Leetalk family (안전톡톡) 악성앱 분석 — C2·권한·데이터 탈취

Leetalk family (안전톡톡) 상세 분석 보고서

URL 16-18 Probe — Leetalk/ReeTalk/qeetalk = 안전톡톡 = gybvidu 드로퍼 hub (야밤 동일 운영자)

Target: `[비공개] (3 리스트 항목의 공통 URL)

Date: 2026-04-21

Status: 🟢 Live landing + 🔴 드로퍼 체인 gybvidu hub (사멸)

1. 🔴🔴 결정적 교차 앵커 — 야밤과 동일 운영자

야밤 (URL 6) 체인:

```

[비공개] → comdb.mom([비공개])

→ location.href = [비공개]

```

Leetalk/안전톡톡 (URL 16-18) 체인:

```

[비공개]([비공개])

→ 다운로드 버튼 전부 = [비공개]

```

동일성:

· 같은 서버 ([비공개], Cluster C)

· 같은 [비공개] hub (njc2n / nzcxn — 다른 서브도메인)

· 같은 경로 구조 /5-6char/16-20char

· 현재 모든 [비공개] 서브도메인 NXDOMAIN → 체인 사멸이나 운영 흔적 유지

확인된 [비공개] 서브도메인 참조

· [비공개] (야밤 redirect target)

· [비공개] (Leetalk 다운로드 target)

· 기타 api/m/download/app/apk/a/b/c 등 모두 NXDOMAIN

2. 서버 엔드포인트

Path · Status · Note

`/` · 200 (14401 bytes) · 안전톡톡 랜딩 페이지

`/js/index.js` · 200 · 클라이언트 로직

`/css/style.css` · 200 · 스타일

`/logo.png` · 200 · 로고

`/download`, `[비공개], `/admin` · 404 · 모두 정적 페이지만 서빙

`/app` · **403** (563 bytes) · 보호된 엔드포인트 존재

3. HTML body 세부

3.1 OG meta

```html

```

3.2 swim-chat 변종 전수 확인

Domain · DNS · Note

[비공개] · NXDOMAIN (= [비공개] resolver echo) · 존재 X

swim-chat.co · NXDOMAIN · 존재 X

[비공개] · NXDOMAIN · 존재 X

**swim-chat.comm** · NXDOMAIN (.comm 자체 없는 TLD) · **의도적 fake URL**

[비공개] · [비공개] (AWS US-East-1) · 별도 정상 서비스? 조사 미진

og:url = .comm (일반 브라우저가 .com로 자동 보정하지 않음) → OG 크롤러 함정 또는 운영자 typo.

3.3 브랜드명 전수

· 페이지 title = "안전톡톡"

· og:title = "안전톡톡"

· logo text = 안전톡톡

· 리스트 URL "[비공개] = 안전톡톡" (NXDOMAIN 사멸)

· Leetalk/ReeTalk/qeetalk 3 URL 동일 서버 (사용자 리스트 중복)

4. 개발자 지문

· HTML 중국어 주석: 避免继承首页(main)的大字号/绝对定位导致的遮挡

· fullpage.js + AOS library (마케팅 랜딩 전형적 구성)

· lang="en" 설정이지만 og:locale=ko_KR → 중국 개발자가 한글 타겟 앱으로 래핑

· 야밤의 comdb.mom과 동일한 중국 개발팀

5. 운영 가설

가설 A — 단일 운영자의 한글 브랜드 공장

Cluster C([비공개]) 한 서버에:

· 야밤(comdb.mom virtual host) — 중국어 WeChat 게이트

· Leetalk/ReeTalk/qeetalk/안전톡톡 — 한글 채팅앱 랜딩 4 브랜드

모두 [비공개] 드로퍼 hub 경유 → 중국 개발팀이 한글 브랜드 양산 + 공용 드로퍼.

가설 B — 브랜드 판매 킷

같은 드로퍼 백엔드를 다수 운영자에 판매. Cluster C 동시 호스팅 = Shared hosting. 가능성 낮음.

가설 A가 우세 (3개월간 HTML 정적 유지 + 동일 hub + 동일 개발자 지문).

6. IOC 최종

IOC · 유형 · 상태

[비공개] · 도메인 · 🟢 live ([비공개])

[비공개] · IP · 🟢 live (Cluster C)

comdb.mom · 도메인 · 🟢 live (virtual host)

[비공개] · 도메인 · 🟢 live (virtual host)

**[비공개]** · 도메인 hub · 🪦 NXDOMAIN 전체 서브

[비공개] · 하위 · 🪦 NXDOMAIN (야밤 target)

[비공개] · 하위 · 🪦 NXDOMAIN (Leetalk target)

swim-chat.comm · fake OG · 🪦 invalid TLD

[비공개] · ? · [비공개] (AWS, 조사 미완)

[비공개] · 안전톡톡 primary · 🪦 NXDOMAIN

7. OPSEC

· GET 20 endpoint + nslookup 15회

· 외부 요청 0 ([비공개] AWS IP 직접 probe 미실행 — attribution 위해)

· 공격 0, 페이로드 0

8. 결론

Leetalk(안전톡톡) = 야밤과 동일 운영자 완전 확정 (Cluster C [비공개] + [비공개] hub 공유). 드로퍼 체인 gybvidu.com은 사멸했으나 랜딩 페이지는 유지 중 → 운영자가 방치/이전 상태. [비공개] 사멸 후 Leetalk/ReeTalk/qeetalk로 브랜드 이전.

본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr