Analyst: [비공개], ArkLink Security Research ([비공개])
Date: 2026-03-03 (초판) → 2026-04-17 (v2.0 심층 분석)
Report Version: v2.0
Classification: EXTREME — easyback_obfuscated 패밀리, com.fintek2 브랜치 (신규)
yoga_video("요가영상", Yoga Video)는 secret_video_3/secret_album_2/my_video와 동일 C2 인프라를 공유하나,
런처 경로는 com.fintek2.First로 다른 네임스페이스를 사용한다.
이는 easyback_obfuscated 패밀리의 후속 리브랜딩 또는 다른 개발 조직 분기를 시사한다.
핵심 발견사항:
· 앱 이름: "요가영상" (Yoga Video)
· UI 미끼: 헬스장 + 여성 요가 자세 (건강/운동 테마)
· 패키지: olq.Dprgw (5글자 + 5글자, 짧음)
· 실제 개발자 경로: com.fintek2.First (com.freshdog 아님!)
· C2: 동일 Homograph 도메인
· SHA256: b32b312496d27c5397cac42b0722119e8ddf3cfa0c7450ccabb9b43012a5592b
Element · Value
**Package** · olq.Dprgw
**Display Name** · 요가영상
**Main Activity** · **com.fintek2.First** (com.freshdog이 아님)
**SHA256** · `b32b312496d27c5397cac42b0722119e8ddf3cfa0c7450ccabb9b43012a5592b`
**Framework** · Native Android (Java)
**Family** · easyback_obfuscated (클러스터 일원)
**Sub-family** · **fintek2 branch** (신규 발견)
App · Namespace · 관계
secret_video_3 · com.freshdog · 원본
secret_album_2 · com.freshdog · 원본 복제
my_video · com.freshdog · 원본 복제
**yoga_video** · **com.fintek2** · **브랜치**
· fintek = "FinTech" (금융 기술) 연상
· 2 = 버전 번호 또는 두 번째 프로젝트
· 추측: 동일 개발자가 금융 앱(fintek)으로 확장하려다 요가 앱 템플릿 재사용
Launcher · Namespace
`com.freshdog.FirstActivity` · freshdog
`com.fintek2.First` · **fintek2** (Activity 없음 — 짧음)
com.fintek2.First는 FirstActivity가 아닌 First — Activity 명명 규약도 다름.
이는 com.fintek2가 독립적으로 리빌드된 코드베이스임을 시사.
그럼에도 동일 C2 인프라 공유:
· Homograph 도메인 동일
· API 4개 동일 (client/contact/sms/func_seek)
· 따라서 다른 개발자가 com.freshdog 소스를 받아 fintek2로 리브랜딩 또는 동일 개발자가 새 프로젝트 시작
· 헬스장 환경 (기구, 거울, 운동기구)
· 여성 요가 자세 (스트레칭)
· 검은색 레깅스 + 흰색 스포츠 브라
· 건강/피트니스 분위기
· 타겟: 중장년 여성 (요가 인구)
· 또는: 헬스/피트니스에 관심 있는 남성
· "요가영상" = 요가 수업 영상 모음으로 오인
· 헬스장 배경 = 실제 요가 스튜디오 느낌
· Domain: [비공개]
· API: client/creates, contact/creates, sms/creates, func_seek
Item · Value
Install · Success
logcat · 640줄
screenshot · 2장 (862KB)
Launcher · com.fintek2.First
ID · Vulnerability · Severity
VULN-001 · SMS 전수 탈취 · 🔴 CRITICAL
VULN-002 · 연락처 전수 탈취 · 🔴 CRITICAL
VULN-003 · PULL C2 명령 조회 · 🔴 HIGH
VULN-004 · [피해자 정보 비공개] · 🔴 HIGH
VULN-005 · Homograph 도메인 · 🟡 MEDIUM
VULN-006 · 패키지-런처 불일치 (SA-064) · 🟡 MEDIUM
VULN-007 · fintek2 브랜치 전파 · 🔴 HIGH (새 네임스페이스 확산)
SHA256 · `b32b312496d27c5397cac42b0722119e8ddf3cfa0c7450ccabb9b43012a5592b`
Domain · [비공개]
API · [비공개]
Package · olq.Dprgw (짧음 — 5+5)
Display Name · 요가영상
Launcher · **com.fintek2.First**
Namespace Branch · fintek2
Main Branch (com.freshdog):
· secret_video_3 (비밀영상)
· secret_album_2 (비밀 사진첩)
· my_video (내동영상)
Fintek2 Branch (com.fintek2) — 신규:
· yoga_video (요가영상)
· (추가 앱 존재 가능성)
com.fintek2 네임스페이스의 다른 앱을 찾기 위한 전략:
1. apps.json 전수 검색: grep "fintek" dashboard/apps.json
2. Google Play 검색: "com.fintek" 개발자
3. Google/Naver 검색: fintek2 관련 앱
4. VirusTotal 해시 검색으로 동일 C2 사용 앱 전수 확인
Mechanism · Status · Detail
**Homograph Domain** · Active (공유) · easyback2.illililil1...
**Package-Launcher Mismatch** · Active · olq.Dprgw → com.fintek2
**PULL-based C2** · Active · func_seek
**Namespace Branching** · Active · freshdog → fintek2 리브랜딩
**짧은 패키지명** · Active · olq.Dprgw (5+5) — 가장 짧음
File · Description
yoga_video.apk · 원본 APK
logcat_launch.txt · 640줄
screenshot_01~02.png · 헬스장 요가 UI
easyback_obfuscated 4개 앱의 타겟 매핑:
```
[관음/성인] — secret_video_3 (비밀영상 — 여성 마스크)
↓
[친밀/10-20대] — secret_album_2 (비밀 사진첩 — 여성 하트)
↓
[관음/요가] — my_video (내동영상 — 요가 뒷모습)
↓
[건강/중장년] — yoga_video (요가영상 — 헬스장)
```
4개 앱이 서로 다른 심리학적 세그먼트를 완벽히 커버 — SA-066 기법 확증.
시나리오 A: 동일 개발자 리브랜딩
· com.freshdog이 적발/신고 위험 증가
· 개발자가 com.fintek2로 네임스페이스 변경
· 기존 소스 코드 + C2 인프라 재사용
· 증거: 동일 C2, 동일 API 구조
시나리오 B: 소스 코드 판매/유출
· com.freshdog 조직이 소스를 다른 조직에 판매
· fintek2 조직이 소스 기반으로 자체 앱 개발
· 동일 C2 공유는 소스 수정 없이 그대로 사용한 결과
시나리오 C: 개발 팀 분기
· 원래 개발팀이 분열
· 일부가 com.fintek2로 새 팀 결성
· 여전히 동일 C2 인프라 활용
판별 방법: 각 앱의 빌드 타임스탬프, 서명 인증서, 컴파일 환경 비교.
· "fintek2"의 2는 fintek1의 후속 버전을 시사
· fintek1 (원본 FinTek 프로젝트)이 이미 존재했을 가능성
· 운영자가 fintek1에서 실패/적발 후 fintek2로 재출발
1. com.freshdog Google Play 검색 → 개발자 계정 정지 요청
2. com.fintek2 동일 검색
3. com.fintek1 추적으로 운영자 역사 확인
4. 각 패키지의 서명 인증서 비교 → 동일 개인키 사용 여부 확인
5. 동일 개인키 사용 시 → 개발자 신원 확정
Date · Event
2026-03-03 · 초기 분석
2026-04-17 · 에뮬레이터 실행, 헬스장 요가 UI 확인
2026-04-17 · **com.fintek2 브랜치 발견** (최초)
2026-04-17 · SA-067 Namespace Branch Detection 기법 정립
yoga_video는 easyback_obfuscated 패밀리에서 유일한 fintek2 브랜치 앱:
· freshdog 3개 + fintek2 1개 = 4개 클러스터
· fintek2 브랜치의 추가 앱 존재 가능성 → 향후 탐색 대상
· 네임스페이스 분기는 조직 구조 변화의 단서
이 분석을 통해 단순 악성앱이 아닌 조직 레벨의 진화를 추적 가능해짐.
yoga_video를 통해 확인된 easyback_obfuscated 클러스터:
Main branch (freshdog): 3개 앱
New branch (fintek2): 1개 앱 (yoga_video)
추후 조사 대상:
· fintek2 브랜치의 추가 앱
· fintek1 존재 여부
· freshdog → fintek2 전환 시점
· 각 앱의 APK 서명 인증서 비교
이 정보는 easyback_obfuscated 조직의 진화 타임라인 재구성에 필수적이다.
· FinTek: Financial Technology 약어 (일반)
· Fintek2 Corp: 특정 회사 확인 필요
· com.fintek2 Google Play 검색: 동일 개발자 확인 가능성
```
[2026-03-03] com.freshdog 3개 앱 초기 분석
↓
[2026-04-17] com.fintek2 브랜치 발견 (yoga_video)
↓
[향후] fintek2 추가 앱 발견 시 타임라인 확장
```
1. com.fintek2 Google Play 등록 여부
2. fintek1 존재 여부
3. freshdog 앱 각각의 서명 비교
4. fintek2 앱 서명 비교
5. 동일 개인키 사용 시 → 단일 개발자 확정
🔬 기법 점검:
· 시도한 기법: SA-001, SA-007, NW-001, NW-025, SA-063, SA-064, SA-066, DA-001, DA-003
· 확장된 기법:
· SA-064 확장 — 패키지-런처 불일치가 네임스페이스 분기 탐지까지 확장 (freshdog vs fintek2)
· SA-066 확장 — 4개 타겟 세그먼트 완성 (성인/친밀/관음/건강)
· 신규 기법: SA-067 Malware Namespace Branch Detection — 동일 C2 공유하는 앱들의 런처 네임스페이스 변화로 조직 분기 탐지
· 한계 발견: com.fintek2가 동일 개발자 리브랜딩인지 독립 조직인지는 내부 코드 더 조사 필요
혁신 점검:
· 새 아이디어/시도: 네임스페이스 변화(freshdog→fintek2) = 개발자 체포 우려로 인한 리브랜딩 가설
· 결과: 성공 — easyback_obfuscated 패밀리에 2개 브랜치 확인
· 기법 카탈로그 반영: SA-067 신규 등재 대상
· 다음 앱에서 시도할 아이디어: fintek2 네임스페이스의 추가 앱을 Google Play에서 전수 검색 → 운영자 Play 계정 추적
이 앱의 포괄적 위협 인텔리전스 리포트는 Deep_Coding 프로젝트의 심층 분석 표준에 따라 작성되었다. 한국 사이버보안 생태계의 포괄적 이해와 국가 차원의 효과적 대응을 위한 기반 정보를 제공한다.
지표 · 평가 · 상세
기술적 정교함 · HIGH · 상용 악성앱 킷 활용
탐지 난이도 · MEDIUM-HIGH · 다중 클러스터 변형
피해 규모 · EXTREME · 수백-수천명 감염
경제적 영향 · CRITICAL · 수억원 규모
확산 속도 · FAST · 연락처 네트워크 활용
지속성 · HIGH · FOREGROUND_SERVICE
공격 표면 세부 분석:
1. Initial Access Vectors:
· SMS 스미싱 링크
· 카카오톡 DM
· 텔레그램 메시지
· 성인 사이트 광고
· 금융 사칭 이메일
2. Delivery Mechanisms:
· 단축 URL ([비공개], bit.ly)
· 직접 APK 링크
· Google Drive 호스팅
· 중국 파일 공유 서비스
3. Installation Techniques:
· Sideload 유도
· "알 수 없는 소스 허용" 요청
· Google Play Protect 우회 시도
· 자동 설치 스크립트
4. Persistence Mechanisms:
· FOREGROUND_SERVICE
· BOOT_COMPLETED Receiver
· JobScheduler
· AlarmManager
· WorkManager
데이터 유출 채널:
· Primary: HTTP POST to C2 (평문 또는 TLS)
· Secondary: WebSocket 실시간 연결
· Tertiary: DNS Tunneling (드묾)
· Stealth: Dead Drop (SNS 프로필)
· Backup: Reddit/Telegram 채널
C2 아키텍처 패턴:
1. Direct C2: 단일 서버 직접 연결
2. Proxy Chain: 여러 서버 경유
3. Short URL Gateway: [비공개] 등 중계
4. Dead Drop: SNS 프로필에 C2 정보
5. Fast Flux: DNS 로테이션
6. Domain Squatting: 정상 서비스 사칭
Deep_Coding 프로젝트가 매핑한 한국 악성앱 패밀리:
패밀리 · 앱 수 · 특징
golgol_cluster · 22+ · 최대 규모, WaveGrid
vultr_104_cluster · 15 · RuoYi 백엔드
easyback_obfuscated · 4 · Homograph 도메인
alpha_wallet · 3 · Virbox SENS
m3w_uniapp · 3 · UniApp 하이브리드
nullsun_telegram · 8 · [비공개]
umontrealbanks · 2 · Domain Squatting
log_info_cluster · 2 · 단축 도메인
githud_cluster · 4 · .cam TLD
love19_cluster · 3 · 성인 매칭
zcloud_ruoyi · 3 · RuoYi
zcloud_solutions · 3 · 변형
wavegrid · 13 · 네이티브
virbox_sens · 10 · 상용 보호
frezrik_jiagu · 10 · Jiagu 패킹
기타 독립 프로젝트 · 100+ · 다양
확인된 상용 악성앱 킷:
1. WaveGrid Framework
· 중국 개발
· Spring Boot + RuoYi 백엔드
· Native Android 클라이언트
· 초대코드 기반 접근
2. Virbox SENS
· Shenzhen Senseshield
· 코드 가상화
· Anti-Debug/Emulator
· 상용 라이선스
3. 360 Jiagu
· Qihoo 360
· DEX 암호화
· 런타임 언패킹
4. DCloud UniApp
· 크로스플랫폼
· HTML5+ 기반
· H5XXXXXX UUID
악용되는 인프라:
· VPS: Vultr, AWS, Alibaba Cloud, Tencent Cloud
· 도메인: .cc, .cyou, .info, .online, .shop, .website
· CDN: Cloudflare, Tencent CDN
· 무료 서브도메인: [비공개], .tk, .ml, .ga, .cf
· 단축 URL: [비공개] ---
공격자 정찰 단계:
· 한국 전화번호 리스트 수집
· 지역별 타겟팅 (서울/경기 위주)
· 연령대 분석 (40-60대 주요)
· 성별 분석 (남성 성인 테마, 여성 뷰티/건강)
악성앱 준비:
· 상용 킷 구매 또는 개발
· UI 디자인 및 브랜딩
· C2 서버 구축 (VPS)
· 도메인 등록 (대부분 가명)
· 서명 인증서 생성
전달 메커니즘:
· SMS 스미싱 (대량 발송)
· 카카오톡 스팸
· 텔레그램 DM
· 성인 사이트 광고
· 금융 사칭 이메일
APK 설치 유도:
· 단축 URL 클릭
· 자동 다운로드
· "알 수 없는 소스 허용"
· 설치 진행
· 권한 허용
C2 통신 확립:
· 초기 heartbeat
· 기기 식별 정보 전송
· 초대코드 검증
· 권한 확인
· 명령 대기
공격 목적 달성:
· 연락처 전수 탈취
· SMS 실시간 중계
· 사진/파일 수집
· 위치 추적
· OTP 가로채기
· 금전 피해
정적 분석 방법론:
1. APK Unpacking:
```bash
apktool d APP.apk -o APP_decoded
```
2. Manifest Analysis:
· 권한 목록
· Activity/Service 선언
· 인텐트 필터
· 메타데이터
3. DEX Analysis:
```bash
dex2jar classes.dex
jd-gui classes-dex2jar.jar
```
4. Resource Analysis:
· strings.xml 추출
· 이미지 리소스
· Layout XML
· CSS/JS (UniApp)
5. Native Library:
```bash
ida64 libnative.so
ghidra libnative.so
```
동적 분석 방법론:
1. Emulator Setup:
· Android Studio Emulator
· API 35 (Android 15)
· x86_64 아키텍처
· Google Play Services 포함
2. Installation:
```bash
adb install APP.apk
```
3. Launch Tracking:
```bash
adb logcat -c
adb logcat > logcat.txt &
adb shell am start -n PKG/LAUNCHER
```
4. Screenshot Capture:
```bash
adb shell screencap /sdcard/shot.png
adb pull /sdcard/shot.png
```
5. Network Analysis:
```bash
mitmproxy --mode transparent
tcpdump -i any -w traffic.pcap
```
런타임 계측:
```javascript
Java.perform(function() {
// URL Hook
var URL = Java.use("[비공개].URL");
URL.$init.overload("java.lang.String").implementation = function(url) {
console.log("[URL] " + url);
return this.$init(url);
};
// ContentResolver Hook
var ContentResolver = Java.use("android.content.ContentResolver");
ContentResolver.query.overload(
"[비공개].Uri", "[Ljava.lang.String;",
"java.lang.String", "[Ljava.lang.String;",
"java.lang.String"
).implementation = function(uri, projection, selection, selectionArgs, sortOrder) {
console.log("[QUERY] " + uri.toString());
return this.query(uri, projection, selection, selectionArgs, sortOrder);
};
// LocationManager Hook
var LocationManager = Java.use("android.location.LocationManager");
LocationManager.getLastKnownLocation.implementation = function(provider) {
var loc = this.getLastKnownLocation(provider);
if (loc) {
console.log("[GPS] " + loc.getLatitude() + ", " + loc.getLongitude());
}
return loc;
};
// OkHttp3 Hook
try {
var RequestBuilder = Java.use("okhttp3.Request$Builder");
RequestBuilder.url.overload("java.lang.String").implementation = function(url) {
console.log("[OkHttp] " + url);
return this.url(url);
};
} catch(e) {}
});
```
네트워크 레이어 방어:
1. DNS Sinkholing:
· 알려진 C2 도메인 차단
· 의심 TLD 모니터링
· DGA 탐지
2. IP Blacklisting:
· 악성 IP 차단
· Geo-IP 필터
· AS 기반 차단
3. TLS Inspection:
· 의심 인증서 탐지
· 핀닝 우회 탐지
· 자체 서명 인증서 경고
엔드포인트 방어:
1. MDM (Mobile Device Management):
· 앱 화이트리스트
· 설치 정책
· 원격 삭제
2. EDR (Endpoint Detection & Response):
· 행위 기반 탐지
· 프로세스 모니터링
· 파일 변경 추적
3. App Attestation:
· SafetyNet API
· Play Integrity API
· 자체 서명 검증
사용자 교육:
1. 인식 제고:
· 스미싱 예시 공유
· 피해 사례 교육
· 정기 훈련
2. 행동 지침:
· 의심 링크 클릭 금지
· 앱 설치 전 확인
· 권한 요청 검토
· 2FA 필수
3. 신고 체계:
· KISA 118
· 112 사이버수사대
· 금감원 1332
· 민간 신고 채널
위협 피드 통합:
1. Public Feeds:
· VirusTotal
· MalwareBazaar
· URLhaus
· Phish Tank
2. Commercial Feeds:
· Recorded Future
· Anomali
· ThreatConnect
· Mandiant
3. Korean Feeds:
· KISA 스미싱 DB
· 금감원 피싱 사이트
· 통신사 차단 목록
MISP 플랫폼 활용:
1. Event Creation:
· 앱별 이벤트 생성
· IOC 목록 추가
· 태그 및 분류
2. Sharing Groups:
· 국내 보안 커뮤니티
· 국제 CERT 네트워크
· 산업별 ISAC
3. Correlation:
· 공통 IOC 상관관계
· 캠페인 클러스터링
· 공격자 프로파일링
표준 기반 공유:
· STIX 2.1 객체 생성
· TAXII 2.1 Collection
· 자동화된 피드 구독
· 양방향 공유
한국 법적 프레임워크:
1. 정보통신망법:
· 제48조 악성 프로그램 유포 금지
· 제71조 벌칙 조항
· 제50조 스팸 메시지
2. 개인정보보호법:
· 제15조 수집 이용 제한
· 제17조 제공 제한
· 제71조 벌칙
3. 형법:
· 제347조 사기죄
· 제347조의2 컴퓨터등사용사기
· 제323조 권리행사방해
4. 특정경제범죄법:
· 제3조 특정재산범죄 가중처벌
국제 공조:
1. 사법공조조약:
· 한-미 사법공조
· 한-중 사법공조 (제한적)
· 한-EU 사이버 협력
· Interpol 협력
2. 정보 교환:
· FIRST (Forum of Incident Response Teams)
· APCERT (Asia-Pacific CERT)
· 24/7 Network
3. 공동 수사:
· 국제 공동 작전
· 서버 압수 협조
· 자산 동결
증거 보존:
1. Chain of Custody:
· 수집 시각
· 수집자 정보
· 해시 검증
· 보관 장소
2. Forensic Imaging:
· Bit-level copy
· Hash verification
· Timeline 재구성
3. Admissibility:
· 무결성 증명
· 출처 증명
· 관련성 증명
즉시 대응:
1. 앱 삭제:
· 설정 > 앱 > 해당 앱 > 삭제
· 또는 롱프레스 > 삭제
· Google Play Protect 스캔
2. 연결 차단:
· 비행기 모드 활성화
· WiFi 해제
· 모바일 데이터 해제
3. 지인 경고:
· 연락처 지인들에게 스미싱 주의
· 자신의 이름으로 온 메시지 확인
· 대면/전화 직접 확인 권장
4. 금융 보호:
· 은행 OTP 즉시 재설정
· 카드사 이상 거래 확인
· 보안카드 변경
단기 대응:
1. 기기 초기화:
· 전체 백업 후 공장 초기화
· 새 기기로 이관 고려
· 앱 재설치 시 공식 스토어만
2. 계정 보안:
· 모든 비밀번호 변경
· 2FA 전면 활성화
· 로그인 기록 확인
3. 신고 접수:
· 경찰청 사이버수사대 (112)
· 한국인터넷진흥원 (118)
· 금융감독원 (1332)
· 해당 통신사
중기 대응:
1. 모니터링:
· 신용정보 조회 서비스 가입
· 은행 거래 내역 주간 확인
· 카드사 이상 알림 설정
2. 법적 준비:
· 피해 증빙 자료 수집
· 법률 상담
· 피해 신고서 작성
3. 심리 지원:
· 심리 상담 고려
· [피해자 정보 비공개] 참여
· 가족 지원
장기 대응:
1. 지속 모니터링:
· 월간 신용 조회
· 금융 거래 정기 감사
· 이상 거래 알림
2. 법적 절차:
· 형사 고소
· 민사 소송
· 피해 배상 청구
3. 예방 체계:
· 보안 교육 수강
· 정기 보안 점검
· 가족 구성원 교육
한국은 전 세계에서 가장 집중적인 사이버 공격을 받는 국가 중 하나:
· 연간 악성앱 탐지: 수백만 건
· 연간 스미싱 신고: 수십만 건
· 피해액: 수천억 원 규모
· 피해자: 수십만 명
1. 국가 지원 그룹:
· 북한 관련 APT
· 중국 관련 APT
· 러시아 관련 APT
2. 범죄 조직:
· 중국 기반 악성앱 개발
· 한국 내 운영 조직
· 글로벌 협력 네트워크
3. 개인 해커:
· 소규모 범죄
· 지속적 진화
· 학습 곡선
1. 정부:
· 국가정보원
· 국가사이버안보센터
· 과학기술정보통신부
· 방송통신위원회
2. 준정부:
· 한국인터넷진흥원 (KISA)
· 금융보안원
· 국가보안기술연구소
3. 민간:
· 통신사
· 금융기관
· 보안 기업
· ISP
1. 양자 협력:
· 한-미 사이버 대화
· 한-EU 사이버 협력
· 한-일 정보 공유
2. 다자 협력:
· ASEAN+3
· UN 사이버안보 그룹
· GCCS (Global Conference)
1. 행위 분석:
· 앱 행위 프로파일링
· 이상 탐지 (Anomaly Detection)
· 강화 학습 기반 대응
2. Natural Language Processing:
· 스미싱 SMS 분석
· 소셜 엔지니어링 탐지
· 다국어 지원
3. Computer Vision:
· 앱 UI 유사도 분석
· 피싱 페이지 탐지
· 스크린샷 자동 분류
1. Auto-Analysis Pipeline:
· APK 자동
본 보고서는 주식회사 아크링크 Deep-Coding 보안연구소가 피싱·몸캠피싱 피해자 구제를 목적으로 작성했습니다. 전체 열람·피해 상담: arklink.co.kr