Android.RemoteCode.572

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) img.thebeas####.com:80
TCP(HTTP/1.1) 1####.205.163.87:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) oss.thebeas####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) api.thebeas####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) x####.com:443
TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
TCP(TLS/1.0) img.thebeas####.com:443
TCP(TLS/1.0) hs-pa####.b0.a####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP umengj####.m.ta####.com:443
TCP 1####.205.160.76:443

Запросы DNS:

ag####.m.ta####.com
api.growi####.com
api.s####.com
api.thebeas####.com
as####.growi####.com
e.crashly####.com
hs-pa####.s####.com
i####.cn
img.thebeas####.com
l####.tbs.qq.com
log.u####.com
msg.umengc####.com
oss.thebeas####.com
s####.u####.com
sett####.crashly####.com
t####.growi####.com
t.growi####.com
umengj####.m.ta####.com
x####.com

Запросы HTTP GET:

img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
img.thebeas####.com/apppictures/2018-06-27/9a35b3040b17116becf946efe6bcf...
img.thebeas####.com/apppictures/2018-07-04/7ae7e3994b014a20cd1c0d2fa9e32...
img.thebeas####.com/apppictures/2018-07-04/8d0589503e8b6d2dc39e607aa9064...
img.thebeas####.com/apppictures/2018-07-04/9d1e85e5de58a55f97ca7a7456126...
img.thebeas####.com/apppictures/2018-07-06/67f580bb665900fcce20e62c662b4...
img.thebeas####.com/apppictures/2018-07-06/9bddf7e16fbad05682e54aef0d17a...
img.thebeas####.com/apppictures/2018-07-09/116d8d8b845245b1b71435fa01fb7...
img.thebeas####.com/apppictures/2018-07-09/26ab1d3fefb74fd067d066a821404...
img.thebeas####.com/apppictures/2018-07-09/3b2ad74ca00489c3991a4b59e6ab4...
img.thebeas####.com/apppictures/2018-07-09/53818eb14002bfc52e3ffc6232775...
img.thebeas####.com/apppictures/2018-07-10/23100673528cb0f5b633ebd8dbdf8...
img.thebeas####.com/apppictures/2018-07-10/362cd050bcbf4e2e77b7baaa4e298...
img.thebeas####.com/apppictures/2018-07-10/44a60baf2138f72dbfd998229bfa9...
img.thebeas####.com/apppictures/2018-07-10/8b50b42f0ca7784dc9fe2d57e1d8e...
img.thebeas####.com/apppictures/2018-07-10/d53a301505d340e97915bce14aeaa...
img.thebeas####.com/apppictures/2018-07-11/447892457444a3da3038f1f8b42f8...
img.thebeas####.com/apppictures/2018-07-11/ec36da3ab3a7dc630f0cab09fe71b...
img.thebeas####.com/file/app_image/83fa7c6f37604b0188ea0ad538da0f17.jpg@...
img.thebeas####.com/file/app_image/9103fae3a591492aa8c4e9d218b78d3a.jpg
img.thebeas####.com/file/app_image/9a0a6d9912e44bb6b700e5290223f9af.jpg@...
img.thebeas####.com/file/app_image/ba0325e37dec4e9384a2bd6795f47b34.jpg
img.thebeas####.com/image/20180125202431752120.JPG@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180316195328478312.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180404114924868591.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180418130547960983.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180427143909645738.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180622104248849401.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180626190120767529.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180706112444421899.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/image/20180706135316809460.jpg@4e_0o_0l_345h_330w_90...
img.thebeas####.com/imagePro/10332134/10332134_1_1467289174422.jpg@4e_0o...
oss.thebeas####.com/iconfont/iconfont.ttf

Запросы HTTP POST:

l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/0b6af4509dbc5349ff37dfa295e466a87173838ed6e0e75....0.tmp
/data/data/####/0fdab41f4445931f09668b8b62d74fcf184b1b2a1cea9ff....0.tmp
/data/data/####/1531434169144.log
/data/data/####/242274723904757296
/data/data/####/2c14d7de719f7c2bc32ad722d31d5200f8f8a3d1d4c01a1....0.tmp
/data/data/####/2ebefcecb64a5722ec9844ba3ef3ca9081ff7ba62bd1102....0.tmp
/data/data/####/4ef826d416f1078174e5379279513c2ed1c8bf23a3ee00b....0.tmp
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DBeginSession.cls_temp
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DBeginSession.json
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionApp.cls_temp
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionApp.json
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionDevice.cls_temp
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionDevice.json
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionOS.cls_temp
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionOS.json
/data/data/####/5B47D4B60034-0001-082D-73212C800B0DSessionUser.cls_temp
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DBeginSession.cls_temp
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DBeginSession.json
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionApp.cls_temp
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionApp.json
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionDevice.cls_temp
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionDevice.json
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionOS.cls_temp
/data/data/####/5B47D4B801D4-0001-0898-73212C800B0DSessionOS.json
/data/data/####/7dw8ECS3fAgTikxeu9Ie5_nluxw.866781172.tmp
/data/data/####/811c6565e71cff5523b18e67f1f5d09258b5d3a7d2a3601....0.tmp
/data/data/####/823215747229cefb9a0755af0936ab732cf8eee0cb8856a....0.tmp
/data/data/####/86102f621d3b9d3dac1467f59931cd80535db9fe09474f9....0.tmp
/data/data/####/8C8Zp8Z0-0os4n_0ljnIOd_Myfk.-682568790.tmp
/data/data/####/9485e1840a53754878458947fbbc1bf607718345b44607d....0.tmp
/data/data/####/9TRmWk_ZGZxhnC8brjs134psheE.-1920578012.tmp
/data/data/####/9s5yyaRNSxdKwk9SarB1ZQLk3Ek.1606915836.tmp
/data/data/####/ACCS_BIND.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/CHvn4h6iNSuFtCY09_N3lCgcyH8.660931890.tmp
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/Ei56bsKK4OsUItaEpmd0gfanf8M.-2136150039.tmp
/data/data/####/GVz8BfEofe9LN4GZAbR3SZPRxMs.-510211217.tmp
/data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.-626611521.tmp
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/N1WynYGbfBdjQbOydlVzRzmAOEE.-1322124582.tmp
/data/data/####/S10I5QlUU_m_cWD0PNtNVDzsU-Q.2040726380.tmp
/data/data/####/SAMBY7Gov22EAbUMS648ffskNqo.1602513642.tmp
/data/data/####/Turd7p1SFSnYyeMoyTfsid5fOhI.-196480285.tmp
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/Utpucw-zEkfsitBkVBvv2U1Hv_0.1003432100.tmp
/data/data/####/W7tWHvP-OazKPnG__s7-3iCrunQ.-1975055379.tmp
/data/data/####/Xw6ti6iE-QcqrJqnq1P8j2i18Ck.1394205055.tmp
/data/data/####/Y1XeMiEbxfZH7dsxaMctUOIXTMM.196776327.tmp
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ba0c2a8591aaa85623dbdd1df4f0df149ddb77d5f306b03....0.tmp
/data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.thebeastshop.thebeast;channel.growing.db
/data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
/data/data/####/com.thebeastshop.thebeast_preferences.xml
/data/data/####/com.thebeastshop.thebeast_preferences.xml.bak
/data/data/####/core_info
/data/data/####/d94bOzaBQt_EnT-7Z-bK66jlL2I.-47499209.tmp
/data/data/####/debug.conf
/data/data/####/eudemon
/data/data/####/fd61c222d76f04422b1c0d4bbe5d150c5079ca61a2024cd....0.tmp
/data/data/####/growing.db
/data/data/####/growing.db-journal
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/growingio_diagnose.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
/data/data/####/jb_sp.xml
/data/data/####/journal.tmp
/data/data/####/l2QkMllFYvYn61Cbh7Z4BGlf8ug.-808962746.tmp
/data/data/####/libjiagu1784909077.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/n8VDKbJsu3sxBAA7oNz5O2GA6EE.1193509562.tmp
/data/data/####/sN2rs5ATNjY6FOxiuNZIm1X9n7o.1195952305.tmp
/data/data/####/sa_69823e10-d1d1-48e5-b694-7e3f960e323a_1531434166239.tap
/data/data/####/sa_a25bd92b-6c17-4bbd-aa4e-cab6ba819ce3_1531434166985.tap
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/sobot_chat_20180712_log.txt
/data/data/####/sobot_config.xml
/data/data/####/talkingdata_file_prefence.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/umeng_socialize.xml
/data/data/####/vONPdQdar__9APde9kuhxpeFRpA.-1922573963.tmp
/data/data/####/vds_hybrid.min.js
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wwXxDg-BT17WxaEicLtWOiJDh70.-804970791.tmp
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/1250469ffcaf49dea88c462676539d4b
/data/media/####/3db4901144cf45a2b97c09c896895ec8
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/accs_election
/data/media/####/deviceToken
/data/media/####/emoji.ttf
/data/media/####/f329a9d550a5412d9a3a3fed18ca8442
/data/media/####/phone_uuid.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"W0fUtmW9bKIDAGdzx1EESh5X","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
getprop ro.product.cpu.abi
sh

Загружает динамические библиотеки:

gifimage
imagepipeline
libjiagu1784909077
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней