Version: v1.0
분석일: 2026-05-11
위협 등급: Critical
패밀리: frezrik_jiagu (sxjoa Cluster B)
분석 레벨: static_basic (Phase 1)
항목 · 값
파일명 · UniqueToyvip.apk
패키지 · iucudn.jekr.halrgalbb.qteb
APK 크기 · 13.28 MB
SHA256 · 2f56630aec20eec0c28e9d45ff4e0092200b0d90cbb38f3450a8c3989a57bcc9
프레임워크 · Native Android
보호 · 360 Jiagu (Frezrik NDK_JIAGU)
Min SDK · 22
Target SDK · 34
Internal App ID · 1xvoce
항목 · 값
C2 주소 · [비공개]
호스팅 · AWS Singapore (Cluster B 공유)
프로토콜 · HTTP/HTTPS
sxjoa Cluster B와 동일 C2 공유. [비공개]은 golgol_cluster에서도 사용되는 대규모 인프라.
SPA 기반 다단계 배포 확인:
```
[비공개] (배포 SPA)
→ [비공개] (앱 정보 API)
→ [비공개] (APK URL 획득)
→ [비공개] (CDN 다운로드)
```
관련 도메인: [비공개] (추가 배포 경로)
항목 · sxjoa (원본) · Unique Toy
권한 수 · 25개 · 9개
패키지 · 4-segment 랜덤 · 4-segment 랜덤
패커 · Frezrik Jiagu · Frezrik Jiagu
C2 · [비공개] · [비공개]
전략 · 광범위 탈취 · 스텔스 최적화
핵심 차이: 권한 25개 → 9개로 축소. 불필요한 권한을 제거하여 사용자 경계심과 보안 솔루션 탐지를 회피하는 스텔스 최적화 전략.
총 9개 권한 (축소된 세트):
권한 · 용도
READ_CONTACTS · 연락처 탈취 (핵심)
CAMERA · 카메라 접근
READ_EXTERNAL_STORAGE · 파일 접근
READ_MEDIA_IMAGES · 이미지 접근 (Android 13+)
QUERY_ALL_PACKAGES · 설치 앱 목록
INTERNET · 네트워크 통신
ACCESS_NETWORK_STATE · 네트워크 상태
POST_NOTIFICATIONS · 알림 표시
AD_ID · 광고 ID 수집
유형 · 값
C2 IP · [비공개]
배포 SPA · [비공개]
CDN · [비공개]
관련 도메인 · [비공개]
유형 · 값
SHA256 · 2f56630aec20eec0c28e9d45ff4e0092200b0d90cbb38f3450a8c3989a57bcc9
패키지 · iucudn.jekr.halrgalbb.qteb
기제 · 상태
360 Jiagu (Frezrik) · DEX 암호화 활성
4-segment 랜덤 패키지명 · 탐지 회피용
SPA 배포 · 직접 APK 링크 은닉
권한 축소 · 9개로 최적화 (sxjoa 25개 대비)
Unique Toy는 sxjoa Cluster B의 스텔스 최적화 변종으로, 동일 C2([비공개])를 공유하면서 권한을 25개에서 9개로 축소하여 탐지 회피율을 높인 진화형이다. SPA 기반 다단계 배포([비공개] → [비공개] CDN)와 4-segment 랜덤 패키지명은 frezrik_jiagu 패밀리의 전형적 패턴이다. Jiagu DEX 암호화로 인해 동적 분석이 필요하며, 런타임 복호화 후 C2 통신 프로토콜 완전 분석이 후속 과제이다.
본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr