악성앱 분석 데이터베이스

악성앱 분석 데이터베이스 — 몸캠피싱·영상통화사기 | ARKLINK주식회사 아크링크 Deep-Coding 보안연구소가 분석한 한국 대상 몸캠피싱·스미싱 악성앱 308종의 리버스 엔지니어링 결과입니다. 각 앱의 C2 서버·권한 악용·데이터 탈취 구조를 정밀 분석했습니다. 몸캠피싱 해결·악성앱 분석 문의: arklink.co.kr

YLOVE — contact_theft · wavegrid · extreme. ML.apk(YLOVE) RuoYi C2 서버 심층 분석 — 508개 총 공격 벡터 테스트, JWT가 유일한 키, [비공개] API 스키마 추출, 앱 삭제 대비 초대코드 복구 도구 제작.

LOVESM (260317) — contact_theft · wavegrid · extreme. 만남앱으로 위장한 연락처·사진 탈취 악성앱. 초대코드 입력 후 권한을 얻어 연락처와 갤러리 사진·영상을 외부 서버로 전송. 다수 동종 악성앱과 동일 서버 인프라를 공유.

Killer-1-Maui — contact_theft · maui_hybrid · high. Microsoft MAUI(.NET 8+) 악성앱 107개 DLL + AOT 컴파일 9개 암호화 리소스(엔트로피 7.7+) 20섹션 1,264줄 심층 분석 蜜源(밀원) UI.

Chinso — contact_theft · c2_daujsd_work · extreme. wavegrid Kotlin 변종 SMS 휴면모듈 발견(j62.g) LOVEM과 C2 공유([도메인 비공개]) ML과 API 패턴 10/10 일치.

Q — contact_theft · wavegrid · extreme. Wavegrid/Echoverse 변종.

GalleryVault Pro — contact_theft · virbox_sens · extreme. 자동 분석 18p Custom 3-Layer Jiagu (Virbox) AES-CBC Layer 2 확인 에뮬레이터 무성크래시 (5.76MB).

Expo Love (APK 미확보) — contact_theft · expo_korean_isp_domestic · critical. Expo SDK 54 React Native 악성앱 (expo.@hhseong/LOVE) ⚔️ TIER_2 국내 타겟: [도메인 비공개] ([IP 비공개] KT Corporation) POST /backup 엔드포인트 @hhseong EAS 계정 추적

伪恋圈 (위연권) — contact_theft · uniapp_hybrid · critical. 伪恋圈 — Frezrik Jiagu + DCloud UniApp C2: [IP 비공개] (HTTP Cleartext) 4 API (getuserid[경로 비공개]) 40개 권한(SEND_SMS/INSTALL_PACKAGES) 90초 카운트다운 데이터

j0z — contact_theft · c2_yubtrqvz12254_online · high. wavegrid Gen 1.0 원본 (Rosetta Stone) ProGuard 미적용으로 클래스 시그니처 보존 StatusUtils=j62, ContactCollector=di0, SSLHelper=fi0$d 매핑 확립 — 75개 wavegrid 가

홈요가 (HomeYoga) — contact_theft · jiagu · high. DCloud UniApp 하이브리드 (uniapp_independent) 극도 난독화: T036 영어단어조합(7카테고리 7000+단어) + T037 더미컴포넌트(99개 중 15개만 활성) + Manifest Full Duplication(전체 appl

FileM — contact_theft · c2_kubdad_store · high. StatusUtils 995라인 동일 + C2 [도메인 비공개] 교체 + GlobuleValue/PermissDialog 2 클래스 추가 1~2일 내 변종 제조 가능 대량 생산 라인 증거.

GgulGgulTalk — contact_theft · wavegrid · extreme. 자동 분석 26p Native Android (wavegrid) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, image_compression 9,104 클래스 분석 (11.3MB).

Lovee — contact_theft · kotlin_hjq · high. wavegrid Gen 1.5-B j0z 병렬 개발 변종 — 동일 사양서 독립 구현 HJQ HTTP + Gson + ButterKnife (j0z: EasyHttp + FastJSON) C2: [도메인 비공개] (.shop TLD) iw1=Status

QL — contact_theft · wavegrid · high. Wavegrid Core C2 클러스터 A([도메인 비공개]) 20섹션 884줄 심층 분석 완료.

LOVEY — contact_theft · wavegrid · extreme. 자동 분석 25p Native Android (wavegrid) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, image_compression 9,204 클래스 분석 (11.3MB).

Lovenses 2 (APK 미확보) — contact_theft · c2_uitybvdv652_today · high. Wavegrid Core B+ 변종 3개 API 추가 수정 19섹션 1,042줄 심층 분석 완료.

QN — contact_theft · c2_dasj234jnaftad5_buzz · high. Wavegrid Core C2 클러스터 A(dasj234jnaftad5.*) 20섹션 1,266줄 심층 분석 완료.

FILEQ — contact_theft · wavegrid · high. Wavegrid Core Variant A FileM 유전체 동일 클론 [도메인 비공개] C2 uv0(StatusUtils) 9메서드 데이터수집 SMS 휴면코드 yuvaluejing 식별자.

CherryTalk — contact_theft · c2_pinonaoshsfpaohjgadsf_buzz · high. Wavegrid Kotlin 변종.

잠금톡 (BeeTALK) — contact_theft · golgol_cluster · extreme. Durian 패밀리 Jiagu 보호 악성앱 AnLei(暗雷) 작전명 발견 7개 API 엔드포인트, 204개 클래스, 8개 취약점, 10개 기법 Leader K와 SO 바이너리 동일.

냥톡 (Nyangtalk) — contact_theft · c2_yuoaophgioashoigreviews_xyz · high. Wavegrid Gen3 SMS 변종 RuoYi C2 연락처/SMS/이미지 탈취 역전 로직(200=실패) CountDownTimer 5초 주기 SMS 감시.

Leader-K — contact_theft · wavegrid · high. 6차 인스턴스 Day +97~104 Pink 계열 예상.

Flirting 138 — contact_theft · xxayj_monster · extreme. Wavegrid Gen3 SMS 변종 com.xyx.sms 내부 패키지 4개 API UploadService START_STICKY 5초 SMS 무한루프 ScanKit/ML Kit 미사용(빌드 템플릿) Android 8.0+ 서비스 결함 16개 개발자

Flirting 95 — contact_theft · pino_xyz · extreme. 양자나노 v2.0 (1592줄) Wavegrid Gen3 최신 진화형 compileSdk 34, READ_MEDIA_* Android 13+ 대응, getLine1Number 버그 수정 READ_SMS 매니페스트 미선언 vs 코드 잔존 (휴면 위협)

Y — contact_theft · pino_xyz · extreme. WaveGrid Gen3 Build v3 pino_xyz family com.dsjdsjkds.cndjjytqvxd + [도메인 비공개].

ze — contact_theft · xxayj_xyz · extreme. Wavegrid Gen3 프로토타입 정상 초대코드 로직(200=성공) SMS 1일 필터 선택적 난독화 WeatherBean/NewsBean 데드코드 Android 8.0+ 서비스 결함 취약점 10개, 기법 17개 quantum_nano v2.0 + d

Since — contact_theft · c2_xxayjgagagxxgweb_xyz · extreme. 자동 분석 26p Native Android (wavegrid_gen3) C2: [도메인 비공개] 데이터수집: image_compression, phone_number 4,352 클래스 분석 (6.7MB).

QF — contact_theft · c2_yuoaophgioashoigreviews_xyz · extreme. 심층 분석 18p wavegrid_kotlin Gen1.5 C2: [도메인 비공개] Kotlin MVVM+DataStore+EasyHttp+Luban StatusUtils 9메서드(6 Dead) T040 Dormant SMS 개발자 프로파일링 8패턴

LOVENSE — contact_theft · kotlin_easyhttp · high. wavegrid Gen 1.2 — j0z 코드 복제 + MMKV/ViewBinding/BaseActivity 아키텍처 현대화 3중 패키지(vortexus/astreon/solsticecore) StatusUtils.java 987라인 getContac

LOVEM — contact_theft · c2_daujsd_work · high. wavegrid Gen 1.1-B (Variant B 최초 비난독화 멤버) com.cryonix.wavegrid 네임스페이스 C2: [도메인 비공개] = Chinso와 공유 (크로스 배리언트 인프라) ButterKnife+SPUtils 아키텍처 Sta

블링믈메이크 (ChatApp) — contact_theft · uniapp_hybrid · extreme. 독립 패밀리(비Wavegrid) DCloud uni-app(Vue3)+Weex 하이브리드 57개 API+WSS 이중채널 5중 방어(에뮬레이터+안티탬퍼링+난독화+Stub SO+하이브리드) 연락처 즉시 탈취(mounted)+GPS 실시간 추적 28페이지

悦心 (Yuexin) — contact_theft · c2_47_82_161_3 · critical. 이중 AES 양쪽 키 해독 (brianfeverorange + S2Pgz8vvwsAyPiFz) 3중 C2+RAT 22개 감시 네이티브 메서드 DCIM 18확장자 탈취+Luban 압축 화면녹화 1280x720 30fps IMEI/IMSI/VPN탐지 C2

ReeTalk — contact_theft · durian · high. 자동 분석 20p Native Android 보호: 360_jiagu 4 클래스 분석 (11.6MB).

탑 라이브 — contact_theft · golgol_cluster · extreme. Durian Gen 1 변종 3세대 암호화 고고학(AesUtil ECB→AesCBC CBC→Aes SHA1PRNG) C2: [IP 비공개] 4채널 수집(연락처/SMS/위치/이미지) OkDownload 2단계 공격 6단계 권한 체인 SMS 공격적 재요청

비밀공간 — contact_theft · golgol_cluster · extreme. Durian Gen 1 패밀리 AesCBC 하드코딩 키 1234567890123456 SSLSocketClient TrustAllManager C2: [IP 비공개] 4채널 데이터 수집(연락처/SMS/이미지/위치) SharedPreferences 19

hpb dildo — contact_theft · kotlin_coroutines · extreme. 자동 분석 24p Frezrik Jiagu (WaveGrid-Full) (wavegrid_full) 보호: Frezrik Jiagu (WaveGrid-Full) 4 클래스 분석 (15.9MB).

Aria Yoga — contact_theft · golgol_cluster · extreme. 자동 분석 24p Native Android (durian) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, phone_number 13,477 클래스 분석 (15.6MB).

Photo — contact_theft · virbox_sens · critical. DCC Protect/Dex2C 3.1.13 — 모든 비즈니스 로직을 libstub.so 네이티브로 컴파일 2.38MB 초경량 + 4권한 수술적 정밀 무한 권한 재요청 루프로 사용자 거부 무시 연락처-SMS 교차 참조로 실명 기반 정밀 피싱 가능.

비밀앨범 — contact_theft · laravel_vultr · extreme. Tianyu Jiagu + DCloud UniApp 3중 암호화(DEX+JS+XOR 0x10) INSTALL_PACKAGES Dropper 연락처 R/W 양방향 app-confusion.js C2 은닉 Vivo 앱스토어 등록.

화보집 — contact_theft · unclassified · extreme. 화보집 - 연락처+SMS+전화번호 탈취 무보호 Native Android RSA/ECB/PKCS1 uid만 암호화, 개인정보는 평문 3단계 순차 탈취 (연락처→SMS→온라인상태) 하드코딩 fallback 번호 15188774466 소비자 서비스 전용선

비밀앨범 — contact_theft · laravel_vultr · extreme. 비밀앨범 — DCloud UniApp 기반 연락처+SMS 탈취 악성앱 C2: [IP 비공개] (HTTP 평문) __3(비밀앨범&관리자)의 초기 버전(동일 adid) 에뮬레이터 탐지로 ANR.

bp dildo — contact_theft · frezrik_jiagu · extreme. 자동 분석 24p Frezrik Jiagu (WaveGrid-Full) (wavegrid_full) 보호: Frezrik Jiagu (WaveGrid-Full) 4 클래스 분석 (15.8MB).

Blue Club — contact_theft · wavegrid_native_foobar_bloat · extreme. 22.9MB 초대형 wavegrid_native 17,648 Kotlin 클래스 (표준 대비 5배 이상 bloat) C2 foo.bar placeholder (런타임 복호화) device_id + phone_number 수집.

비밀톡 — contact_theft · frezrik_jiagu · extreme. Frezrik Jiagu NDK 심층 분석 완료 AES-CBC DEX 암호화, 4-ABI 지원, StubApp→MyApp 리플렉션 교체, 3 DEX 런타임 로드 C2: [도메인 비공개] (비밀톡 6변종 가족) 26개 위험 권한.

Telegram — contact_theft · kotlin_easyhttp · extreme. 악성앱 분석 보고서. 프레임워크: Native Android (Kotlin + EasyHttp). 보호기제: Emulator Detection + Invitation Code. 카테고리: contact_theft.

wks dildo — contact_theft · frezrik_jiagu · critical. 자동 분석 20p Native Android 보호: 360_jiagu 4 클래스 분석 (15.8MB).

Sxjoa — contact_theft · golgol_cluster · critical. Frezrik Jiagu(360 加固) 패킹 25개 권한 OkHttp+Glide+OkDownload 3중 스택 ShareTrace 중국 마케팅 SDK KefuActivity(客服) + ZongheAppTheme(综合) + values-zh/ → 7중

비밀톡 (Secret Talk) — contact_theft · frezrik_jiagu_maas · extreme. Frezrik Jiagu 4아키텍처 SO(arm/arm64/x86/x86_64) — 에뮬레이터 정상 실행 확인 성인 영상통화 위장 3 DEX 런타임 복호화 ContentProvider 이중 교체 7종 데이터 탈취(SMS+연락처+통화+일정+카메라+파일+

Yhbzoa — contact_theft · frezrik_jiagu · critical. Frezrik Jiagu(360 加固) 패킹 악성앱 Sxjoa 동일 빌드 템플릿 클론(APK 16,025,887B 일치) 25개 권한 9종 데이터 탈취 OkHttp+Glide+OkDownload 트리플 스택 8중 중국 기원 증거(KefuActivity

PPAU — contact_theft · golgol_cluster · critical. Template C-Kefu v3 Lite 6th Instance — 15-Permission Lite Profile (27→15 권한 축소), MaintenanceActivity 신규 발견, versionCode=2(v1.1.4).

Deetalk — contact_theft · golgol_cluster · critical. Template C-Kefu v3 Media 변종 (7th Instance) 16개 권한 Media 프로파일 — 동영상+오디오+WiFi 제어 NDK_JIAGU 3,881ms.

비밀톡 — contact_theft · frezrik_jiagu_maas · critical. Template C-Kefu v3 Comprehensive 변종 24개 권한(최다) — SMS+통화기록+캘린더+위치+미디어+AD_ID+앱목록 8번째 SO 해시 체인 NDK_JIAGU 4,599ms(최장).

내비밀A — contact_theft · virbox_sens_group_a · high. virbox_sens Group A 자동 분석 샘플 (5.5MB, 3 stub 클래스) Virbox Protector SENS doh.fxjczlut 패키지 정밀 분석 대상.

BeeTALK — contact_theft · golgol_cluster · high. ML 심층 분석 완료 12MB Template B 클론 그룹 대표(5개 변종) NDK_JIAGU 11단계 전체 시퀀스 캡처 3-DEX 멀티덱스 16권한 스나이퍼 변종 중국 기원 6중 증거.

라온코퍼레이션 — contact_theft · kotlin_easyhttp · critical. ML 심층 분석 완료 wavegrid_kotlin 패밀리 단일 API [경로 비공개] 3종 데이터(연락처+SMS+기기정보) 위장 전송 OkHttp 5.0-alpha.14 이중 실행 패턴 Kotlin+Java 혼용 2-Activity 미니멀 구조 3,0

필라테스 — contact_theft · kotlin_mqtt · extreme. Dual C2 (IP [IP 비공개] + Cloudflare Workers CDN) 3채널 통신 (REST+MQTT+CDN) MQTT 원격 제어 (CommandModel) Activity-Alias 아이콘 은닉 4계층 퍼시스턴스 (Boot+Alarm+

Love Msg — contact_theft · frezrik_jiagu · high. 성인용 원격제어 앱으로 위장한 연락처/사진 탈취 악성앱 Bunny T와 동일 소스 변종 (파일 크기 100% 일치 16,025,887B) 피해자당 ~350MB 탈취 추정.

RED BOY — contact_theft · kotlin_drake · extreme. ML 심층분석 완료 독립 코드베이스(wavegrid_kotlin 재분류) Drake Net + Gson + DataStore + XXPermissions C2: HTTP 평문 [IP 비공개] GPS 실시간 추적 서버 브랜딩 "Mfile" (8.9MB)

Candy — contact_theft · odds_shed · critical. News API 위장 연락처/기기정보 탈취앱 OkHttp 이중전송 + 배경비디오 사회공학 SMS 잠복기능 내장.

Bunny T — contact_theft · frezrik_jiagu · high. 성인용 원격제어 앱으로 위장한 연락처/사진 탈취 악성앱 동적 분석에서 초대코드 필드 발견 (auto_analysis 오류 정정) 피해자당 ~315MB 데이터 탈취 추정.

Yadil — contact_theft · wavegrid_lite_variant_b_vibrator · critical. wavegrid_lite Variant B (성인 바이브레이터 리모컨 위장) 12.7MB (LoveMsg/BunnyT 16MB 대비 KefuActivity 제거) Frezrik Jiagu v1 3-DEX 15권한.

QeeTalk — contact_theft · golgol_cluster · high. BeeTALK 원본 클론 (12MB Template B, 12,159,711B 정확 일치) strings.xml app_name='BeeTALK' 빌드 시스템 누출 발견 이중 패키지명(외부: tzhj.fahwrt./내부: com.jiazai.mx.du

ReeTalk — contact_theft · golgol_cluster · high. 12MB Template B 클론 그룹 3번째 QeeTalk과 내부 패키지 동일(com.jiazai.mx.durian) NDK_JIAGU 11단계 + quick_on_stack_back 3중 동일 확정.

힐링 — contact_theft · virbox_sens_group_a · critical. Virbox SENS 코드가상화 보호 스테가노그래피 DEX(koju215.gif, entropy 7.96) 5중 안티분석(에뮬/루트/훅/디버그/프록시) 에뮬레이터에서 0.128초 만에 자살 6개 네이티브 메서드로 Activity 라이프사이클 전체 감시

Pink dol — contact_theft · wavegrid_lite · high. 악성앱 분석 보고서. 프레임워크: Native Android (Wavegrid). 보호기제: Frezrik Jiagu v1 (WaveGrid-Lite/durian). 카테고리: contact_theft.

UeeTalk — contact_theft · golgol_cluster · high. ML 심층 분석 완료 12MB Template B 클론 4차 확인 내부 패키지 com.jiazai.mx.durian 재사용 BeeTALK 빌드 아티팩트 잔류 3중 통신 스택(OkHttp+Glide+OkDownload) Cleartext HTTP MyS

필라테스 — contact_theft · virbox_sens_group_a · critical. virbox_sens Group A 변종 (app_4086 2차).

필라테스 (pilates1) — contact_theft · virbox_sens_group_a · critical. 필라테스 앱으로 위장한 연락처 탈취 악성앱. 정상 필라테스 사이트를 미끼로 권한을 얻은 뒤 연락처와 단말정보를 외부 서버로 전송하고, 상시 원격명령으로 재수집하는 봇넷형 구조.

골든라이브 — contact_theft · fake_bank_kotlin_independent · high. 독립형 Kotlin 연락처 탈취 앱 (골든라이브) family: virbox_sens → fake_bank_kotlin_independent 재분류 C2: [도메인 비공개] + [도메인 비공개] (2 가짜 해외 은행/송금 사칭) Theme.Nongfu

悦心 — contact_theft · c2_47_82_161_3 · critical. 자동 분석 19p Native Android (wavegrid_kotlin) 데이터수집: image_compression 6,535 클래스 분석 (24.4MB).

WeeTalk — contact_theft · golgol_cluster · high. ML 심층 분석 완료 12MB Template B 클론 그룹 최종 5차 확인 2-stage 빌드 프로세스 확정 3중 통신 스택 Cleartext HTTP MyServices exported=true.

폴댄스 영상 — contact_theft · virbox_sk192 · high. virbox_sk192 3중 방어: Virbox SENS + SignatureKiller192 + XOR 0x69 app_7687과 SK192 킷 twin (l44a1977f vs l1e7257b9 payload) origin192.apk + libS

잠금앨범 — contact_theft · xsptdx_wesp · extreme. xsptdx_wesp family 원조 (잠금앨범) 2024-08-29 선배포 → __는 9일 후 재배포 AES/ECB key dbcdcfghijklmaop, com.xsptdx.wesp 로더, [도메인 비공개] pull C2 __와 동일 25권한 +

비밀 사진 숨기기 — contact_theft · xsptdx_wesp · extreme. xsptdx_wesp family (비밀 사진 숨기기) com.xsptdx.wesp 로더 + AES/ECB 하드코딩 key dbcdcfghijklmaop → kill-classes.dex 런타임 복호화 app_3416 twin (2024-08-29 →

Zcloud — contact_theft · zcloud_ruoyi_decommissioned · extreme. WaveGrid Gen3 Build v4 SMS 양방향(읽기+발송) 최초 활성화 READ_SMS+SEND_SMS Manifest 선언 11개 권한(Gen3 최대) C2: [도메인 비공개] SmsManager.sendTextMessage 스미싱 전파 (

SLOVES — contact_theft · zcloud_solutions · extreme. Gen3 Build v4-A'(패키지 별칭 변종) loves와 코드 100% 동일, 외부 패키지만 다름 C2: zcloud.solutions HTTP 평문 SMS/연락처/이미지 탈취.

WhaleS — contact_theft · wavegrid · extreme. Gen3 Build v4-B SMS 릴레이 변종 com.example.mydemo 내부 패키지 IP 직접 C2([IP 비공개]) 5채널 양방향(SMS relay 활성).

WhaleS (whales_2) — contact_theft · vultr_104_cluster · extreme. Gen3 Build v4-B 최초 IP 변종 C2=[IP 비공개] (whales의 .124와 동일 /24 서브넷 — IP 로테이션 WH-047B) SMS 릴레이 이중 구현 2024-08-11 배포.

Zcloud — contact_theft · zcloud_ruoyi · extreme. WaveGrid Gen3 Pre-R8 초기 빌드(versionCode=7) webapp/* API 네임스페이스 4채널 단방향 전송(SMS+연락처+사진+전화번호) 5초 폴링, HTTP 평문, Gson+FastJSON 이중 직렬화 에뮬레이터 탐지 없음.

LOVES — contact_theft · zcloud_solutions · extreme. 자동 분석 25p Native Android (wavegrid_gen3) C2: zcloud.solutions 데이터수집: carrier_info, device_id, image_compression 7,469 클래스 분석 (9.1MB).

Wolf — contact_theft · love19_cluster · extreme. 자동 분석 25p Native Android (wavegrid_gen3) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, image_compression 7,469 클래스 분석 (9.1MB).

SLS — contact_theft · c2_zcloud1_website · extreme. 자동 분석 25p Native Android (wavegrid_gen3) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, image_compression 7,469 클래스 분석 (9.1MB).

Sfile — contact_theft · c2_love19_store · extreme. WaveGrid Gen3 Pre-R8 v4-A' SMS/연락처/사진 탈취앱 C2 [도메인 비공개] versionCode 21145 (패밀리 최고), operatorName 수집 + Luban 이미지 압축 추가.

YOLO — contact_theft · wavegrid_gen3_pre_r8 · critical. WaveGrid Gen3 Pre-R8 계열 4채널 단방향 전송 (SMS+연락처+사진+전화번호) 5초 SMS 폴링 HTTP 평문 Gson+FastJSON 이중 직렬화 MessengerUtils 존재 compileSdkVersion=32 UploadSer

YOLO — contact_theft · wavegrid · high. WaveGrid Gen3 Build v2 — since 쌍둥이 C2: [도메인 비공개] (HTTP 평문) 연락처+이미지+전화상태 탈취.

Since — contact_theft · xxayj_xyz · high. WaveGrid Gen3 변종 내부 패키지 com.xyx.sms C2: [URL 비공개] (HTTP 평문!) 4 API — webapp/login(GET)+saveSms+saveAddressBook+image/ SMS 수집 기능 추가(Gen1 대비)

Pilates — contact_theft · wavegrid_gen4_r8 · extreme. WaveGrid Gen4 R8 세대 최초 확인 사례 R8 ProGuard 난독화 적용, com.xyx.sms 내부 패키지 9개 DNA 마커로 Gen3과 동일 그룹 확증 READ_SMS Manifest 누락 버그 발견.

Tender — contact_theft · wavegrid_gen4_r8 · extreme. WaveGrid Gen4 R8 패밀리 2번째 확인 EdTederClodeEtderTender 클래스명 브랜딩, Huawei SDK 제거 경량화 변종 [도메인 비공개] C2, 연락처/SMS/이미지 탈취.

Mfile — contact_theft · wavegrid_gen4_r8 · extreme. WaveGrid Gen4 R8 3번째 확인 MlFifileWfileYdjfSfayeMfile 브랜딩, com.android 시스템 위장 패키지, 3.35MB 최경량 변종.

Yai — contact_theft · xxayj_monster · extreme. ML 심층 분석 완료 wavegrid_gen3 패밀리 C2: [도메인 비공개] (HTTP 평문) 연락처+SMS+사진 3종 탈취 OkHttp3+Gson+FastJSON 이중 JSON 스택 UploadService exported=true 취약점 .sou

Zcloud — contact_theft · zcloud_ruoyi · extreme. Wavegrid Gen3 Java 회귀 변종 HTTP 평문 C2([도메인 비공개]) + SEND_SMS 능동 공격 + 7종 데이터 탈취 UploadService exported=true 취약점 Huawei ScanKit QR 내부 패키지 com.exa

JOZF — contact_theft · wavegrid_kotlin_mature · extreme. WaveGrid Kotlin 성숙 변종 v1.2.5 (125번째 빌드, JOZ 파일존 위장) C2 [도메인 비공개] EasyHttp+OkHttp3 이중 채널 + Fastjson/Gson 이중 직렬화 + Luban 이미지 압축 + PermissionX

FILEM — contact_theft · c2_kubdad_store · extreme. Mfile 위장 정보탈취앱 WaveGrid Kotlin Luban 서브그룹 최고 성숙도(v7.0.3, code 903) 이중 채널(EasyHttp+OkHttp3 MultipartBody) + Luban 압축 + PermissionX + /webapp/

M-리더 (最新安卓) — contact_theft · wavegrid_lite_rsf001_origin · critical. Jiagu 내부 R runtime 복호화.

QL — contact_theft · wavegrid · extreme. WaveGrid Gen1 FILEQ 브랜딩 C2: [도메인 비공개] (RuoYi) 연락처+이미지+전화번호+통신사 4종 수집 Base64 이미지 전송 ISUPLOAD 단회 전송.

LOVENSES — contact_theft · c2_uitybvdv652_today · extreme. Wavegrid Gen 2 변종 C2: [도메인 비공개] (RuoYi) Gen 1.2→Gen 2 아키텍처 진화 (MVVM+Kotlin) (11.1MB).

QN — contact_theft · c2_dasj234jnaftad5_buzz · extreme. WaveGrid Gen1 ql_2 쌍둥이(TLD .buzz) FILEQ 브랜딩 C2: [도메인 비공개] (RuoYi) 3 API(login+saveAddressBook+image/).

Leader X — contact_theft · wavegrid_lite_rsf001_2nd · high. 19.5일 주기 생산 라인.

StorageS — contact_theft · kotlin_easyhttp · extreme. 자동 분석 25p Native Android (wavegrid_kotlin) C2: [도메인 비공개] 데이터수집: carrier_info, device_id, image_compression 6,603 클래스 분석 (4.9MB).

QL — contact_theft · wavegrid · extreme. wavegrid RuoYi 변종 C2: [도메인 비공개] 6,632 클래스.

Pink XO — contact_theft · c2_런타임 복호화 (Jiagu 내부, R · critical. wavegrid_lite Full A형 리스킨 4번째 (최신, 2026-01-21) quick_on_stack_back 불변 (0x7700318901c0) 수집파일 '260121_Red Cat.apk' 생산주기 ~26일.

비밀앨범&관리자 — contact_theft · baidu_protect · critical. 비밀앨범&관리자 — allOkken UniApp 패밀리 Baidu Sagittarius v6 보호 + 39285EFA DEX 암호화 XOR+Base64 문자열 암호화(복호화 완료: com.mobile.appids.isolated) app-confusi

앨범저장소 — contact_theft · allOkken_uniapp · extreme. BaiduProtect Sagittarius v6(중국 상용) + yqm(邀请码 pinyin) + allOkkenTeighteen 패키지 = 3중 중국 귀속 근거.

Mfile — contact_theft · kotlin_easyhttp · extreme. WaveGrid Kotlin 초기 빌드 3채널 분리 전송(인증/메타데이터/Luban 이미지) Cleartext HTTP + EasyHttp + Luban(鲁班) 이미지 압축 FileM과 동일 내부 패키지(com.dynamics.textmessage)

pila poses3 — contact_theft · uniapp_hybrid · extreme. tianyu_uniapp 패밀리 360 Jiagu + DCloud UniApp 이중 보호 WRITE_CONTACTS 증거 인멸 + INSTALL_PACKAGES 드로퍼 역할 에뮬레이터 ANR (Jiagu+SELinux+Weex 3중 지연) UniApp

요가갤러리 — contact_theft · uniapp_hybrid · extreme. tianyu_uniapp 패밀리 — pila_poses3와 동일 UniApp ID(__UNI__77338A0) 공유, 대량 배포 증거 360 Jiagu 5중 보호 + 에뮬레이터 탐지(qemu_hw_prop 3회) Fresco 이미지 파이프라인 + LA

Manym — contact_theft · kotlin_easyhttp · extreme. ML 수준 심층 분석 완료 Mfile 브랜드 공유(filem_2와 동일 브랜드, 다른 로고) /webapp/ 빌드 라인 이중 직렬화(Fastjson+Gson) C2: [도메인 비공개] 2 빌드 라인 분기점 식별.

HONEY — contact_theft · kotlin_easyhttp · extreme. WaveGrid Kotlin Luban subgroup Brand: Honey/Ggultok (bee icon) /webapp/ build line + endpoint renaming (saveAddressBook) Triple contact coll

HideFP — contact_theft · virbox_sens_group_a · high. virbox_sens Group A HideFP (Fingerprint Hider) 프라이버시 의식 사용자 역이용.

W필라테스 — contact_theft · virbox_vm · high. virbox_sens 패밀리 최진화 변종 패밀리 12개 멤버 중 유일한 서비스+부팅+포그라운드 지속성 보유 SMS OTP 탈취 + 재부팅 생존으로 장기 누적 피해 (월 ~2GB) Virbox ID 5e606e99, SO 1.84MB (엔트로피 7.63

팬더티비BJ — contact_theft · frezrik_jiagu · extreme. Frezrik Jiagu 11단계 로딩 체인, 26개 권한(SMS 5중+위치 3중), 패커 정교함 83.8%, 에뮬레이터 Silent Crash.

팬더티비BJ — contact_theft · frezrik_jiagu · extreme. frezrik_uniapp 패밀리 EXTREME 위협 SMS 5중 완전 제어 + 백그라운드 GPS + 드로퍼 Frezrik Jiagu x86_64 SIGSEGV 크래시 (quick_on_stack_replace ARM 전용) 26개 권한(20 위험,

홈요가 — contact_theft · tianyu_uniapp · extreme. tianyu_uniapp 빌드 원점 (3차 대량 배포) __UNI__77338A0 DCloud AppID + 채널 122414180809 qemu_hw_prop 4회 탐지 (tianyu 지문) Hidden API R$styleable 반사 접근 ⚔️

17LIVES — contact_theft · virbox_sens_group_b · critical. virbox_sens Group B 대표 (17LIVES) Virbox ID 134696fd + Firebase 감염 추적(spring-d08f1) 에뮬레이터 탐지 67ms (Group A 166ms의 2.5배 빠름) Steganographic GIF

비밀공간C — contact_theft · virbox_sk192 · high. virbox_sens Group A 지속성 특화 변종 BOOT+FOREGROUND_SERVICE로 재부팅 후 자동 데이터 수집 Exported Service(com.mpoasdm.gaerah.Main)로 교차 앱 트리거 가능 SMS/연락처/파일 탈취

비밀톡 — contact_theft · frezrik_jiagu_maas · extreme. frezrik_uniapp MaaS 변종 bj_2와 동일 Jiagu 바이너리 (동일 fault_addr 0x770031890ed0) SMS 5중 완전 제어 + 드로퍼 + 백그라운드 GPS 26개 권한 비밀톡.[도메인 비공개] 배포 (26.25MB).

MyVideo — contact_theft · virbox_sens · high. virbox_sens_group_a MyVideo (Virbox ID 4457a2dc) v4457a2dc.l4457a2dc Application + com.helpacar 컴포넌트 접두사 READ_EXTERNAL_STORAGE 제거 = SMS+연락처

비밀톡 — contact_theft · frezrik_jiagu_maas · extreme. frezrik_uniapp MaaS 변종 (난독화 패키지명) bj_2/app_2146_4와 동일 Jiagu 바이너리 SMS 5중 완전 제어 + 드로퍼 + 백그라운드 GPS [도메인 비공개] 무료 도메인 배포 (26.27MB).

비밀톡 — contact_theft · frezrik_jiagu_maas · extreme. ML 심층분석 JDOG XOR DEX 복호화(AB1234CD), MIIT MDID SDK(OAID 수집), C2: [도메인 비공개]([도메인 비공개] 타이포스쿼팅) 548 위험API, 37 URL, 68 도메인 12,898 클래스 (25.9MB).

Telegram Album — contact_theft · virbox_sens · high. virbox_sens Group A 텔레그램 앨범 사칭.

섹시라이브 — contact_theft · virbox_sens_group_a_light · high. virbox_sens Group A 초기/경량 변종(A-Light) Virbox ID 7bc18a0b, SENS 32B(표준 672B의 5%) 에뮬레이터 탐지 232ms(표준 166ms보다 40% 느림, 5회 audit) 연락처+SMS 특화, 성인 콘

Gallery Pro — contact_theft · virbox_protected · critical. virbox_sens Group C (Modern Rich-Client) 최초 확인 1-shot 비지속형 전송 모델 OkHttp3+TLSv1.3 READ_PHONE_NUMBERS(SMS 미수집) 8 DEX/1488 클래스 Java 10개 암호화 메서드

YOGA LOG — contact_theft · frezrik_uniapp_build_line_b · high. frezrik_uniapp Build Line B — __UNI__77338A0 AppID 공유 triple (app_7179 + app_9289 + yoga_log) Berberis 변환으로 x86_64 에뮬레이터 실행 성공 숫자 혼합 극단 패키지

아리아요가 — contact_theft · virbox_sens_group_a · extreme. virbox_sens Group A 변종.

러브러브 — contact_theft · virbox_protected · high. virbox_sk192 패밀리 악성앱 (러브러브) Virbox Protector(SENS) + MT SignatureKiller192 + XOR 0x69 3중 보호 Native Android 기반 경량(4.22MB) SMS OTP + 연락처 탈취 +

Red Cat — contact_theft · golgol_cluster · critical. durian 패밀리 redcat — golgol C2([IP 비공개]) Jiagu + XOR 0x66 이중 보호 7종 데이터 탈취(최상위) 2026-01-25 배포 (설 연휴 정조준).

Bingo — contact_theft · golgol_cluster · critical. Durian 패밀리 악성앱 RedCat과 동일 C2 서버([IP 비공개]) 공유 Jiagu 패커 미사용으로 DEX 직접 분석 가능 연락처/SMS/이미지/기기정보/설치앱/전화번호 6종 데이터 탈취 AES-CBC 암호화 SSL 전면 비활성화 quantum

TeleGall — sms_relay · golgol_cluster · extreme. golgol_cluster 텔레그램 사칭 변종 (Tele+gall) 2025-05-30 배포 20개 권한 (golgol_cluster 최대) + 360 Jiagu 패킹 3-seg × 8자 균일 패키지(bcieaced.abidgife.efahebff)

RedTalk — sms_relay · golgol_cluster · extreme. frezrik_jiagu 360 Jiagu packed 7 perms Dynamic needed.

텔레그램 Gallery — sms_relay · virbox_sens_group_a · extreme. virbox_sens 텔레그램 사진첩 사칭 ([도메인 비공개]) sweettalk과 Identical-Codebase Multi-Brand (Kotlin R8 + Single-Endpoint Multi-Type 공유) chests.strap.graph

Whale — sms_relay · wavegrid_gen3 · extreme. wavegrid_gen3 악성앱 SMS/연락처/사진 탈취 + 5초 주기 SMS 변경 감지 폴링 서비스 C2: [IP 비공개] (RuoYi).

KingCloud — sms_relay · vultr_104_cluster · extreme. vultr_104_cluster — Whale v1.1.22 clone (KingCloud 브랜드) wavegrid_gen3 Jiagu + [경로 비공개] API 부동산(lhomes)·로맨스(lovem_2)·성인(erot) 세그먼트 분산.

LoveHome — sms_relay · vultr_104_cluster · extreme. vultr_104_cluster lhomes = kingcloud_2 (ID/파일명 미스매치) com.androie prefix 4+ 앱 매핑 kingcloud/hs/mfile_3와 운영자 도구 공유.

CloudK (KingCloud 복제본) — sms_relay · vultr_104_cluster · extreme. vultr_104 Whale v1.1.31 복제 (3차 배포) 2024-09-04 Unix ms 배포 com.androie.comcinkingkayiclou 18자 후미 kingcloud/lhomes(v1.1.22) + cloudk(v1.1.31) +

LoveHome (hs 변형) — sms_relay · vultr_104_cluster · extreme. vultr_104_cluster Whale v1.3.20 변종 (hs) kingcloud(v1.1.22) vs hs(v1.3.20) Home/Homes 서브그룹 (lhomes/lovehomes/homess/hs) [IP 비공개] IP 공유.

CloudK-2 — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A clone (최초 변종) 2024-09-03 배포 Whale 원본(com.Whalemsg.JINUH) 한국어 이니셜 노출 cloudk보다 하루 먼저 배포.

LoveM-2 — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A clone.

Whale-2 — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A Whale 시리즈 com.Whalemsg.JINUH 원조 한국어 이니셜 추적 근거 vultr_104 정체성 종합 정리.

LoveHomes — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A lovehomes (2024-08-26 배포) love+homes Hybrid-Theme vultr_104 8-9월 4주 4앱 집중 배포 확증.

HomeSS — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A Home/Homes 서브그룹 lealovehomesss sss 접미 (lovehomes 접두 대비 위치 변종) lhomes/hs/lovehomes과 Home 서브그룹.

MFile-3 — contact_theft · pino_xyz · extreme. pino_xyz Gen 1 clone (mfile_3/Mfile_2) since_2(Gen 2)의 이전 세대 ID 관리(mfile_3) vs 파일명(Mfile_2) 불일치.

에로S — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen B clone 성인 세그먼트 (Erotic.apk).

LOVE — contact_theft · expo_hybrid · extreme. expo_hybrid — 드문 Expo React Native 기반 악성앱 filesystem.local C2 False Positive 독립 Expo 운영자 사례.

Privary share — sms_relay · alpha_wallet · extreme. wevault_share/pinphoto와 3-way 세그먼트 (공유/금고/사진).

Yolo-3 — contact_theft · c2_zcloud1_website · extreme. zcloud 운영자 3 브랜드 중 YOLO (젊은 세대 세그먼트) [도메인 비공개] (.website TLD + 번호 추가).

비밀영상 — contact_theft · umontrealbanks_cluster · extreme. hidemypic(사진 위장) + getlogintoken(금융 API) Virbox SENS only (SK192 미적용) secret_video_2와 쌍 인스턴스.

Since-2 — contact_theft · pino_xyz_tech · extreme. pino_xyz_tech Gen E clone (since_2/zine) pinonaoshsfpaohjgadsf 공통 prefix + tech 접미어 + .xyz 4+ 앱 동일 운영자 (cherrytalk/flirting_95/y_app/since_2

Erotic — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen B clone 에로S erot과 Gen B twin.

Healing — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen B Bunny/Healing 앱 OMPV_LCMR 내부 변종 코드 + 긍정 어휘 Hybrid-Theme Gen B 3+ 앱 확증.

Secret Album — sms_relay · easyback_obfuscated · extreme. easyback_obfuscated 재분류 (unclassified→) "비밀사진첩" 위장 + Heavy obfuscation 결합.

hpb dildo — sms_relay · fintek_anlei · extreme. Fintek/Anlei 패밀리 Dual C2: [IP 비공개] (Retrofit) + [IP 비공개] (탈취) 暗雷 API appId: xusdt (USDT 암호화폐) 연락처+SMS(100건)+이미지(21장,Base64)+GPS 탈취 AES 키 123

AL — contact_theft · jiagu · extreme. laravel_vultr "나만의 비밀영상" (정확 한국어, 한국인 협력자 시사) [IP 비공개] IP 공유 포트 8524 (exercise_memo 8507 vs al 8524 Same-IP).

SxJoa-2 — contact_theft · jiagu · extreme. golgol_cluster Sxjoa 서브그룹 2차 (2025 배포) 24자 긴 패키지 + 20권한 + Jiagu golgol 공통 C2 [IP 비공개].

Unique Toy — contact_theft · frezrik_jiagu · critical. sxjoa Cluster B 새 변종 기존 sxjoa(25권한) 대비 권한 9개로 축소(스텔스 최적화) 배포 SPA([도메인 비공개]) → CDN([도메인 비공개]) → APK 패키지명 4-segment 랜덤 Frezrik Jiagu 동일 패커 Bra

Secret Talk — sms_relay · jiagu · extreme. Virbox SENS + 20권한 full-surveillance 3개 secret_talk 형제 중 1차.

화보잡지 — contact_theft · uploads_api · extreme. 화보집 — 엔터테인먼트 사진집 위장 (한국 아이돌 팬덤 타겟) [경로 비공개] API 세분화 IP-only C2.

텔레그램 Viewer — sms_relay · log_info_cluster · extreme. log_info_cluster — 텔레그램 Viewer 사칭 1차 2023-09-19 배포 Virbox SENS + 2-인스턴스 동시배포 False positive C2 가능성 (실제 C2 런타임 복호화 추정).

My Secret Video — sms_relay · videoplays_shop_cluster · extreme. videoplays_shop_cluster 재분류 (unclassified→) my_secret_video_2와 쌍 인스턴스.

Flirting — contact_theft · love19_cluster · extreme. love19_cluster 로맨스 세그먼트 (wavegrid_gen3 Gen C clone) 4개 형제 중 연애 접근 세그먼트 sfile/wolf_2/wolf_3과 C2 공유.

CloudM — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen A cloudm KingCloud/CloudK와 cloud/king 브랜드.

LoveSS — sms_relay · zcloud_solutions · extreme. zcloud 운영자 1차 원조 앱 (2024-09-28 배포, versionCode 7 최저) zcloud.solutions → [도메인 비공개] C2 이전 → lovess_2/yolo_3/honey_2 브랜드 확장 시작점 com.leadhomecod

스위톡 — sms_relay · virbox_sens_group_a · extreme. 한국인 타겟 비디오 사회공학 악성앱 단일 C2(게임톡스.com)에 Device/연락처/SMS 3중 데이터 전송 SMS 무제한 수집 + 연락처명 크로스매핑으로 발신자 신원까지 탈취.

텔레그램 Viewer 변형 — sms_relay · log_info_cluster · extreme. log_info_cluster 실제 1차 인스턴스 (2023-09-08 배포, 영문 "Telegram Viewer").

WeVault Share — sms_relay · alpha_wallet · extreme. alpha_wallet family 1차 앱 (2024-03-28 배포) privary_share/pinphoto 부모 앱.

Secret Talk 2 — sms_relay · jiagu · extreme. githud_cluster 실제 1차 인스턴스 (2024-09-13 19:44:32 UTC) secret_talk는 23h40m 후 2차 com.odmopod.yhbaseshj 2-seg + Virbox SENS.

My Secret Video 2 — sms_relay · unclassified · extreme. videoplays_shop_cluster 2차 (my_secret_video와 동일 C2) 10 DEX multidex.

Telegram Album 2 — sms_relay · nullsun_telegram · extreme. nullsun_telegram family 텔레그램 앨범 사칭 2차 인스턴스 [도메인 비공개] Placeholder C2 pilates_video/gallery와 nullsun family 형제.

Candy 2 — sms_relay · nullsun_telegram · extreme. nullsun_telegram 친밀감 세그먼트 (candy) 3중 위장: candy(친밀) + com.profit.network(금융) + Virbox SENS(탈취) [도메인 비공개] Placeholder C2.

BP-Dildo-2 — sms_relay · jiagu · extreme. golgol_cluster Dildo 세그먼트 2차 변종 20권한 + wavegrid_gen3 Jiagu + [IP 비공개] 공유.

PinPhoto — sms_relay · alpha_wallet · extreme. alpha_wallet family 3번째 앱 (사진 세그먼트, PinPhoto) 2025-07-15 배포 com.sheets.analog 무의미 영단어 + alpha-wallet.info 공유 privary_share/wevault_share와 함께

HPB-Dildo-3 — sms_relay · golgol_cluster · extreme. golgol_cluster Dildo 세그먼트 5차 변종 + wavegrid_gen3 Jiagu 패킹 "hpb dildo_2.apk" 파일명 공백(Uri encoding 회피) 20권한 + 성인 미끼 조합 — 심리 약자 정조준 5개 Dildo 변종 계

SFile-2 — sms_relay · love19_cluster · extreme. love19_cluster 재분류 (unclassified→) [도메인 비공개] — love19 3-TLD 확장(world/online/store) sksksk 반복 자음.

LoveSS-2 — contact_theft · zcloud_solutions · extreme. zcloud_solutions 서브 패밀리 2차 배포 (wavegrid_kotlin) C2 마이그레이션: zcloud.solutions → [도메인 비공개] (도메인 차단 대응) honey_2와 동일 C2 공유 → 동일 운영자의 3 브랜드 (loves

갤러리 — sms_relay · nullsun_telegram · critical. 정적 분석 완료 갤러리 (virbox_sens) (2.83 MB).

Man Club — sms_relay · api_uploads_cluster · extreme. api_uploads_cluster 남성 커뮤니티 세그먼트 (ManClub) com.txl.app prefix + Virbox SENS VM 암호화 C2 + 18권한 video(8324)/live_yoga(2001)과 [IP 비공개] Same-IP D

LoveLush — contact_theft · xxayj_monster · extreme. xxayj_monster family (Lovelush) pillateseu/flirting_138과 형제.

Gallery-2 — sms_relay · unclassified · extreme. unknown_packed stocking.apk com.wemacroarp 1-segment.

Wolf-2 — sms_relay · love19_cluster · extreme. love19_cluster wolf_2 (사냥꾼 세그먼트) flirting(.world)/sfile/wolf_3와 Same Codebase 4 브랜드.

Wolf-3 — sms_relay · love19_cluster · extreme. love19_cluster wolf 3차 (2024-11-20 배포) versionCode 15515 (love19 최고) flirting/wolf_2/sfile와 Same Codebase 4+ 브랜드.

Honey-2 — contact_theft · c2_5g43dgdfh_online · extreme. zcloud 운영자 3 브랜드 중 친밀감 세그먼트 (honey) lovess_2와 동일 C2 [도메인 비공개] 공유 1회성 전송 + WaveGrid Kotlin 대표 xoomlabs.pixelbee.motion 정교한 dictionary 패키지.

NyangTalk — contact_theft · unclassified · extreme. pino family Gen D 고양이톡 2025-03-12 배포 pino family 4+ 앱 + 3 TLD(.xyz/.xyz+tech/.buzz) 확증.

비밀영상 변형 — contact_theft · umontrealbanks_cluster · extreme. umontrealbanks_cluster 2차 (비밀영상.apk 한국어 현지화) secret_video 1차와 동일 가짜은행 C2.

잠금앨범 — sms_relay · reddit_dead_drop · extreme. 잠금앨범 UI 위장 — unknown → candidate_singlec2_cluster 재분류.

비밀톡 — sms_relay · m3w_uniapp · extreme. uniapp UniApp + DCloud Baidu location API key exposed.

아로마요가 — sms_relay · frezrik_jiagu · extreme. frezrik_jiagu 360 Jiagu with C2 [도메인 비공개] 14 perms.

My KeepSafe — sms_relay · unclassified · extreme. deviations.coins.patrols 3 영단어 5권한 최소주의.

ReeTalk-3 — contact_theft · jiagu · extreme. 악성앱 분석 보고서. 프레임워크: Native Android. 보호기제: Jiagu (libjiagu.so + libjiagu_64.so + libjiagu_x86.so + libjiagu_x86_64.so) — previously Unknown. 카

secrat — sms_relay · m3w_uniapp · extreme. m3w_uniapp secrat identical clone + H5C5FCC98 AppID (secret_talk_4 공유) ejcfbjbe.jcbfebbf 2-seg.

Secrat-3 — sms_relay · golgol_cluster · extreme. golgol_cluster secrat 시리즈 3차 (5_26__secrat__4002.apk) secrat_2(m3w) vs secrat_3(golgol) family 이동 가능성.

Telegram Gallery 2 — sms_relay · virbox_sens_group_a · extreme. virbox_sens 텔레그램 사진첩 2차 8 DEX multidex gasolines.platform.desertion 희귀 영단어 sweettalk/telegram_gallery/_2 = 3 Identical-Codebase 브랜드 확장.

Club — sms_relay · bangcle · extreme. 운영자 중국 귀속 + Windows 환경.

비밀영상 — sms_relay · easyback_obfuscated · extreme. easyback2 easyback2 C2 group Leet-speak domain.

우드클라우드 — contact_theft · m3w_uniapp_gen2 · extreme. m3w_uniapp_gen2 (우클라우드) — H5 UUID H579410F3 secrat_2(Gen1) → woodcloud(Gen2) 세대 진화.

Secret Talk 3 — sms_relay · jiagu · extreme. githud_cluster 3차 비밀채팅.apk 한국어 파일명 (timestamp → 한국어 전환) Virbox SENS + 20권한.

비밀 사진첩 — sms_relay · easyback_obfuscated · extreme. easyback_obfuscated easyback2 2차 (비밀 사진첩) yoga_video와 완전 동일 30자 Leet-speak 도메인 공유 → 동일 운영자 wavegrid_kotlin Gen Minimal.

내동영상 — sms_relay · easyback_obfuscated · extreme. easyback2 3번째 앱 (내동영상, 2025-07-16 Summer Campaign) yoga_video + secret_album_2와 동일 30자 leet-speak 도메인 공유 → 3 앱 family 확증.

MiYuan — sms_relay · jiagu · extreme. virbox_sens miyuan io.erctu.tzmj — io 20권한 Virbox SENS.

VideoCall Block — sms_relay · arm_protect · extreme. virbox_sens 영상통화 차단 앱.

Pilates Video — sms_relay · nullsun_telegram · extreme. nullsun_telegram 패밀리 건강 세그먼트 변종 (필라테스영상) Virbox SENS 보호 [도메인 비공개] placeholder C2 — 런타임 복호화 redirect 추정 20-40대 여성 정조준 8개 nullsun 형제 성별/관심사별 세

Loopy — sms_relay · unclassified · extreme. wavegrid_kotlin.

Missha — sms_relay · unclassified · extreme. 2025-05-17 배포 5권한 최소주의 + Virbox SENS 여성 고객 타겟.

Live — sms_relay · unclassified · extreme. AWS S3 Direct Exfiltration(NW-063 신규) — phone-books 버킷 직접 업로드, 전통 C2 없음.

영상 — sms_relay · api_uploads_cluster · extreme. api_uploads_cluster 범용 세그먼트 video IP:Port [IP 비공개] 비표준 포트.

맞닥뜨리다 — contact_theft · nullsun_telegram · critical. 성인 콘텐츠 위장 피싱앱 내부 패키지 [도메인 비공개], OkGo+RxJava HTTP, Luban 이미지 압축 7종 데이터 탈취(연락처/SMS/통화기록/사진/앱목록/전화번호/GPS) C2: [IP 비공개].

요가영상 — sms_relay · easyback_obfuscated · extreme. easyback_obfuscated easyback2 clone (나만에.영상) fintek2 variant = 금융 탈취 이중 의도.

Pilates-2 — sms_relay · vultr_104_cluster · extreme. vultr_104 Gen B + om.slco.loak — Malformed Package Prefix(SA-145 신규, "om" 아닌 "com").

Gallery-3 — contact_theft · unclassified · extreme. [IP 비공개] = hwabojip([IP 비공개]) IP/포트 대역 공유 org.tools.bydc non-com.

Pilateseu — contact_theft · xxayj_xyz · extreme. xxayj_monster family 필라테스 세그먼트 Gen D clone org.vlepto.quintorscrate — 드문 org xxayj vs pino Common-Prefix 2 family 병렬 운영 증거 lovelush/flirting

Pilateseu 2 — contact_theft · xxayj_xyz · extreme. xxayj family 필라테스 세그먼트 2차 (web 접미 변종) [도메인 비공개] 도메인 pillateseu(원조 .xyz) + pillateseu_2(web 접미) + lovelush(.monster) + flirting_138 + zine =

HB DILDO — sms_relay · uniapp_hybrid · extreme. DCloud 에러 리포팅 활성 — 운영자 귀속 증거 추가 발생 가능.

Secret Talk 4 — sms_relay · m3w_uniapp · extreme. m3w_uniapp 비밀톡 4차 plus.H5C5FCC98 DCloud + UniApp AppID secrat_2와 공유.

Secret Photo A — sms_relay · unknown_packed_dpt_photo · extreme. unknown_packed_dpt 계열 qps.jrasyhfq v1.0.5 DPT(Dynamic Polymorphic Technology) Virbox SENS VM 암호화 C2 (미확인).

Loopy-2 — sms_relay · unclassified · extreme. nullsun_telegram loopy_2 (virbox_sens) vs loopy(wavegrid_kotlin) 다른 family — 운영자 이동/ID 혼란.

Free — sms_relay · baidu_protect · extreme. nullsun_telegram free 세그먼트 (MJ쇼핑몰) "free" + "MJ쇼핑몰" 이중 Trust-Word Brand Abuse vacuums.diagrams.keyword — com 없음 + 3 영단어 Virbox SENS 20권한.

Exercise Memo — contact_theft · laravel_vultr · extreme. laravel_vultr 운동 테마 (last_try.apk) C2 suspended 상태이나 슬립 에이전트 가능성 al/yoga_story와 운동 세그먼트 공유.

Live Yoga — contact_theft · api_uploads_cluster · extreme. api_uploads_cluster 여성 요가 세그먼트 com.txl.app.ProjectApp Android Studio 기본값 노출.

Yoga Story — contact_theft · laravel_vultr · extreme. laravel_vultr 수업영상 교육 세그먼트 [IP 비공개] 포트 8517 com.opkszcnjsm890 숫자 접미 패키지.

FaaTalk — contact_theft · uniapp_hybrid · extreme. UniApp+Jiagu 기반 메신저 위장 악성앱 C2: [비공개] (3중 Failover) VVCODE SYSTEM 2026 피해자 1명(010-XXXX-5475, Galaxy S24) + 연락처 169건 + 앱 570개 + GPS 추적 36개 API

Golden New — contact_theft · unclassified · critical. ApkControlFlowConfusion 8.0 보호 (신규 보호 유형) 연락처/카메라/마이크/이미지 탈취 Arabic Unicode 난독화 C2: Encrypted (2.7MB).

Soller — contact_theft · expo_hybrid · critical. Expo OTA 연락처 탈취 + MarketHub 금융사기(257명, 411건) + dacspawm/C&C/DAC 스폰만남 3개 사이트 운영자: 최우람→최성자(CEO)/김동건(admin)/박소미(계좌), 구미시 6월 재조사: C2 DB 전량 퍼지 확인

Lovense 260310 (v2.0 재분석) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 악성앱 분석 보고서. 프레임워크: Native Android (Kotlin + EasyHttp + MMKV + FastJSON + Gson + PermissionX). 보호기제: Invitation Code + SSL TrustAll. 카테고리: co

OneCloud (victim report) — contact_theft · onecloud_9domain_cluster · extreme. 악성앱 분석 보고서. 프레임워크: RuoYi (추정). 보호기제: Unknown. 카테고리: contact_theft.

Hiyo (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 14개 초대코드 확인 [비공개] 변종 현재 비활성.

Kissjo (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 4개 초대코드 확인 (1ESC, ZD4E, 3726333, htbx) [도메인 비공개] 변종.

Enjoa (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 2개 초대코드 확인 (WVMR, 5AT8) [도메인 비공개] 변종.

Yeoin (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 1개 초대코드 확인 (BMJS).

Erotic-S (victim report) — contact_theft · vultr_104_cluster · high. 악성앱 분석 보고서. 프레임워크: Unknown (피해자 신고). 보호기제: Unknown. 카테고리: contact_theft.

Flirting-19 (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 4개 초대코드 확인 (GIHH, NSMU, HFIL, AU1C) 기존 flirting_138/95와 별도 도메인.

MZTalk (victim report) — contact_theft · virbox_sens · high. MZ세대 브랜드의 Virbox SENS 악성앱 strings.xml 1줄 차이(MZ세대)·네이티브 .so ±2%·아이콘·서명만 변경된 rebrand 변종 x86_64 API35에서 LoginActivity 51ms 내 crash, arm64 물리기기

DuckTalk (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 2개 초대코드 확인 (2ex5, 1dbd) [도메인 비공개] 비활성.

HotDill (victim report) — contact_theft · jiagu · high. ⚔️ 스텔스 정찰 TIER_1 ([도메인 비공개]) 3개 초대코드 확인 (133777, 168168) [도메인 비공개] 활성.

꿀꿀Talk (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 1개 초대코드 확인 (CP5F) [도메인 비공개] 비활성.

Meowes (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. ⚔️ 스텔스 정찰 TIER_1 ([도메인 비공개]) 4개 초대코드 확인 [도메인 비공개] 배포 포탈 활성 (/Lovenes, /fIlei sub-path).

Goddess (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. ⚔️ 스텔스 정찰 TIER_1 ([도메인 비공개]) 4개 초대코드 확인 (20UD, H803, CJI3, VPK9) [도메인 비공개] 활성.

Lovense Dist (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · extreme. 8+ 초대코드 확인 LOVENSE/LOVENSES/LOVENNS 명의로 다수 피해 신고.

딸기 (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 3개 초대코드 확인 (HJ8Y, O8GN, RMBH) [도메인 비공개] 비활성.

INSSTS (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. ⚔️ 스텔스 정찰 TIER_1 ([도메인 비공개]) 4개 초대코드 확인 (1995, SKP2, CFC1, RQ20) [도메인 비공개] 활성.

FileZone (victim report) — contact_theft · 19kuem_korean_adult_lure_cluster · high. 5개 초대코드 확인 (IJ57, KX2R, SN3T, ZFZ6, U0GO) 3개 도메인 비활성.

Pengha Talk (ml_level) — contact_theft · wavegrid · extreme. 악성앱 분석 보고서. 프레임워크: Native Android (Wavegrid). 보호기제: Emulator Detection + Invitation Code + 340 Dummy Activities. 카테고리: contact_theft.

BacklinkGenius (static_basic) — social_engineering · jiagu · high. 악성앱 분석 보고서. 프레임워크: N/A (WordPress 미끼 사이트). 보호기제: Jiagu (libjiagu.so + libjiagu_64.so + libjiagu_x86.so + libjiagu_x86_64.so — APK 실제 확보됨). 카

APK_1757327090734 (emulator bypass build artifact) — build_artifact · build_artifact · low. 악성앱 분석 보고서. 프레임워크: DCloud UniApp + Weex. 보호기제: Frezrik Jiagu + lib39285EFA DEX loader (제거 시도 빌드). 카테고리: build_artifact.

Pinkdol (variant — separate from pink_dol) — contact_theft · frezrik_jiagu · high. 감사 2026-04-19 stub 등록 기존 pink_dol과 별개 APK (다른 패키지명) 4-seg 난독화 + libjiagu 공유 완전 분석은 후속 작업.

BimilChat (admin panel HTML artifacts — no APK) — admin_panel_artifact · shared_dex_loader_maas · medium. 감사 2026-04-19 stub 등록 운영자 관리 패널 수집 정황으로 추정.

MyVideo+ (patched variant of myvideo) — contact_theft · jiagu_custom_3layer · high. 감사 2026-04-19 stub 등록 com.licks.atom 동일 패키지이지만 myvideo(Virbox SENS .so)와 달리 .so 없고 .bin payload 5종(ae6_x86, axj, iw0_x86_64, p3y, thp_arm64)

Yadil New (build variant) — contact_theft · unknown · medium. 감사 2026-04-19 stub 등록 기존 yadil 관련 신규 빌드 변종 추정 완전 분석 미실행.

Expo Love Analysis (Expo framework, 10 APK builds) — contact_theft · expo_hermes · high. 감사 2026-04-19 stub 등록 Expo-based malware 대규모 분석 자료 (315 bin + 10 APK) expo_love 시리즈와 연관.

FileM (Android 9 modification variant) — contact_theft · c2_kubdad_store · high. 감사 2026-04-19 stub 등록 filem/filem_2와 동일 패키지 com.nectarfly.orbitaire Android 9 호환성 수정 빌드.

Hyeri Yoga — contact_theft · yoga_lure_cluster · medium. 감사 2026-04-19 stub 등록 요가 사칭 악성앱 (homeyoga/yoga_log/live_yoga/pila_poses3/pilates_video/yoga_story 등과 category 공유).

Pengha (new variant — not pengha_talk) — contact_theft · pengha_cluster · high. 감사 2026-04-19 stub 등록 펭수 캐릭터 사칭 시리즈 11 .bin + 5 APK 분석 자료 있음.

Storage_S (single APK sample) — contact_theft · unknown · medium. 감사 2026-04-19 stub 등록 단일 APK + 1 .bin 수집.

악성 앱 테스트 샘플 (com.example.mydemo, 356 APK) — test_artifact · test_artifact · low. 악성앱 분석 보고서. 프레임워크: Unknown (356 APK 빌드 변종 수집). 보호기제: Unknown. 카테고리: test_artifact.

LOSH — contact_theft · wavegrid_gen_g · extreme. LOVENSE NORA 제품 사칭 한국 표적 멀웨어 5계층 인프라(랜딩→CDN wrapper→[도메인 비공개] DNS 샤딩→[도메인 비공개] 패키지 호스트→[도메인 비공개] C2) 동적 검증으로 saveAddressBook(연락처) + image/(다

Gold Rose (골드로즈) — commerce_companion · unknown · high. 악성앱 분석 보고서. 프레임워크: WordPress + WooCommerce + WPBakery + Slider Revolution 6.2.23 + gnucommerce(custom) + Redux. 보호기제: None (Apache, 기본 WP 노출

야밤 → comdb.mom (중국 WeChat gate) — c2_redirector · unknown · critical. 한글 브랜드 '야밤'([도메인 비공개]) 가면 + 중국어 실체(comdb.mom virtual host) WeChat UA 감지 → Pan_WX 안내창, 비-WeChat → location.href=[도메인 비공개]) Apple LiGothic/Sim

Leetalk family (안전톡톡) — c2_landing · unknown · critical. 한글 브랜드 '안전톡톡' 랜딩 + 중국 개발 지문(CSS 주석 避免继承首页 등) 다운로드 버튼 전부 [도메인 비공개]) [도메인 비공개](원본) 사멸 후 Leetalk/ReeTalk/qeetalk로 이전 — 3 URL 동일 서버 = 브랜드 multip

FileQ / Qspace (Nuxt SSR) — website_front · unknown · high. 사용자 표기 'FileQ' 하지만 HTML title = '저장공간,비밀문서,비밀사진,사진공유가 필요할때 - Qspace' → 내부 브랜드 'Qspace' = 사용자 리스트 'Q 스페이스'([도메인 비공개] Cluster A .81) 동일 코드베이스

Cluster B web empire (Pink cat / Red Toy / ppaujoa) — web_companion · unknown · critical. sxjoa APK(apps.json id=sxjoa, C2=[IP 비공개] AWS SG, 360 Jiagu frezrik)의 웹 컴패니언 empire OG meta og:url=[URL 비공개] + og:title=디엔픽스 + og:descriptio

jinkyungsroom (Spring Boot QR SDK) — qr_dropper_service · unknown · high. Spring Boot 기반 QR 단축 서비스 [경로 비공개] 인증 없이 DB 전체 JSON 반환 현재 1 entry(shortCode=ac577785, 2026-04-18) 폭로: originalUrl=exp://u.expo.dev/7f707fbc-1

LOVES (Cluster A) — c2_cluster_a_member · unknown · high. 사용자 리스트 'LOVES' 브랜드 DNS 해석 성공([IP 비공개]) 하나 443/80 TCP timeout — Cluster A /24 [IP 비공개]/24 공통 차단 패턴 6 브랜드 co-residence 멤버(LOVES/LOVEE/QL/Q스페이

LOVEE (Cluster A) — c2_cluster_a_member · unknown · high. 사용자 리스트 'LOVEE' 브랜드 [도메인 비공개] = [IP 비공개] Cluster A 멤버 '[도메인 비공개]' 네이밍 패턴(LOVENSES [도메인 비공개], LOVEM [도메인 비공개], FileQ bulltalk19.com과 동일 발매년 s

QL (Cluster A) — c2_cluster_a_member · unknown · high. 사용자 리스트 'QL' 브랜드 [도메인 비공개](무의미 영문 조합) = [IP 비공개] Cluster A TCP block.

Q 스페이스 (Cluster A, Qspace 백엔드 후보) — c2_cluster_a_member · unknown · high. 사용자 리스트 'Q 스페이스' 브랜드 [IP 비공개] FileQ([도메인 비공개] Cloudflare-fronted Nuxt SSR)의 내부 브랜드 'Qspace' 식별자와 동일 = 동일 코드베이스/운영자 FileQ가 CloudFlare front +

LOVENSE empire (Cluster A) — c2_cluster_a_member · unknown · high. 사용자 리스트에서 3회 중복 표기 — lovense/LOVESM/LOVENSE 브랜드 모두 [도메인 비공개] 공유 Violet Toy 2번째 URL도 여기 [IP 비공개] = Cluster A TCP block apps.json에 이미 LOVENSE

apkstore.win (APK 배포 허브) — apk_distribution · unknown · high. 사용자 리스트 '폴댄스영상' APK 배포 URL(down.apkstore.win/폴댄스영상.apk)의 호스트 Cloudflare 403 Attention Required = 크롤러/봇 차단 설정 SSL 인증서 SAN `apkstore.win, *.ap

NXDOMAIN/Dead IOC Archive (2026-04-21 session) — session_archive · unknown · historical. 2026-04-21 사용자 제공 URL 리스트(39 URL) 전수 정찰 중 DNS 해석 실패(NXDOMAIN) 또는 차단 상태로 확인된 22개 IOC 아카이브 향후 passive DNS/CT logs/Wayback 등 역사 조회 시 참조 사용자 스미싱

meetlove521 — contact_theft · express_jwt_prisma_korea_male_target · high. v4 APK(BASE_URL 실서버 복원) → 연락처 2.6KB + 사진 16장(1.3MB) HTTP POST로 실제 C2 IP에 전송 EXPRESS+JWT+Prisma.

PhotoTalk — contact_theft · wavegrid_korea_male_target · high. 악성앱 분석 보고서. 프레임워크: Native Android (Kotlin) + OkHttp + RuoYi backend 3.8.5. 보호기제: RuoYi 3.8.5 (.html bypass 패치됨) + 초대코드 필수 + Shiro auth + Dru

Cluster B payload layer (apvgr/nbwo97/CloudFront) — web_companion · unknown · critical. 악성앱 분석 보고서. 프레임워크: Vite SPA + obfuscator.io high-mode (string-split + runtime computation) + ShowDang nginx 미끼. 보호기제: 정적 deobf 한계 — 라이브 동적 분

안전톡톡 (NaaTalk) — contact_theft · golgol_cluster · critical. golgol_cluster 변종 MaaS 공급망 완전 추적: 游侠云码网([도메인 비공개]) 제품 #7803 '多模式版本' ($3271 USDT) 上海游侠云信息技术有限公司(ICP 5도메인) 리셀러: @VVOFFICE(한국어) 통신록 모드 확정(IM/원격

GOLDENSWED — contact_theft · expo_hybrid · critical. 한국 마사지샵 위장 Expo SDK 54 악성앱 두 변종 확인: A(dimnionbanks 클러스터, 1.6MB 번들, [경로 비공개] 단일 엔드포인트) + B(wipung19 클러스터, 1.06MB 번들, [경로 비공개],getConfig,saveD

PenHa (Pens) — contact_theft · wavegrid_gen_g · critical. PenHa 위장 앱. 소셜앱으로 위장하여 초대코드 입력 후 연락처/이미지/영상을 서버로 전송. 영상유포 협박에 사용됨.

GlooryaQ LOVE — contact_theft · unknown · critical. Expo LOVE 시리즈 신규 빌드 ([도메인 비공개]) PenHa dev tunnel에서 발견 강철이 PC 경로 노출 (manifest.json) 이전 버전 expo_love([도메인 비공개])의 인프라 교체판 Flask+Caddy+Cloudflar

VioletToy — contact_theft · Sxjoa/Anlei · extreme. 한국어 위장 안드로이드 악성앱. 강력한 패킹 보호(Qihoo Jiagu)를 사용하지만 정적 strings 분석으로 C2 서버, API 엔드포인트, 내부 클래스 인벤토리 전부 식별. 연락처/사진을 무차별 외부 송출하는 데이터 탈취형. iOS 버전과 동시

HaaTalk — contact_theft · zero_to_million_operator · extreme. 기업 내부 캘린더 동기화 도구로 위장한 신규 안드로이드 악성앱. 3중 보호 메커니즘(패커 + 추가 암호화 + JS 난독화)을 모두 우회. 한국, 일본, iOS, Android 4중 타겟. 드로퍼 능력(다른 APK 자동 설치) 보유. 이전에 식별되지 않

Tsecurityvip (Tsecurity) — contact_theft · Sxjoa/Anlei · extreme. 보안 솔루션으로 위장한 안드로이드 악성앱. 'Privacy Activity' 클래스로 사용자에게 개인정보 보호 도구로 오해 유발. 기존 패밀리와 같은 백엔드 인프라 공유하지만 자체 도메인을 추가 확보하여 차단 회복력 강화. 한국+iOS 동시 타겟.

K-LIVE2026 — contact_theft · Sxjoa/Anlei · extreme. 한국 라이브 방송 플랫폼으로 위장한 안드로이드 악성앱. 기존 'Sxjoa/Anlei' 패밀리의 후속 빌드로 동일 백엔드 인프라 사용. 같은 운영자가 여러 코드네임 라인을 병행 운영하는 패턴 확인.

MG社区 (MG Shequ) — contact_theft · fyvo_tv_cluster · extreme. 중국어 커뮤니티로 위장한 안드로이드 악성앱. Android 9 SDK를 의도적으로 사용하여 최신 OS의 권한 보호 메커니즘을 회피. 이전에 식별되지 않은 신규 운영자.

펭하S — contact_theft · ruoyi_prod_api_cluster · extreme. 한국어 위장 안드로이드 악성앱. RuoYi 관리 프레임워크 기반 C2 서버 사용. 연락처 탈취 API 엔드포인트 확인. Cloudflare 뒤에서 현재 운영 중.

웨딩프렌즈 (Wedding Friends) — contact_theft · coffeeh24_operator · extreme. 결혼/소개팅 앱으로 위장한 안드로이드 악성앱. 앱 라벨에 이모지를 사용하여 시각적 위장.

GAY (DCloud) — contact_theft · fyvo_tv_cluster · extreme. LGBTQ 커뮤니티 앱으로 위장한 안드로이드 악성앱. 신규 'fyvo_tv_cluster' 운영자 패밀리 멤버 확인.

Y (mslove19/pinonaoshsfpaohjgadsf) — contact_theft · ruoyi_prod_api_cluster · extreme. SMS 로그인 위장 안드로이드 악성앱. RuoYi 백엔드 패턴 사용 (한국 분석 대상 패밀리에서 흔한 백엔드).

Q (modified v2) — contact_theft · ruoyi_prod_api_cluster · extreme. 영문 단어 위장 안드로이드 악성앱. 영문 단어 조합으로 정상 앱처럼 보이게 패키지명/코드네임 설계.

AnyDesk 원격제어 사칭 (yWp63Yp5sQ7s3dn4.apk) — remote_control_lure · anydesk_lure_cluster · extreme. AnyDesk 원격제어 프로그램으로 위장한 안드로이드 악성앱. ZIP 안에 ZIP을 넣어 검역 회피. Google 클라우드 서비스 토큰을 탈취하려는 의도 확인.

개인공간 (Personal Space) — contact_theft · unknown_dcloud_proguard · extreme. 한국어 위장 안드로이드 악성앱. 6중 보호 메커니즘(코드 난독화+설정 암호화+에뮬레이터 탐지+가짜 파일 위장). 정적+동적 분석 모두 한계 도달.

MQ (260401) — contact_theft · ruoyi_prod_api_cluster · extreme. 한국어 위장 안드로이드 악성앱. RuoYi 관리 프레임워크 C2 사용. 연락처 탈취 API 확인. Cloudflare 뒤에서 현재 운영 중.

UNK-1737248 (RuoYi) — contact_theft · ruoyi_prod_api_cluster · extreme. Nested ZIP 구조로 위장된 안드로이드 악성앱. 내부 APK 추출 후 RuoYi 프레임워크 기반 C2 서버 식별. 클러스터 멤버로 확인, C2는 현재 폐쇄 상태.

ExpoGo Love3 — contact_theft · critical. Expo LOVE 시리즈 3세대 ([도메인 비공개]) 배포 URL [도메인 비공개] → exp://[IP 비공개] 딜링크 강철이 동일 운영자 suprakin→wahite→kcavaes C2 이전 3세대 MyContactService 관리 패널 /bac

Candy — contact_theft · expo_contact_theft · critical. Expo 기반 영상채팅 위장 연락처 탈취 악성앱. 미끼 사이트 → Expo Go 설치 유도 → 딥링크로 악성 프로젝트 로드. 연락처+기기정보 탈취 후 호환 불가 에러로 위장.

Telegram Viewer (telegraming.live) — contact_theft · critical. Expo Go 딥링크로 연락처 탈취하는 몸캠피싱 악성앱. 텔레그램 위장 로그인 화면으로 사용자 전화번호 + 전체 연락처 탈취. CodeIgniter PHP C2로 데이터 전송.

ExpoGo Love4 — contact_theft · critical. Expo Go 딥링크로 앱 시작 즉시 연락처 탈취하는 몸캠피싱 악성앱. 초대코드 입력 전에 이미 전체 연락처가 C2로 전송됨.

Tunf — contact_theft · wavegrid · critical. Telegram Fun.zip disguised wavegrid variant. 629 dummy activities for obfuscation (isolated via reachability BFS). Gate bypass + auto-send p

factory_daol — contact_theft · critical. Expo Go contact theft. Factory clone of telegraming_live template. C2: api.kblzi.kr.

factory_candy_shop — contact_theft · critical. Expo Go contact theft. Factory clone. C2: api.candy-25.shop (Cloudflare WAF). Domain variant of candy (.com to .shop).

factory_daol_new — contact_theft · critical. Expo Go contact theft (ACTIVE campaign). Lure site masquerading as pilates studio. C2 api.n-paywtp.shop fully operational.

factory_vpilates — contact_theft · critical. Expo Go contact theft (most active). Trust Wallet admin panel discovered. Landing page live at v-pilates.shop.

CANDY — contact_theft · critical. 캔디 위장 Expo Go 악성앱 wooteayang 캠페인 팜 (inscafe24.pro port 8083) goldenswed/telegraming 동일 운영자 C2: [도메인 비공개] APK: 58.4 MB.

DAOL PILATES — contact_theft · critical. 다올필라테스 위장 Expo Go 악성앱 wooteayang 캠페인 팜 (inscafe24.pro port 8082) goldenswed/telegraming 동일 운영자 C2: [도메인 비공개] APK: 58.43 MB.

DAOL PILATES NEW — contact_theft · critical. 다올필라테스 v2 위장 Expo Go 악성앱 wooteayang 캠페인 팜 (inscafe24.pro port 8085) goldenswed/telegraming 동일 운영자 C2: [도메인 비공개] APK: 58.43 MB.

NEULPUM PILATES — contact_theft · critical. 늘품필라테스 위장 Expo Go 악성앱 wooteayang 캠페인 팜 (inscafe24.pro port 8086) goldenswed/telegraming 동일 운영자 C2: [도메인 비공개] APK: 58.43 MB.

LOVE — contact_theft · critical. 데이팅/성인 위장 Expo Go 악성앱 다른 캠페인과 완전히 다른 코드베이스 (React Navigation + axios, expo-router 아님) 가짜 동영상 갤러리(7명 한국 여성명) → 504 가짜 에러 중국어 주석에 이전 C2 [도메인 비

CANDY — contact_theft · critical. Candy English 위장 Expo Go 악성앱 wooteayang 캠페인 팜 (inscafe24.pro port 8088) goldenswed/telegraming 동일 운영자 C2: [도메인 비공개] APK: 58.43 MB.

Synca — contact_theft · Sxjoa/Anlei · critical. Sxjoa/Anlei family (2026-06-21). Disguised as adult device app. Dynamic analysis: one-shot exfiltration of phone+contacts+installed_apps+dev

Video Player HD — contact_theft · ririadmin_abccloud · critical. Video Player HD 위장 Expo Go 악성앱. 미끼 사이트에서 딥링크로 악성 페이로드 실행. 연락처/이메일/기기정보 탈취. 관리자패널 발견. JP 인프라 사용.

Horse (HR) — contact_theft · high. Wavegrid C2 malware. CodeBruter embedded APK auto-discovers invite codes + live C2 transmission confirmed. synSuc fake crash disguise. 27 va

Video Player (videoemg) — contact_theft · critical. Expo Go SDK 54 기반 악성앱. 가짜 비디오 플레이어로 위장하여 연락처, 기기정보 탈취. 서버사이드 초대코드 게이트 신규 도입. MITM 서버 구축으로 바이패스 성공하여 전체 악성 흐름 실증.

PickPro — contact_theft · critical. ONE Store 및 Apple App Store에 AI 사진 앱으로 위장하여 정식 등록된 악성앱. 초대코드 기반 연락처 탈취 후 유포 협박 피해 발생.

TrueShot — contact_theft · critical. ONE Store에 AI 사진 판별 앱으로 위장하여 등록된 악성앱. 픽프로와 동일 C2 서버/개발자 사용.

水仙 (Shuixian) — surveillance · critical. Flutter + Agora RTC video chat surveillance app distributed via [도메인 비공개] Jiagu packed (native SO DEX encryption) C2: AWS ELB Singapore :180