.gst####.com
t####.growi####.com
t.growi####.com
umengj####.m.ta####.com
www.go####.com
www.gst####.com
x####.com

Запросы HTTP GET:

img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
img.thebeas####.com/apppictures/2018-06-01/1486d91d8fa1c6909e4c78a373819...
img.thebeas####.com/apppictures/2018-06-01/6c3981172c40522a194e20a56c856...
img.thebeas####.com/apppictures/2018-06-01/a4f71d5bfcca20da637d8105a1bb5...
img.thebeas####.com/apppictures/2018-06-04/9d7cf375acb5e0018f62109b2359d...
img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
img.thebeas####.com/apppictures/2018-06-05/fb3f2a2c016b20b8db908d78ab401...
img.thebeas####.com/apppictures/2018-06-06/163176f4ef93a36aaa3f5f51ebf59...
img.thebeas####.com/apppictures/2018-06-06/73182161b640c16f6b62ddba208a7...
img.thebeas####.com/apppictures/2018-06-07/6ba5049e6f5057e25e4d7ffa171b5...
img.thebeas####.com/apppictures/2018-06-08/3f2e86dfe8762e8a6b4d763f34c80...
img.thebeas####.com/apppictures/2018-06-08/4377307b83bbb1fccb1c56b657b21...
img.thebeas####.com/apppictures/2018-06-08/7d2068cb28631ebc09264221d0b6c...
img.thebeas####.com/apppictures/2018-06-08/90f5243417440f6ece0e20317ae1e...
img.thebeas####.com/apppictures/2018-06-08/cb7d4769db5c2328bb413ade8d25d...
img.thebeas####.com/apppictures/2018-06-08/d4f3a354e7ba8038a756724935dc1...
img.thebeas####.com/apppictures/2018-06-08/db59062d83ecb4043270ed0fd84c8...
img.thebeas####.com/apppictures/2018-06-08/e5602942104083a1e131ee9039831...
img.thebeas####.com/file/app_image/6faf08e5368e4159ba3107af2eb820af.jpg
img.thebeas####.com/file/app_image/6fe3e4a1409844ab9e508d24f1571622.jpg
img.thebeas####.com/file/app_image/ee125515db20430eac8d8f988853b447.jpg@...
img.thebeas####.com/file/app_video/c01f48a12de54fd2b9f890b28b61178f.mp4
img.thebeas####.com/image/20170517191315840542.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20170612183625277048.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180205191129227781.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180411114202941158.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180514164137991176.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180517161411513092.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180522113643990564.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180522172223789736.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180524172332414078.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180531114943075532.JPG@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180531154315486771.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180601113943686990.jpg@4e_0o_0l_345h_330w_90...

Запросы HTTP POST:

l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/01359283c14aa23a72631c8b2df37bf9e2bfe2c024bbce1....0.tmp
/data/data/####/07fd1dd74a05f3be8eb933e15f61c41bfb16c2d114203e4....0.tmp
/data/data/####/11c96d67a3d8728b40693f57174335a5b1e940c871f5aa2....0.tmp
/data/data/####/1528560886316.log
/data/data/####/237b968f26b1d54c2d5491f412540e08740299566e6c2cb....0.tmp
/data/data/####/242274723904757296
/data/data/####/2823d0f6280c3a8bf997563346fc143f7b4610284e77bc5....0.tmp
/data/data/####/2c14d7de719f7c2bc32ad722d31d5200f8f8a3d1d4c01a1....0.tmp
/data/data/####/40P-wHhI1Cjha5SZZvLPxJ7tw1k.-2106773007.tmp
/data/data/####/40fd5f385e04841e63da1176244048c469f8221598aeaf9....0.tmp
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570BeginSession.cls_temp
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570BeginSession.json
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionApp.cls_temp
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionApp.json
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionDevice.cls_temp
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionDevice.json
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionOS.cls_temp
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionOS.json
/data/data/####/5B1BFCE40365-0001-0814-24C84CD5A570SessionUser.cls_temp
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570BeginSession.cls_temp
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570BeginSession.json
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionApp.cls_temp
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionApp.json
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionDevice.cls_temp
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionDevice.json
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionOS.cls_temp
/data/data/####/5B1BFCF102DE-0001-0892-24C84CD5A570SessionOS.json
/data/data/####/5B1BFCF30245-0001-08D3-24C84CD5A570BeginSession.cls_temp
/data/data/####/5B1BFCF30245-0001-08D3-24C84CD5A570BeginSession.json
/data/data/####/5B1BFCF30245-0001-08D3-24C84CD5A570SessionApp.cls_temp
/data/data/####/5B1BFCF30245-0001-08D3-24C84CD5A570SessionApp.json
/data/data/####/5B1BFCF30245-0001-08D3-24C84CD5A570SessionUser.cls_temp
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570BeginSession.cls_temp
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570BeginSession.json
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionApp.cls_temp
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionApp.json
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionDevice.cls_temp
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionDevice.json
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionOS.cls_temp
/data/data/####/5B1BFCFA00FD-0001-0965-24C84CD5A570SessionOS.json
/data/data/####/5kCb5yqIUn0aTnL7IvsXnhTHufM.230938658.tmp
/data/data/####/7Vujqy2GU5louQmcXgj3Y0fxbMw.-758964339.tmp
/data/data/####/85320a58cacb0e156bbfb3d6a5e8a17e92117695ef5ec8a....0.tmp
/data/data/####/8qOlu-BWOW-Ko7DTK3DQjTIm0LI.-982747992.tmp
/data/data/####/9ed33cf08bc8e328f956eccab4ece3e6daad1eca7d58ef7....0.tmp
/data/data/####/ACCS_BIND.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/E6Rr9CWiN57iIdtaZMMKxA4ueRI.54188129.tmp
/data/data/####/Jflikaktvw-JHQ10ehV4FHMnA1w.311649615.tmp
/data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.-383226151.tmp
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/NpXx5XoM-V7gFs76ZN-4eWMXuxA.-1125133004.tmp
/data/data/####/OC1Bhj6z1Edd9-nB1R_q8lIzopI.1376848698.tmp
/data/data/####/OeBXAxds-Ja2MAurL0cj4Gkt8LM.-1990642535.tmp
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/VAnk03oOkrnzlv0G3MVpJWbuzdg.-1273695605.tmp
/data/data/####/XeOVg-dTBsZgptvF0G8F6L64__8.-892623520.tmp
/data/data/####/ab15d0c16a7d1e4396ba1479868e7ac9b4358c66fecde37....0.tmp
/data/data/####/ab270e6803bb7ea50ba284ef20881e897234706a225d691....0.tmp
/data/data/####/accs.db-journal
/data/data/####/add9a5e99e0b870783b3c500cb074c2db7102ea6cfefc63....0.tmp
/data/data/####/agoo.pid
/data/data/####/bHxVY8eh1IcP3sQZ_kaPuZ2T_tk.-208176111.tmp
/data/data/####/cLDHNsxDmav73V4ROdf__4wJNPE.1275657759.tmp
/data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.thebeastshop.thebeast;channel.growing.db
/data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
/data/data/####/com.thebeastshop.thebeast_preferences.xml
/data/data/####/com.thebeastshop.thebeast_preferences.xml.bak
/data/data/####/core_info
/data/data/####/d641f0a9138db353d8b85d45f5794e91c51f701de88dcf3....0.tmp
/data/data/####/debug.conf
/data/data/####/e4458493497eb3029389f4cd7ea887cb96dd22a0118891d....0.tmp
/data/data/####/ec9a202ded6e3950544ff0116f2480ce48fab981544c33b....0.tmp
/data/data/####/eudemon
/data/data/####/fOAjbzzY_FvG07qxPLxFdygjD-8.355909957.tmp
/data/data/####/fUPWz4aIHtAvwvNKKHWBHqkGFd4.1265747276.tmp
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
/data/data/####/jb_sp.xml
/data/data/####/journal.tmp
/data/data/####/libjiagu1784909077.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/qzeHppK808qVuJlI9FPZBMWzNOQ.-925733808.tmp
/data/data/####/sa_15923d55-f86c-4206-abc2-441f548e07c6_1528560890862.tap
/data/data/####/sa_a42a83e1-60e4-4576-a73c-ec14e112e50d_1528560869922.tap
/data/data/####/sa_c5e82537-f746-4603-aec4-8dd1614858e7_1528560869308.tap
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/sobot_chat_20180609_log.txt
/data/data/####/sobot_config.xml
/data/data/####/talkingdata_file_prefence.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/umeng_socialize.xml
/data/data/####/vds_hybrid.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wyPohoQIeTlb0WxRBUy9kqk2YUM.-84080963.tmp
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/3f3e7f16a83440fe9a6577ddd1bda2a2
/data/media/####/835e0c2a25ec49b69aa47bbddb64ef4c
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/accs_election
/data/media/####/b3a62619f7344cc6843c53b1ffbabd0b
/data/media/####/deviceToken
/data/media/####/e5a80adb913743ba9a2c789e4ad94977
/data/media/####/http~~img.thebeastshop.com~apppictures~2018-06...fe.jpg
/data/media/####/inapp_20180609.log
/data/media/####/phone_uuid.tmp
/data/media/####/tbslog.txt

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"Wxv85Y2/PZ8DAGdzx1HgwRKu","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
getprop ro.product.cpu.abi
sh

Загружает динамические библиотеки:

gifimage
imagepipeline
libjiagu1784909077
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней