Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) oss.thebeas####.com:80
- TCP(HTTP/1.1) 1####.205.163.87:80
- TCP(HTTP/1.1) img.thebeas####.com:80
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
- TCP(TLS/1.0) img.thebeas####.com:443
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) api.thebeas####.com:443
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) hs.cb####.com:443
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) x####.com:443
- TCP(TLS/1.0) hs-pa####.b0.a####.com:443
- TCP(TLS/1.0) t####.growi####.com:443
- TCP umengj####.m.ta####.com:443
- TCP 1####.205.160.76:443
Запросы DNS:
- ag####.m.ta####.com
- api.growi####.com
- api.s####.com
- api.thebeas####.com
- as####.growi####.com
- e.crashly####.com
- hs-pa####.s####.com
- hs.cb####.com
- i####.cn
- img.thebeas####.com
- l####.tbs.qq.com
- log.u####.com
- msg.umengc####.com
- oss.thebeas####.com
- s####.u####.com
- sett####.crashly####.com
- t####.growi####.com
- t.growi####.com
- umengj####.m.ta####.com
- x####.com
Запросы HTTP GET:
- img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
- img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
- img.thebeas####.com/apppictures/2018-07-16/ee277b1041632284ff53636508b9a...
- img.thebeas####.com/apppictures/2018-07-21/7cfccf96e39d3c3426be7dd967480...
- img.thebeas####.com/apppictures/2018-07-24/2dd4c74a9289642cbc71d132ec7e6...
- img.thebeas####.com/apppictures/2018-07-24/43d19088314cc8e27e41733d2e7de...
- img.thebeas####.com/apppictures/2018-07-24/d8d9dd51341f981fabc65c1476c24...
- img.thebeas####.com/apppictures/2018-07-25/d7053d05ac3c49668b119e0d24b84...
- img.thebeas####.com/apppictures/2018-07-26/4652b3062b4ce3165177d2bc9161a...
- img.thebeas####.com/apppictures/2018-07-26/c7ea4ebbcb6f40ac94e2c834b5e0a...
- img.thebeas####.com/apppictures/2018-07-26/e1604a5a4cd7e83734018e618b633...
- img.thebeas####.com/apppictures/2018-07-26/e7e30db60c32593260c8db48f477a...
- img.thebeas####.com/apppictures/2018-07-27/139064e779ee8027ef85f98114929...
- img.thebeas####.com/apppictures/2018-07-28/4d2773c6000ef332a539819b9b586...
- img.thebeas####.com/apppictures/2018-07-28/503c14d002d6440ce6c6a36202dcf...
- img.thebeas####.com/apppictures/2018-07-28/ad86f933111078ff9ead2d6709de3...
- img.thebeas####.com/apppictures/2018-07-29/28713201f8506762e40cb85a37ecf...
- img.thebeas####.com/apppictures/2018-07-29/5aff3dddece2976497d00284bae04...
- img.thebeas####.com/file/app_image/5f6152f243f89a3144002268da70c10c.png@...
- img.thebeas####.com/file/app_image/6fe3e4a1409844ab9e508d24f1571622.jpg
- img.thebeas####.com/file/app_image/ad577bd747b7af8d6ae3d92c689cb634.png@...
- img.thebeas####.com/file/app_image/cafa107ae67f24f50c70bf0b5208df05.png@...
- img.thebeas####.com/image/20180510201930973952.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180515142020520440.JPG@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180626185948855644.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180706135316809460.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180712161904392259.JPG@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180717202548251463.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180720195110975423.JPG@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180725152045832297.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180726124438752210.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180726140518315688.jpg@4e_0o_0l_345h_330w_90...
- oss.thebeas####.com/iconfont/iconfont.ttf
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-V0xADSdexWfFOdHU86rmGD3cuc.-647904090.tmp
- /data/data/####/-WswCrXET3ruF7C1XS02ISaZkyA.-1961048319.tmp
- /data/data/####/.jg.ic
- /data/data/####/0c94791b586534d95ce516dc283ce0083ebe47d5d36af38....0.tmp
- /data/data/####/0db1108cb9e790f0ca147347315990df3352cd3f52503d8....0.tmp
- /data/data/####/1532871648474.log
- /data/data/####/17wx0NZFNNKdhMxFlbin-GT96WU.-713263847.tmp
- /data/data/####/22041bfeaebeca1b654b27626df098e04cd1e978e21d786....0.tmp
- /data/data/####/242274723904757296
- /data/data/####/2UU97-Gi9N2vA6NFwDD3nJE6g1E.-1482794768.tmp
- /data/data/####/2c14d7de719f7c2bc32ad722d31d5200f8f8a3d1d4c01a1....0.tmp
- /data/data/####/548dd7b93acc65c10171a294495a2e3e5846990fa605098....0.tmp
- /data/data/####/58c6c8b02083714a18f17c8b193e4d046144b493d9c24b8....0.tmp
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDEBeginSession.cls_temp
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDEBeginSession.json
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionApp.cls_temp
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionApp.json
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionDevice.cls_temp
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionDevice.json
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionOS.cls_temp
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionOS.json
- /data/data/####/5B5DC3DD01DC-0001-081E-EE0CA41C9EDESessionUser.cls_temp
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDEBeginSession.cls_temp
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDEBeginSession.json
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionApp.cls_temp
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionApp.json
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionDevice.cls_temp
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionDevice.json
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionOS.cls_temp
- /data/data/####/5B5DC3E00052-0001-0889-EE0CA41C9EDESessionOS.json
- /data/data/####/67335114e973da6f0ef3b00f08d55f9ce3c0d87ac59c7bf....0.tmp
- /data/data/####/80429cb24b71c875fe35ea970c47a1347b528d7388a120f....0.tmp
- /data/data/####/823215747229cefb9a0755af0936ab732cf8eee0cb8856a....0.tmp
- /data/data/####/8b59154a413ce166f4bd1b2b4a1138053ee0930201ec7b2....0.tmp
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/ETwEHdyKs7Q6FCbE3cXLH6bwsrY.80254080.tmp
- /data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.247800649.tmp
- /data/data/####/MHRnaUeT2DpfaubaSmnBTpIvQa4.-848399805.tmp
- /data/data/####/MessageStore.db-journal
- /data/data/####/MlVEHKCVaJ8HCjaISLIIo3fm5BU.208356377.tmp
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/QRabHkA0sDLmwivenFRxLUVhljs.2031886486.tmp
- /data/data/####/RMiLudgFiJ22K2fIJK2pNcfQV0Q.-225426467.tmp
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/YPLbAVKUAKJ751c4cnfZJ7EqrAg.-1326710131.tmp
- /data/data/####/ZE7skYE7I_9b8dP7f5VIkT_PtTY.214745429.tmp
- /data/data/####/_0563gOgocECDIKPhzwGg9rVj0E.-1896848790.tmp
- /data/data/####/_PVhBJnF0m30OUHKJvON3FPV95M.313100119.tmp
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/c3c810babb9fab5f9b21696d9cee214c6c33f5e229330f1....0.tmp
- /data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
- /data/data/####/com.thebeastshop.thebeast_preferences.xml
- /data/data/####/com.thebeastshop.thebeast_preferences.xml.bak
- /data/data/####/core_info
- /data/data/####/debug.conf
- /data/data/####/eudemon
- /data/data/####/fca90a3bb60d6818e5fce62151c6be82f17f44f0b218d99....0.tmp
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growing_server_pref.xml
- /data/data/####/growingio_diagnose.xml
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/jb_sp.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1784909077.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/mqEdkFGIfSpuozQgIChw60-3QUw.10789143.tmp
- /data/data/####/multidex.version.xml
- /data/data/####/oF7zkEp5Si4uUDfVJ9lw569WyCQ.-146247851.tmp
- /data/data/####/rAEQxB-LdRWkSX4q-MkHcbzO8xo.-2072114194.tmp
- /data/data/####/rRRL-f933jQkSlci6_6dPacE2UU.-15271929.tmp
- /data/data/####/sa_270acfdb-fcbd-4067-8081-7f6704d71618_1532871645594.tap
- /data/data/####/sa_2b0ff888-f523-4564-8220-545c180c0573_1532871646422.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sobot_chat_20180729_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/tE58TCrVyDIQrT1CLGBEXNK8eM0.-120150265.tmp
- /data/data/####/talkingdata_file_prefence.xml
- /data/data/####/talkingdata_file_prefence.xml.bak
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tdid.xml
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_socialize.xml (deleted)
- /data/data/####/vds_hybrid.min.js
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/1ec8737e2b984c01b7a34cadf43720fa
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/accs_election
- /data/media/####/de8710519e4246b98e67c62c067616b8
- /data/media/####/deviceToken
- /data/media/####/emoji.ttf
- /data/media/####/f6c7faa6f60c4a57a01d32f6b12ecda3
- /data/media/####/http~~img.thebeastshop.com~apppictures~2018-07...9a.jpg
- /data/media/####/phone_uuid.tmp
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"W13D3fbWN58DAGdzx1FHAenb","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
- getprop ro.product.cpu.abi
- sh
Загружает динамические библиотеки:
- gifimage
- imagepipeline
- libjiagu1784909077
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
