Cluster B web empire (Pink cat / Red Toy / ppaujoa) 상세 분석 보고서

URL 26/31 Probe — Pink cat ([비공개]) ≡ Red Toy V ([비공개]) ≡ sxjoa 운영자

Target: [비공개] + [비공개]

Date: 2026-04-21

Status: 🟢 Live ShowDang CMS, 🔴 sxjoa APK 운영자와 동일성 확정

1. 확인된 동일성

증거 · 상세

SSL 인증서 공유 · `CN=[비공개], SAN: [비공개] `

Body bytes 일치 · 127884 bytes 정확 일치

IP 공유 · [비공개] (Cluster B)

Title 일치 · "국내 성인용품 1위"

🔴 OG meta 교차 · **og:url = `[비공개]

🔴 og:title · **"디엔픽스"** (sxjoa 브랜드?)

🔴 og:description · **"섹시컴"**

2. 🔴 sxjoa APK 운영자와 연결

사용자 리스트에는 [비공개] 자체가 없으나, trrrshop/tbrbr OG meta로 sxjoa 브랜드 참조 발견:

apps.json `sxjoa` 기존 레코드

```json

{

"id": "sxjoa",

"name": "250323 _ Sxjoa2025.apk",

"package": "com.lbxvojcc.zekebauh.wthiufgh",

"framework": "Native Android",

"protection": "360 Jiagu",

"tags": ["protected", "bypass_success", "jiagu_common_license", "operator_aws_sg_cluster"],

"c2Server": "[비공개],

"threatLevel": "critical",

"analysisDate": "2026-02-26"

}

```

결론

· trrrshop + tbrbr + (Pink cat + Red Toy + Violet Toy + M-리더 + Bunny T empire) = 동일 운영자

· sxjoa APK 운영자 (AWS SG cluster, 360 Jiagu) = Cluster B [비공개] 운영자

· operator_aws_sg_cluster 태그를 Cluster B 도메인 전체에 확장 제안

DNS 상태

· [비공개] / [비공개] → [비공개] (DNS sinkhole 추정 — KISA/ISP 차단)

· [비공개] → NXDOMAIN

· 즉 sxjoa 원본 웹사이트는 사멸 → 운영자가 trrrshop/tbrbr로 이전

3. 기술 지문

3.1 CMS/프레임워크

· ShowDang 쇼핑몰 플랫폼 (한국 상용 e-commerce)

· 경로: data/skin/mobile/showdang_m/css/gd_*.css

· 파일명: gd_reset, gd_layout, gd_common, gd_button

· 아이콘: wepix_iconfont_cate, wepix_iconfont_shop

· Swiper 11 (슬라이더)

· NanumGothic 400/700/800 폰트 (한국 타겟)

· nginx 서버

3.2 보안 지문

· meta name="csrf-token" 값 = MTc0MjA0Nzg0NTM4Mjc0Njk5NDI3NTE5MTM3NjE4NDM5MjQ2NjMxMTgz

· base64 디코딩 = 42자리 숫자

· Prefix 1742047845 = Unix timestamp 2025-03-15 17:30 UTC (사이트 최근 세션 시작 시점?)

· 세션 예측 공격 가능성 (저강도)

· 거의 모든 [비공개], /admin, /login, /robots.txt` 등 301 normalized → 공격 차단 설정

· /index.html = 200 (정적 진입점)

· /admin = 403 (admin 존재하나 IP/referer 필터)

4. 운영자 포트폴리오 업데이트 (Cluster B)

브랜드 · 도메인 · 상태 · 연결

Pink cat · [비공개] · 🟢 live · ShowDang, sxjoa OG

Red Toy V · [비공개] (www.tbrbr) · 🟢 live (동일 body) · ShowDang, sxjoa OG

Violet Toy · [비공개] (2nd listing) · 🟢 동일 · ShowDang

RED TOY · [비공개] (www.kbrbr) · 🟡 welcome 페이지 (도메인 풀) · ppaujoa cert fallback

M-리더/Bunny T · [비공개] (www.mbrbr) · 🟡 welcome · ppaujoa cert fallback

Bunny T (메인) · [비공개] · 🪦 TCP block (.91) · —

Bunny T alt · [비공개] · 🪦 TCP block (.91) · —

🆕 Hidden · [비공개] · 🟢 SSL cert 존재 · Cluster B 기본 cert

**sxjoa (APK)** · [비공개] · 🪦 sinkhole/dead · AWS SG [비공개]

5. 🔴 인프라 규모 재평가

· Cluster B ([비공개]) = 최소 8개 브랜드 운영

· sxjoa APK 포함 시 = 9개

· AWS SG C2 ([비공개]) + [비공개] 웹 = 복수 IP 분산 구조

· 360 Jiagu frezrik 패밀리 → 웹 컴패니언 사이트(쇼핑몰 위장) + APK 드로퍼 이중 운영

6. 역사 복원 (sxjoa → trrrshop 이전)

```

2025-03-15 ~ 2025-03-23 sxjoa APK 활동 (2025-03 최초 배포)

2025-08 ~ [비공개] sinkhole 조치 (KISA/ISP 추정)

2026-02-26 sxjoa APK 분석 완료 (Deep_Coding 내부)

2026-03 ~ trrrshop/tbrbr Cluster B로 브랜드 이전

2026-04-21 (오늘) trrrshop/tbrbr 동일 body 127KB 서빙 중 (live)

```

7. 다음 단계

1. apps.json sxjoa 레코드의 crossReferences에 trrrshop/tbrbr 추가

2. Cluster B 브랜드 전체에 operator_aws_sg_cluster 태그 확장

3. ShowDang CMS 설치 버전 지문 (/data/skin/mobile/showdang_m 와일드카드 스윕 — OPSEC 주의)

4. [비공개] fallback의 역할 규명 (도메인 풀 마스터 또는 추가 활성 브랜드)

8. OPSEC

· GET 24 endpoint enum + 2 HEAD + 2 body fetch = 28회

· POST/PUT/DELETE 0

· 관리자 브루트포스 0

· WordPress/WooCommerce REST API exploitation 0

· ShowDang CMS CVE 시도 0

9. 결론

trrrshop(Pink cat) + tbrbr(Red Toy V/Violet Toy) + Cluster B 전체 = sxjoa APK 운영자의 웹 컴패니언 empire. yuvaluejing급 OG meta 교차 앵커 발견.

본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr