Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.205.160.63:80
- TCP(HTTP/1.1) img.thebeas####.com:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) x####.com:443
- TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
- TCP(TLS/1.0) img.thebeas####.com:443
- TCP(TLS/1.0) t####.growi####.com:443
- TCP(TLS/1.0) api.thebeas####.com:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP umengj####.m.ta####.com:80
- TCP 1####.205.160.76:443
Запросы DNS:
- ag####.m.ta####.com
- api.growi####.com
- api.s####.com
- api.thebeas####.com
- as####.growi####.com
- e.crashly####.com
- i####.cn
- img.thebeas####.com
- l####.tbs.qq.com
- log.u####.com
- msg.umengc####.com
- s####.u####.com
- sett####.crashly####.com
- t####.growi####.com
- t.growi####.com
- umengj####.m.ta####.com
- x####.com
Запросы HTTP GET:
- img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
- img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
- img.thebeas####.com/apppictures/2018-06-08/cb7d4769db5c2328bb413ade8d25d...
- img.thebeas####.com/apppictures/2018-06-11/19c867997af34111112751a979232...
- img.thebeas####.com/apppictures/2018-06-12/126a4dcd286076c8b83bd11952e40...
- img.thebeas####.com/apppictures/2018-06-13/22918e55b4c80be1f2a22bf024a3d...
- img.thebeas####.com/apppictures/2018-06-13/3798ce642eaba128b45b114a6897f...
- img.thebeas####.com/apppictures/2018-06-15/26278637310b58c583955f98fc772...
- img.thebeas####.com/apppictures/2018-06-15/45b0ea3b55dde13f6cce09293ff49...
- img.thebeas####.com/apppictures/2018-06-15/d69b2f91075b3fbb71494fed30299...
- img.thebeas####.com/apppictures/2018-06-16/357c2b804a117dbb30def4fa6fd69...
- img.thebeas####.com/apppictures/2018-06-16/81cbe580e7a35fe76efacac030037...
- img.thebeas####.com/apppictures/2018-06-16/966acba83d7b77e2ec0c5a346c0c3...
- img.thebeas####.com/apppictures/2018-06-17/4a8747c26c2dfa3b4d6be54d59a64...
- img.thebeas####.com/apppictures/2018-06-19/29bd019a5ca48937a2c39f432f0e0...
- img.thebeas####.com/apppictures/2018-06-19/5f2ea9e4df170fba9d40c85e9e3c2...
- img.thebeas####.com/apppictures/2018-06-19/69bc48e01b49a5071cac181ae61db...
- img.thebeas####.com/apppictures/2018-06-19/86265f81406163194036065637d1b...
- img.thebeas####.com/apppictures/2018-06-19/d5897690e622aa7daf51e56a881d7...
- img.thebeas####.com/file/app_image/6fe3e4a1409844ab9e508d24f1571622.jpg
- img.thebeas####.com/file/app_image/8402fb3f48674e1ba73e355bd4f7f174.jpg@...
- img.thebeas####.com/file/app_image/b6673a721ee147d299c94c85902c109c.jpg@...
- img.thebeas####.com/image/20170306174359901067.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180517145436990912.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180522113643990564.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180607151203489945.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180607174701124777.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180607175408455224.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180608123016483697.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180614195726412681.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180615103806756851.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180620104930184110.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/imagePro/PROD001014367/PROD001014367_1_1467289174422...
- img.thebeas####.com/imagePro/PROD001018168/PROD001018168_1_1484123133208...
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1529477138505.log
- /data/data/####/159pQVcgLnoeAaGahCG2fC-ExM0.1010486329.tmp
- /data/data/####/1b3b059cda1c70e499a314c6ada9295fcad025549ad5b85....0.tmp
- /data/data/####/1e1b961484a3a7d375a9e3edb3e13961d4a98e7ea1f2d89....0.tmp
- /data/data/####/242274723904757296
- /data/data/####/246a8e50acf553eeb1fe9c2ccf220ffd7a27bc2058774d4....0.tmp
- /data/data/####/25VW0VMhOJXU-iRV9j-JPdfw7hY.-494493617.tmp
- /data/data/####/2c14d7de719f7c2bc32ad722d31d5200f8f8a3d1d4c01a1....0.tmp
- /data/data/####/3022db2bbc087440b65d9cda949408ec971222567ba0ca6....0.tmp
- /data/data/####/3116e2448e7b4483eb0efb92b977305cb86643a8d47e2e0....0.tmp
- /data/data/####/3oZATcuKnawfnR4BA5Dc82lVaTE.-1585082966.tmp
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83BeginSession.cls_temp
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83BeginSession.json
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionApp.cls_temp
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionApp.json
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionDevice.cls_temp
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionDevice.json
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionOS.cls_temp
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionOS.json
- /data/data/####/5B29F80F0134-0001-082D-BBC5C214BA83SessionUser.cls_temp
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83BeginSession.cls_temp
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83BeginSession.json
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionApp.cls_temp
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionApp.json
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionDevice.cls_temp
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionDevice.json
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionOS.cls_temp
- /data/data/####/5B29F8120153-0001-089A-BBC5C214BA83SessionOS.json
- /data/data/####/5fcf51f01a09fc2f3ab23654ae876cbf71e3a3abc8366af....0.tmp
- /data/data/####/6PgthfX396KLkIagwr89uYl7OeA.-957305970.tmp
- /data/data/####/7Vujqy2GU5louQmcXgj3Y0fxbMw.363093621.tmp
- /data/data/####/7b7e9b138ec71c04e316217d224a0accdd36cfef53f93f8....0.tmp
- /data/data/####/7e9e456240f6a0c09bb8cd79461fdd7328d5799f358d510....0.tmp
- /data/data/####/8I6ygyB3s6sUPZkN8JBne6aTI04.-1095520429.tmp
- /data/data/####/9ed33cf08bc8e328f956eccab4ece3e6daad1eca7d58ef7....0.tmp
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DAa0-e4KI0uaH0t7KwTZpvZ6qgA.1522878431.tmp
- /data/data/####/DaemonServer
- /data/data/####/F5kC7EhAzXadigyq9clEwXqXg4k.787316984.tmp
- /data/data/####/G7dZ4Uw-CktkQ2gsLQvobRRvCbo.668034808.tmp
- /data/data/####/HFdp0DcvrdtaxcxqwepcQRu61lM.99419386.tmp
- /data/data/####/JaeB5ZPuZNC7DIzzPPu5c3Cb8jU.1858618184.tmp
- /data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.-70718653.tmp
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/VFSV_gAVqAMuVAQoyognfXARFiU.-210141757.tmp
- /data/data/####/a93d99bf0cd1c313db6b59b16a10e9a6747dd922c3f4112....0.tmp
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/b28sBMoM6dBkSo9sL5vCRzDkjug.-1277458067.tmp
- /data/data/####/b71b8e4a3b536163102505f852f54018262b5904eb7123d....0.tmp
- /data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
- /data/data/####/com.thebeastshop.thebeast_preferences.xml
- /data/data/####/com.thebeastshop.thebeast_preferences.xml (deleted)
- /data/data/####/core_info
- /data/data/####/debug.conf
- /data/data/####/eudemon
- /data/data/####/fUPWz4aIHtAvwvNKKHWBHqkGFd4.293823437.tmp
- /data/data/####/fd6ad94b4906f0de447c1b2809e8288d3b3522551b83031....0.tmp
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growing_server_pref.xml
- /data/data/####/growingio_diagnose.xml
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/journal.tmp
- /data/data/####/kA-uKPQHpXXPFFze17xcFBaoBtw.29923536.tmp
- /data/data/####/libjiagu1784909077.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/n0MPxjnmzqmHQn8GnqyLPGNlTG0.-414369854.tmp
- /data/data/####/sa_32160714-8c0c-46f4-bffa-667fe547b69c_1529477136534.tap
- /data/data/####/sa_8624abce-8571-4d3d-a07b-d7d215b3e627_1529477135645.tap
- /data/data/####/sa_9b2d8a43-c942-46f3-bbbc-9bad5fd305d6_1529477139719.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sobot_chat_20180620_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/talkingdata_file_prefence.xml
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdid.xml
- /data/data/####/uHxkUREYe4HoSjat1sZNYQtwiGU.-2088559522.tmp
- /data/data/####/umeng_socialize.xml
- /data/data/####/vFPzo7m42kHP2F1C5zypzFGpZK8.-978158562.tmp
- /data/data/####/vds_hybrid.min.js
- /data/data/####/vekRWXmIH4m3zrKAHbI_aO5l-Fk.878869172.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/3dee9872022e4847b2a2cb33043d966a
- /data/media/####/821f853ac84343678537d01fd809ba6a
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/aa66e009b50b494eb1e7c93d184f36e4
- /data/media/####/accs_election
- /data/media/####/deviceToken
- /data/media/####/http~~img.thebeastshop.com~apppictures~2018-06...93.jpg
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"Wyn4EOWSrIYDAGdzx1HSTxHx","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
- getprop ro.product.cpu.abi
- sh
Загружает динамические библиотеки:
- gifimage
- imagepipeline
- libjiagu1784909077
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
