버전: v1.0
분석 일자: 2026-05-23
대상: 260511_K-LIVE2026.apk (12.7 MB)
위협 등급: 🔴 Extreme
패밀리: Sxjoa/Anlei (코드네임 com.zxdzd.xa.mubiao 신규 분기)
K-LIVE2026 = Sxjoa/Anlei 패밀리의 2026-05-11 빌드. Tsecurityvip(04-29) 12일 후.
· C2 인프라 100% 공유 ([비공개], [비공개], sharetrace, `[비공개])
· 내부 코드네임 com.zxdzd.xa.mubiao 신규 발견 (VioletToy의 jiazai.mx.durian 같은 패턴, 다른 코드네임)
· MainActivity: com.zxdzd.xa.mubiao.ui.home.PrivacyActivity (Tsecurityvip와 같은 사칭 패턴)
· Label "K-LIVE" = 한국 라이브 방송 플랫폼 사칭 (Afreeca/Twip/SOOP/CLUB 등 연상)
항목 · 값
Package · `hwstbptw.fqffdumhpq.qscxzsvp.mnmkpbzmk` (외부, 난수형)
내부 코드네임 · `com.zxdzd.xa.mubiao`
Label · K-LIVE
MainActivity · PrivacyActivity (UI-001 사칭 패턴 일관성)
File size · 12.7 MB (Sxjoa 표준 16MB보다 작음 — 슬림 빌드)
MD5 · `71FF268B6F97F5F730F3669EBD9F3005`
vCode · 2, vName 1.1.4 (Sxjoa 패밀리 시그널)
시점 · 빌드 · 외부 패키지 · 내부 코드네임 · 라벨
2025-03-23 · Sxjoa2025 · com.lbxvojcc... · (=외부) · Sxjoa
2025-04-08 · Yhbzoa2025 · com.rudxrefb... · (=외부) · Yhbzoa
2026-04-09 · VioletToy · upxqr.svavc... · **com.jiazai.mx.durian** · Violet Toy
2026-04-29 · Tsecurityvip · com.zvcffavy... · (=외부) · Tsecurity
**2026-05-11** · **K-LIVE2026** · hwstbptw... · **com.zxdzd.xa.mubiao** · K-LIVE
→ 운영자가 다중 코드네임 라인 병행 운영 확정. jiazai.mx.durian + zxdzd.xa.mubiao 2개 코드네임 + 외부=내부 라인 1개 = 3개 빌드 파이프라인.
```
domains: [비공개] urls: [비공개] (확인)
ips: [비공개]
packages: hwstbptw.fqffdumhpq.qscxzsvp.mnmkpbzmk
files: K-LIVE2026.apk
internalCodename: com.zxdzd.xa.mubiao
```
· ✅ STR-001 + INFRA-002: Sxjoa 패밀리 자동 식별
· ✅ UI-001 Activity Naming Deception: PrivacyActivity 패턴 확정 (Tsecurityvip 이후 2번째 인스턴스)
· 🆕 CODE-001 Multi-Codename Pipeline Detection: 같은 운영자가 다중 코드네임 (jiazai.mx.durian + zxdzd.xa.mubiao + 외부=내부)을 병행 운영 — DEX strings에서 코드네임 패턴 매칭으로 운영자 파이프라인 정량화.
· IP [비공개], 도메인 *.[비공개], 패키지 hwstbptw.fqffdumhpq.qscxzsvp.mnmkpbzmk 즉시 차단
· com.zxdzd.xa.mubiao.* 시그너처 = Sxjoa 패밀리 변종 자동 탐지 룰 추가 가능
본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr