Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.205.160.63:80
- TCP(HTTP/1.1) img.thebeas####.com:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) oss.thebeas####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(TLS/1.0) api.growi####.com:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) api.thebeas####.com:443
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) x####.com:443
- TCP(TLS/1.0) d506####.cdn.uc####.####.cn:443
- TCP(TLS/1.0) img.thebeas####.com:443
- TCP(TLS/1.0) hs-pa####.b0.a####.com:443
- TCP(TLS/1.0) t####.growi####.com:443
- TCP(TLS/1.0) t.growi####.com:443
- TCP umengj####.m.ta####.com:80
- TCP 1####.205.160.76:443
Запросы DNS:
- ag####.m.ta####.com
- api.growi####.com
- api.s####.com
- api.thebeas####.com
- as####.growi####.com
- e.crashly####.com
- hs-pa####.s####.com
- i####.cn
- img.thebeas####.com
- l####.tbs.qq.com
- log.u####.com
- msg.umengc####.com
- oss.thebeas####.com
- s####.u####.com
- sett####.crashly####.com
- t####.growi####.com
- t.growi####.com
- umengj####.m.ta####.com
- x####.com
Запросы HTTP GET:
- img.thebeas####.com/apppictures/2018-04-20/d0e214c07210fa12efb3a7016932f...
- img.thebeas####.com/apppictures/2018-06-05/c318da24a480c283e07160af28b1d...
- img.thebeas####.com/apppictures/2018-07-26/e7e30db60c32593260c8db48f477a...
- img.thebeas####.com/apppictures/2018-08-01/3d52168fb107b42622b426dcfbadf...
- img.thebeas####.com/apppictures/2018-08-01/664614258b550df302a7d9900e2e2...
- img.thebeas####.com/apppictures/2018-08-01/7daf08d15b580c4ed44245d298d74...
- img.thebeas####.com/apppictures/2018-08-03/7f0adb64a2b934cf6e1dd6649fa55...
- img.thebeas####.com/apppictures/2018-08-06/d064cc7f25c1f3426a0daa795e70e...
- img.thebeas####.com/apppictures/2018-08-06/d59c045ae6bbd90362b5112fe9165...
- img.thebeas####.com/apppictures/2018-08-07/1d84d6ab59e843e2557c93a1010f8...
- img.thebeas####.com/apppictures/2018-08-07/23e5936e587a2a7412e2aed3569ec...
- img.thebeas####.com/apppictures/2018-08-07/3cd6a721b274dafc78512ffa2eb9a...
- img.thebeas####.com/apppictures/2018-08-07/3f7f8a56140701e8e68f3013ac5b4...
- img.thebeas####.com/apppictures/2018-08-07/4c727e79f2df0364498888f832122...
- img.thebeas####.com/apppictures/2018-08-07/57bc86e5679f95067f6657fe26573...
- img.thebeas####.com/apppictures/2018-08-07/c1a3e71c12ef4106b4295bf9694e4...
- img.thebeas####.com/apppictures/2018-08-07/e229145911c903dcf02106b8c34b6...
- img.thebeas####.com/apppictures/2018-08-07/f769232c084c525e9365450a4b765...
- img.thebeas####.com/apppictures/2018-08-08/ee54725e84b5e2330337d45fdee43...
- img.thebeas####.com/file/app_image/2a20ae452c5441699e5fd14400f95373.png@...
- img.thebeas####.com/file/app_image/8a96fe2a7e7e83ccd1e65f8b394b3207.png@...
- img.thebeas####.com/file/app_image/ba0325e37dec4e9384a2bd6795f47b34.jpg
- img.thebeas####.com/image/20180307183227012313.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180316193714482266.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180725152045832297.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180726124438752210.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180726225459626410.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180731172559051527.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180731182221975157.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180801122246080039.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180801162919531544.jpg@4e_0o_0l_345h_330w_90...
- img.thebeas####.com/image/20180802195301805415.jpg@4e_0o_0l_345h_330w_90...
- oss.thebeas####.com/iconfont/iconfont.ttf
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1533694948395.log
- /data/data/####/1Yi3_AGmU0jVON0OvFbjzu8sT4U.-957095860.tmp
- /data/data/####/22041bfeaebeca1b654b27626df098e04cd1e978e21d786....0.tmp
- /data/data/####/242274723904757296
- /data/data/####/2UU97-Gi9N2vA6NFwDD3nJE6g1E.-500406400.tmp
- /data/data/####/2c14d7de719f7c2bc32ad722d31d5200f8f8a3d1d4c01a1....0.tmp
- /data/data/####/369fd02fa06bbe16c7df4fca71a678c2469daa1566e2874....0.tmp
- /data/data/####/4de361c4c1c130248b7f0185e0a663949b7d060722a3287....0.tmp
- /data/data/####/4wICGoWE7WOU8JbSlsSQuxnGJE8.-1201289682.tmp
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91BeginSession.cls_temp
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91BeginSession.json
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionApp.cls_temp
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionApp.json
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionDevice.cls_temp
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionDevice.json
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionOS.cls_temp
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionOS.json
- /data/data/####/5B6A53DA0013-0001-0811-9A0E06A30E91SessionUser.cls_temp
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91BeginSession.cls_temp
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91BeginSession.json
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionApp.cls_temp
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionApp.json
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionDevice.cls_temp
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionDevice.json
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionOS.cls_temp
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionOS.json
- /data/data/####/5B6A53E0032C-0001-0879-9A0E06A30E91SessionUser.cls_temp
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91BeginSession.cls_temp
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91BeginSession.json
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionApp.cls_temp
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionApp.json
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionDevice.cls_temp
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionDevice.json
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionOS.cls_temp
- /data/data/####/5B6A53E202A3-0001-08DA-9A0E06A30E91SessionOS.json
- /data/data/####/5a0c6a589dc6e506299492675e621bb6b2a93da89e0ad3d....0.tmp
- /data/data/####/5ccb63c03f4ca1b2399df7f2faf9c8bf0d593b54f99614d....0.tmp
- /data/data/####/6222c266d8a101d6e8a81b86cd85db334db5272b067ba52....0.tmp
- /data/data/####/672ba27cfa73e05fb63d8b37b63db5bac93f852188738b4....0.tmp
- /data/data/####/676HcQ7xP5VjPdFpT9icNpbW6zg.1234820530.tmp
- /data/data/####/7000792f5538d0d1a8082b977bebecf41a7464cd587d564....0.tmp
- /data/data/####/7048500fc5e9ec7f09d77851265da9a33fc141870d3895e....0.tmp
- /data/data/####/8b59154a413ce166f4bd1b2b4a1138053ee0930201ec7b2....0.tmp
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/ADUSwY0pSN8SCtCQtEFW6_arUi8.1905988398.tmp
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/Dnwk2xXCAwgNOd6lFKbDJWqkXOs.2052561401.tmp
- /data/data/####/FWsurFEwf17NEUBIwCuWvGQ1oDw.-1234940351.tmp
- /data/data/####/KpWJPl8sXq2I1nYMDF6Qp_6yiEs.1845695832.tmp
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/R6nAQzGeIYkOp4mlo-c7U_e32ds.909453169.tmp
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/WCszQOjfr4Jb8g0FIAjwXHs079A.1486900022.tmp
- /data/data/####/a-oOir46axzvm40EGjxIZhrVt3o.2128570737.tmp
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/b7d17wOjv59F2Is1YsWfhV9Grfg.1444305151.tmp
- /data/data/####/b_FtqlF6qQUqCF6DNBQWGPjl3G8.-570814518.tmp
- /data/data/####/ca9e2b41374f677cc45897e6c9f84fd391afd16ca8cc074....0.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db
- /data/data/####/com.thebeastshop.thebeast;channel.growing.db-journal
- /data/data/####/com.thebeastshop.thebeast_preferences.xml
- /data/data/####/com.thebeastshop.thebeast_preferences.xml.bak
- /data/data/####/core_info
- /data/data/####/debug.conf
- /data/data/####/dsHBGeCzjb-H10OOjvKMmBHf__s.-124873565.tmp
- /data/data/####/eudemon
- /data/data/####/fbd898d0b1fff4d110d3bd8691f01619e6647448cc58bd6....0.tmp
- /data/data/####/growing.db
- /data/data/####/growing.db-journal
- /data/data/####/growing_persist_data.xml
- /data/data/####/growing_profile.xml
- /data/data/####/growing_server_pref.xml
- /data/data/####/growingio_diagnose.xml
- /data/data/####/i80UDwCpKGWA4wwJJVlu4mR2RsA.-526699835.tmp
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/jb_sp.xml
- /data/data/####/journal.tmp
- /data/data/####/k4QjBerMTIhaDnQDc4Z4UIzQu34.2132601115.tmp
- /data/data/####/libjiagu1784909077.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/p2Gnjgraa0FOw6U7j4EgZ5H-NhI.-1457723302.tmp
- /data/data/####/sa_79dd7677-022f-4408-8c5d-f98e66d0293a_1533694947170.tap
- /data/data/####/sa_8d7d425c-7962-4ca7-85b8-41ddf8b0dee2_1533694938931.tap
- /data/data/####/sa_bdd98741-5019-4d56-b37a-cececfe52fa2_1533694938095.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sobot_chat_20180808_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/tFiEu2IUmo1PL-oHnape1AVnIMQ.-590729081.tmp
- /data/data/####/talkingdata_file_prefence.xml
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbslock.txt
- /data/data/####/tdid.xml
- /data/data/####/umeng_socialize.xml
- /data/data/####/vds_hybrid.min.js
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/y_u4tw51W90-vGwlwNDvgnElOpk.-990334667.tmp
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/13a3409d826e449abff2d91760f5be12
- /data/media/####/624e9135bc2946f980b7425e3fe8f171
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/accs_election
- /data/media/####/ba9a894845be472ab4b4ce7a5f3e1109
- /data/media/####/deviceToken
- /data/media/####/emoji.ttf
- /data/media/####/http~~img.thebeastshop.com~apppictures~2018-08...20.jpg
- /data/media/####/inapp_20180808.log
- /data/media/####/phone_uuid.tmp
- /data/media/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5719fa69e0f55aa011000150","utdid":"W2pT2kV06QUDAGdzx1FTDHyw","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu1784909077.so
- getprop ro.product.cpu.abi
- sh
Загружает динамические библиотеки:
- imagepipeline
- libjiagu1784909077
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
