YLOVE 악성앱 분석 — C2·권한·데이터 탈취

YLOVE 상세 분석 보고서

260122_ML.apk (YLOVE) 악성앱 분석 보고서

분석일: 2026-02-20 12:38:03

분석자: 주식회사 아크링크 (Deep-Coding Lab)

분석 목적: 피싱/스미싱 [피해자 정보 비공개] 위한 악성앱 분석

분석 방법: 자동 정적 분석 (batch_analyze.py v1.0)

1. 앱 기본 정보

항목 · 내용

**파일명** · 260122_ML.apk

**패키지명** · com.iuenf.foejs

**앱 이름** · YLOVE

**버전** · 1.1 (code: 11)

**Min SDK** · 29

**Target SDK** · 34

**파일 크기** · 10.75 MB

**SHA256** · `d015e3e0af689aa0ca94131266a31266444afa55d833db9d89273c8f40b5f970`

**DEX 파일** · 1개

**네이티브 코드** · 없음

**분석 클래스** · 9,836개

2. 권한 분석

요청 권한 (9개, 위험 권한 6개)

권한 · 위험도 · 용도 (추정)

`ACCESS_NETWORK_STATE` · 일반 · 네트워크 상태 확인

`INTERNET` · 일반 · 네트워크 통신

`READ_CONTACTS` · **위험** · 연락처 탈취

`READ_EXTERNAL_STORAGE` · **위험** · 파일/사진 탈취

`READ_MEDIA_IMAGES` · **위험** · 사진 탈취

`READ_MEDIA_VIDEO` · **위험** · 동영상 탈취

`READ_PHONE_NUMBERS` · **위험** · 전화번호 탈취

`READ_PHONE_STATE` · **위험** · 기기 정보 수집

`DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION` · 일반 · 일반 기능

3. C2 서버 정보

확인된 C2 후보

```

[비공개] ```

발견된 IP 주소

· [비공개]

발견된 도메인

· [비공개]

API 엔드포인트

엔드포인트 · 설명

`/contact` · 자동 추출

`/file/FileVisitResult` · 자동 추출

`/file/Path` · 자동 추출

`/file/attribute/BasicFileAttributes` · 자동 추출

`/files_path/` · 자동 추출

`/login` · 자동 추출

`[비공개] · 자동 추출

`/sms/` · 자동 추출

4. 방어기제 분석

4.2 에뮬레이터 탐지

에뮬레이터 탐지 코드가 확인되었습니다:

· Build.FINGERPRINT / Build.MODEL 기반 탐지

· /proc/cpuinfo CPU 아키텍처 탐지

· TelephonyManager 기반 탐지

4.3 초대코드 인증

초대코드 기반 접근 제어가 확인되었습니다:

· LoginActivity에서 초대코드 입력 필요

· 서버 측 초대코드 검증

4.4 SSL 인증서 검증

SSL 인증서 검증 우회 코드가 포함되어 있습니다:

· TrustAllCerts / X509TrustManager 무효화

· HostnameVerifier 우회

· 이는 앱 자체의 MITM 방어를 무력화하여 분석을 용이하게 만드는 동시,

사용자의 통신 보안도 약화시킵니다.

4.5 난독화

난독화 수준: light

· 단축된 클래스/메서드명 사용

· 코드 분석 난이도 증가

방어기제 코드 경로

· invitation_code: com.tushiweih.wavegrid.view.HomeActivity - 초대코드 검증 로직 발견

· invitation_code: com.tushiweih.wavegrid.view.LoginActivity$a - 초대코드 검증 로직 발견

4.5. 심층 기술 분석

HTTP 클라이언트

· HttpURLConnection

암호화 사용

· com.tushiweih.wavegrid.dklleesezsakhptghsdlau.DoqtjqbrvhxpxtveydzaActivity:crypto

· j00:crypto

· com.tushiweih.wavegrid.sxgpwbigpadfngcykjhdluoa.CmteqjykpmhyjrewyxkActivity:crypto

· com.tushiweih.wavegrid.wsvugkbmzcdmzoxgqgq.RxgofarlqqmvzhkbdkapActivity:crypto

· f8:crypto

· com.tushiweih.wavegrid.kzfxnizmaeslvnpaedcelia.HxubtrojocxiacwidmdvqeppnfActivity:crypto

· com.blankj.utilcode.util.m:crypto

· az0:crypto

· com.tushiweih.wavegrid.kzfxnizmaeslvnpaedcelia.JjoqykmxqeadmfraibwxukuigActivity:crypto

· k0:crypto

SQLite 데이터베이스

· aakdxqqjgwmawok.db

· abyazkojugaoicupwilefzaa.db

· admgwdeimrgvhrtmmugum.db

· adpsgvemwlmkmtb.db

· agshcffizjwbttguwecswxekb.db

· agukuowimehjyqft.db

· ahcmizsarrvzjpdtpbzc.db

· ahsilbsnufjweepco.db

· akqvwrigtkzuyctmasbkquatj.db

· aktlhsxjdtywowaaxls.db

5. 앱 구조 분석

런처 액티비티: com.tushiweih.wavegrid.view.LoginActivity

등록된 서비스

· com.blankj.utilcode.util.MessengerUtils$ServerService

등록된 리시버

· androidx.profileinstaller.ProfileInstallReceiver → androidx.profileinstaller.action.INSTALL_PROFILE, androidx.profileinstaller.action.SKIP_FILE, androidx.profileinstaller.action.SAVE_PROFILE, androidx.profileinstaller.action.BENCHMARK_OPERATION

악성앱 패밀리

패밀리: wavegrid (신뢰도: 100%)

Wavegrid 패밀리는 연락처 탈취를 주 목적으로 하는 악성앱 그룹입니다. RuoYi 서버 프레임워크를 사용하며, 초대코드 기반 접근 제어와 에뮬레이터 탐지를 포함합니다.

6. 데이터 흐름 분석

탈취 대상 데이터

· camera: 카메라 촬영

· contacts: 연락처 (이름, 전화번호)

· files: 저장된 파일

· images: 사진/이미지

· location: 위치 정보

· phone_info: 기기/전화 정보

· sms: SMS 메시지

데이터 수집 메서드

· carrier_info: getNetworkOperatorName() - 통신사 정보 수집

· device_id: getDeviceId() / getImei() - 기기 고유 ID 수집

· image_compression: Luban/compressImage - 이미지 압축 후 전송

· imsi: getSubscriberId() - IMSI 수집

· phone_number: 전화번호 수집

ContentResolver 쿼리 대상

· content://com.android.contacts/data/phones

· content://downloads/all_downloads

· content://downloads/my_downloads

· content://downloads/public_downloads

· content://sms/

7. IOC (Indicators of Compromise)

도메인

```

[비공개] ```

IP 주소

```

[비공개]

```

파일 해시

```

SHA256: d015e3e0af689aa0ca94131266a31266444afa55d833db9d89273c8f40b5f970

```

패키지명

```

com.iuenf.foejs

```

8. 위협 평가

항목 · 평가

**위협 수준** · EXTREME - 극도로 위험 - 다수의 민감 데이터 탈취 가능

**패밀리** · wavegrid

**프레임워크** · Native Android

**보호 방식** · None

**SSL 우회** · 검출됨

**에뮬레이터 탐지** · 검출됨

**초대코드** · 검출됨

**난독화** · light

9. 분석 노트

이 보고서는 Deep-Coding Lab의 자동 정적 분석 도구(batch_analyze.py v1.0)에 의해 생성되었습니다.

분석 범위

· APK 구조 분석 (ZIP 구조, DEX 카운트, 네이티브 라이브러리)

· aapt 메타데이터 추출 (패키지, 권한, 액티비티)

· apktool 디컴파일 + smali 코드 분석

· URL/도메인/IP 자동 추출

· 알려진 악성앱 패밀리 시그니처 매칭

· 방어기제 탐지 (패킹, 에뮬레이터 탐지, 초대코드)

· 데이터 수집 패턴 탐지

· HTTP 클라이언트 라이브러리 식별

· 암호화 사용 탐지 (AES/DES/RSA)

· ContentResolver URI 추출

· 파일 전송 메서드 탐지

· Jiagu/패킹 상세 분석

한계

· 동적 분석 미포함 (네트워크 트래픽 미캡처)

· 패킹된 앱의 실제 DEX 코드 미분석

· 서버 사이드 동작 미확인

· 런타임 행위 미관찰

후속 분석 권장

· 초대코드 로직 분석 및 우회 시도

· C2 서버 활성 상태 확인 및 [비공개] 노출 탐색

· SMS 수집 메커니즘 상세 분석 (주기, 필터, 전송 경로)

· 에뮬레이터에서 권한 요청 단계까지 실행 (가능한 경우)

*보고서 생성: 2026-02-20 12:42:21 KST*

*분석자: 주식회사 아크링크 Deep-Coding Lab*

본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr