HideFP 상세 분석 보고서

HideFP 악성앱 분석 보고서

기본 정보

항목 · 값

앱 이름 · HideFP

패키지명 · com.sneeze.pistols

Virbox ID · 2af27a44

위협 수준 · HIGH

분석일 · 2026-02-20

패밀리 · Virbox Protector (SENS variant)

하위 그룹 · Group C - Mixed (SDK 34)

compileSdkVersion · 34

1. 구조 분석

1.1 Virbox Protector SENS 구조

이 앱은 중국 Senseshield Technology(深思数盾)의 Virbox Protector로 보호되어 있습니다.

· SENS 매직 헤더: 0x53454e53 (kqkticwjgzy.dat)

· 네이티브 로더: l2af27a44_a32/a64/x64/x86.so

· 스텁 클래스: 3개 (v2af27a44.l2af27a44, $cxk, $jntm)

· 실제 코드: 암호화된 DEX 내부 (런타임 복호화)

1.2 앱 컴포넌트

컴포넌트 · 클래스명 · 역할

Launcher · com.sneeze.pistols.MainActivity · 진입점

1.3 권한 분석

권한 · 위험도 · 목적

WRITE_EXTERNAL_STORAGE · HIGH · 파일 시스템 쓰기

INTERNET · MEDIUM · 네트워크 통신 (C2 서버)

READ_SMS · CRITICAL · 문자메시지 탈취

READ_CONTACTS · CRITICAL · 연락처 탈취

READ_PHONE_STATE · HIGH · 전화번호/IMEI 탈취

2. 방어기제 분석

2.1 바이너리 보호

항목 · 값

SO 파일 크기 · 1,312,104 bytes

SO 엔트로피 · 7.49/8.0

네이티브 아키텍처 · ARM32, ARM64, x86, x86_64

SENS 설정 파일 · kqkticwjgzy.dat (64 bytes)

3. 데이터 탈취 분석

탈취 대상 데이터

데이터 유형 · 접근 권한

연락처 · READ_CONTACTS

문자메시지 · READ_SMS

전화 상태/IMEI · READ_PHONE_STATE

4. 패밀리 분석

Virbox SENS 패밀리 공통 특성

· 보호 솔루션: Senseshield Technology(深思数盾) Virbox Protector

· SENS 매직: 0x53454e53

· 스텁 패턴: Application 클래스 → 네이티브 로드 → 암호화 DEX 복호화

· 내부 클래스: $cxk (NetworkCallback), $jntm (ActivityLifecycleCallbacks)

· 런타임 DEX: vbp.dex (Virbox Protected DEX)

Group C 특성

· SDK 34 (Android 14) 대상

· 단일 MainActivity

· AndroidX ProfileInstaller 통합

· kqkticwjgzy.dat 설정 파일 사용 (64 bytes)

IOC (Indicators of Compromise)

파일 해시

파일 · 값

패키지명 · com.sneeze.pistols

Virbox ID · 2af27a44

파일 지표

· kqkticwjgzy.dat (SENS 매직 헤더)

· l2af27a44_a32/a64/x64/x86.so (네이티브 로더)

· v2af27a44/l2af27a44.smali (스텁 클래스)

*Generated by Deep_Coding Malware Analysis Lab - 2026-02-20*

*Analyst: Claude AI under supervision of ArkLink Security Research*

본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr