Android.RemoteCode.556

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) oss.thebeas####.com:80
TCP(HTTP/1.1) 1####.205.163.87:80
TCP(HTTP/1.1) img.thebeas####.com:80
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
TCP(TLS/1.0) img.thebeas####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) api.thebeas####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) hs.cb####.com:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) x####.com:443
TCP(TLS/1.0) hs-pa####.b0.a####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP umengj####.m.ta####.com:443
TCP 1####.205.160.76:443

Запросы DNS:

ag####.m.ta####.com
api.growi####.com
api.s####.com
api.thebeas####.com
as####.growi####.com
e.crashly####.com
hs-pa####.s####.com
hs.cb####.com
i####.cn
img.thebeas####.com
l####.tbs.qq.com
log.u####.com
msg.umengc####.com
mt####.go####.com
oss.thebeas####.com
s####.u####.com
sett####.crashly####.com
t####.growi####.com
t.growi####.com
umengj####.m.ta####.com
x####.com

Запросы HTTP GET:

img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
img.thebeas####.com/apppictures/2018-06-27/9a35b3040b17116becf946efe6bcf...
img.thebeas####.com/apppictures/2018-06-29/1e2f39579a343fc9bd2ef72c13d09...
img.thebeas####.com/apppictures/2018-07-03/26a9d3f486f1104ed2a1105d8cbc2...
img.thebeas####.com/apppictures/2018-07-03/32c27f5c328825d51d6f044351a8e...
img.thebeas####.com/apppictures/2018-07-03/932faa62f93ed1dd880a030334c51...
img.thebeas####.com/apppictures/2018-07-04/6152bd62b50bb1cf665082e996b38...
img.thebeas####.com/apppictures/2018-07-04/7ae7e3994b014a20cd1c0d2fa9e32...
img.thebeas####.com/apppictures/2018-07-04/8d0589503e8b6d2dc39e607aa9064...
img.thebeas####.com/apppictures/2018-07-04/9d1e85e5de58a55f97ca7a7456126...
img.thebeas####.com/apppictures/2018-07-04/ed2635ed8574db664b26d68c482d5...
img.thebeas####.com/apppictures/2018-07-04/f61566d6f90c1d4821ba51bab0727...
img.thebeas####.com/apppictures/2018-07-06/66a9d9825cab09a6d8b412b496f4a...
img.thebeas####.com/apppictures/2018-07-06/6ca12272ce635d07df4a2f04a6d8e...
img.thebeas####.com/apppictures/2018-07-06/720b3e4a8f0a5c36d329e59ddf0b9...
img.thebeas####.com/apppictures/2018-07-06/9bddf7e16fbad05682e54aef0d17a...
img.thebeas####.com/apppictures/2018-07-06/c39fa682e0e7806bf02b2faba3f52...
img.thebeas####.com/file/app_image/0ae9b9b57817437ab1494d7ae7184ceb.jpg
img.thebeas####.com/file/app_image/8518da9b411244368013afb659e370ef.jpg@...
oss.thebeas####.com/iconfont/iconfont.ttf

Запросы HTTP POST:

l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-fczBJreB4j5sFigtkTAOc80lIA.1457259345.tmp
/data/data/####/.jg.ic
/data/data/####/1526453965411.log
/data/data/####/242274723904757296
/data/data/####/2GB5aLIqtxlkrWawZ3jpOt58glU.-200332253.tmp
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CBeginSession.cls_temp
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CBeginSession.json
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionApp.cls_temp
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionApp.json
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionDevice.cls_temp
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionDevice.json
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionOS.cls_temp
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionOS.json
/data/data/####/5AFBD6CA01AF-0001-080E-E0E72DD0DC6CSessionUser.cls_temp
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CBeginSession.cls_temp
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CBeginSession.json
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionApp.cls_temp
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionApp.json
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionDevice.cls_temp
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionDevice.json
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionOS.cls_temp
/data/data/####/5AFBD6CD005B-0001-087B-E0E72DD0DC6CSessionOS.json
/data/data/####/5tupQMYdEjC4Afp15ziP8uq3LPw.2064866551.tmp
/data/data/####/9s5yyaRNSxdKwk9SarB1ZQLk3Ek.-1265447724.tmp
/data/data/####/ACCS_BIND.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/CHvn4h6iNSuFtCY09_N3lCgcyH8.186703143.tmp
/data/data/####/CIvsF0eySvoAOw0W8c85t0LXQmk.-320551860.tmp
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.-1625815310.tmp
/data/data/####/M3KPboPdX8LJ-BiYKq0Wc6xOR9A.-1628093839.tmp
/data/data/####/MMMYVoRwsUFGx_LLJ3OKye97pvA.-1877758638.tmp
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/TWwWKtRs_cqUCfHg03rGRbjTpZE.744522559.tmp
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/Utpucw-zEkfsitBkVBvv2U1Hv_0.-1305727295.tmp
/data/data/####/Y1XeMiEbxfZH7dsxaMctUOIXTMM.1616622342.tmp
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.thebeastshop.thebeast;channel.growing.db
/data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
/data/data/####/com.thebeastshop.thebeast_preferences.xml
/data/data/####/core_info
/data/data/####/debug.conf
/data/data/####/ecWut3Tz3il2tnVG_W3lk4iM1lM.16950985.tmp
/data/data/####/eudemon
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
/data/data/####/jb_sp.xml
/data/data/####/journal.tmp
/data/data/####/kfHMdHhHfrJO1_Rnob66L01ruek.-1103833545.tmp
/data/data/####/libjiagu1784909077.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/n8VDKbJsu3sxBAA7oNz5O2GA6EE.488257371.tmp
/data/data/####/sa_0186c20f-09ff-4ae7-9414-d03e1bd5f68f_1526453963546.tap
/data/data/####/sa_1e180158-ca44-4f1e-805e-1fb0c51e05f1_1526453962585.tap
/data/data/####/sc-5akPYNpC2KVXk0QqZao1pVi4.-1644688964.tmp
/data/data/####/se4ecr0ekUi-FwXc9GDBxC5QbP0.1946817883.tmp
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/sobot_chat_20180516_log.txt
/data/data/####/sobot_config.xml
/data/data/####/talkingdata_file_prefence.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/trEUWWgdm9gAYYORhVJMO2yGBDg.980194040.tmp
/data/data/####/umeng_socialize.xml
/data/data/####/vds_hybrid.min.js
/data/data/####/vhJIFnTWN-9GXC32RQcLzL67djM.2035961912.tmp
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/031bb7ebd7a2420f84ea0e1c04e34e24
/data/media/####/98836f1d2b504eff863dee5791207fdc
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/accs_election
/data/media/####/c546d5ae25684c4bb6ac0ccabca1ae65
/data/media/####/deviceToken
/data/media/####/emoji.ttf
/data/media/####/phone_uuid.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"WvvWy3vQPW8DAGdzx1FdupZz","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
getprop ro.product.cpu.abi
sh

Загружает динамические библиотеки:

gifimage
imagepipeline
libjiagu1784909077
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней