黑产钓鱼窃密勒索 WyMfSDIFjJ.apk，HEUR:Trojan-Spy.AndroidOS.Agent.awv，火绒不报

3306-1

来源：https://www.52pojie.cn/thread-2127406-1-1.html
受害：Memento
抄送：@火绒工程师

受害者描述

1. 太相信 vivo 的隐私空间了，我不知道它怎么能够访问主系统的相册
   
2. 不过我开权限的时候还打开了所谓的空白信息授权，不知道有没有作用
   
3. 害怕家人因此受到威胁，希望大佬不要吝啬技术帮帮我

复制代码

1. 猫与受害者聊天片段（已脱敏）
   
2. 
   
3. 猫 00:32
   
4. 隐私截图若干
   
5. 隐私截图若干
   
6. 隐私截图若干
   
7. 
   
8. 猫 00:32
   
9. 以上是你个人泄路的隐私资料以及通讯录资料，以及你手机中了我们公司的木马病毒，我们在境外就是涂点小钱，不想搞你与你无冤无仇的，是你自己处理还是我给你曝光出去找你家人 亲戚 朋友 同事帮你众筹处理你这个【隐私事件描述】的事情啊，要自己处理接语音协商处理!!!
   
10. 
    
11. 猫 00:32
    
12. 和你无冤无仇、我也不想搞到你身败名裂、连人都做不了、我们在境外无非就图点小钱、钱给了东西让你看着删除
    
13. 
    
14. 猫 00:33
    
15. 怎么说
    
16. 
    
17. 猫 00:33
    
18. 自己私下解决
    
19. 
    
20. 猫 00:33
    
21. 还是我现在直接三更半夜的开始搞你
    
22. 
    
23. 猫 00:34
    
24. 回答我
    
25. 
    
26. 猫 00:34
    
27. 问候家人的恶臭脏话
    
28. 
    
29. 猫 00:34
    
30. 说话

复制代码

1. 猫向受害者展示的已窃取资产信息（已脱敏）
   
2. 
   
3. 时间
   
4. 2026-09-11 00:29:34
   
5. 
   
6. 品牌
   
7. 某蓝厂
   
8. 
   
9. 机型
   
10. Ｖ２４０５Ａ
    
11. 
    
12. 手机号
    
13. ｘｘｘ　ｘｘｘｘ　ｘｘｘｘ
    
14. 
    
15. 邀请码
    
16. ５５７　７４６
    
17. 
    
18. ＩＰ
    
19. ｘｘｘ　ｘｘｘｘ　ｘｘｘｘ
    
20. 
    
21. 位置
    
22. ｘｘｘ　ｘｘｘｘ　ｘｘｘｘ
    
23. 
    
24. 定位
    
25. 获取失败，原因：定位总开关未授权或未打开
    
26. 
    
27. 通讯录
    
28. ｘｘ条
    
29. 
    
30. 短　信
    
31. ｘｘ条
    
32. 
    
33. 通　话
    
34. ｘｘ条
    
35. 
    
36. 图　片
    
37. ｘｘ份
    
38. 
    
39. 备注信息
    
40. 待添加／待编辑

复制代码

下载来源
未提供

窃密后端
待挖掘

邮件地址
域　名　vcnpdf[.]com
状　态　未注册

文件指纹
WyMfSDIFjJ.apk
大小: 24492145 字节 : 23 MiB
CRC32: 2F929AAF
CRC64: C9EB7E15A9ECABC5
XXH64: F75C953319022960
SHA256: 6eff8f1cdb5b890f3bd168c68c909894c23869a1b4f49ec696ccc131274e7dcb
SHA3-256: 1e46f4c1cd074921dfe80eda68a7030ba2b5e41072a51b5a91959c24ad81666c

应用信息
名称：密圈
加固：３６０
最低：安卓　７
目标：安卓１３
版本：1.0.0（1）
包名：com.pqc.wpucmc
打包：2026-09-11 01:01:42
入口：com.pqc.wpucmc.MainActivity
签名：E9F7687DF04EECE875A4C9038DC54B19878EF4D1
签名：EMAILADDRESS=H5H7K@VCNPDF[.]com, C=SM, ST=GMSDSGEA, L=MX46SLFK, O=PS4WS7DLVA, OU=WNNDUZ7B, CN=TD99TF
权限：０１　android.permission.INTERNET
　　　０２　android.permission,READ_SMS
　　　０３　android,permission,RECEIVE_SMS
　　　０４　android.permission.GET_ACCOUNTS
　　　０５　android,permission,READ_CALL_LOG
　　　０６　android,permission,READ_CONTACTS
　　　０７　android,permission,WRITE_CALL_LOG
　　　０８　android.permission,WRITE_CONTACTS
　　　０９　android.permission,READ_PHONE_STATE
　　　１０　android.permission,READ_MEDIA_VIDEO
　　　１１　android,permission,READ_MEDIA_IMAGES
　　　１２　android.permission.READ_PHONE_NUMBERS
　　　１３　android.permission,ACCESS_FINE_LOCATION
　　　１４　android.permission.ACCESS_NETWORK_STATE
　　　１５　android.permission,READ_EXTERNAL_STORAGE
　　　１６　android.permission.WRITE_EXTERNAL_STORAGE
　　　１７　android.permission.ACCESS_COARSE_LOCATION
　　　１８　com.pqc.wpucmc.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-10 19:41 病毒库

2026/09/11 09:42:16
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-09-10 19:41
开始时间：2026-09-11 09:42
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:06
扫描对象：628
扫描文件：1
发现风险：0
已处理风险：0

卡巴病名

1. HEUR:Trojan-Spy.AndroidOS.Agent.awv

复制代码

恶意结构

1. package:data_collector/            ← 恶意主包（名称即暴露用途：数据采集器）
   
2. ├── main.dart / app.dart`\
   
3. ├── config/lang.dart               ← 多语言钓鱼文案（英/葡/西…）
   
4. ├── pages/`\
   
5. │   ├── login_page.dart            ← 钓鱼登录页（手机号+邀请码）
   
6. │   └── background_page.dart       ← 后台驻留页（静默运行）
   
7. ├── plugins/`\
   
8. │   ├── sms_plugin.dart            ← 短信读取
   
9. │   ├── contacts_plugin.dart       ← 通讯录读取
   
10. │   ├── call_log_plugin.dart       ← 通话记录读取
    
11. │   └── number_plugin.dart         ← 号码/设备号
    
12. └── services/`\
    
13.     ├── api_service.dart           ← 网络请求（Dio）
    
14.     ├── auth_service.dart          ← 注册/认证（手机号上报）
    
15.     ├── config_service.dart        ← C2 配置下发（换皮素材）
    
16.     ├── collector/`\
    
17.     │   ├── sms_collector.dart     ← 短信采集器
    
18.     │   ├── contact_collector.dart ← 通讯录采集器
    
19.     │   ├── call_collector.dart    ← 通话记录采集器
    
20.     │   ├── device_collector.dart  ← 设备信息采集器
    
21.     │   ├── location_collector.dart← 定位采集器
    
22.     │   └── photo_collector.dart   ← 相册照片采集器
    
23.     ├── upload_service.dart        ← 上传服务（6 类数据上传）
    
24.     └── error_report_service.dart  ← 错误/日志上报

复制代码

链路简述

1. 分发
   
2. 以「密圈」社交 App 名义诱导安装（黑产自签证书、仅 1 年有效期，批量换签）；
   
3. 
   
4. 钓鱼登录
   
5. 启动进入 login_page，要求输入
   
6. **手机号（phone=）和邀请码（inviteCode=）**（裂变代{过}{滤}理体系）；
   
7. 后台调用 AUTH 接口注册，日志 `[AUTH] Registering phone=`；
   
8. 
   
9. 诱导授权
   
10. 内置多语言权限引导文案（英语/葡萄牙语/西班牙语）
    
11. 并弹出隐私指引对话框（privacy guide）
    
12. 引导受害者授予通讯录、短信、通话记录、定位、照片等全量权限；
    
13. 
    
14. 换皮下发
    
15. CONFIG 接口下发 loginBg=、afterLoginBg= 等配置（登录前/后背景图 URL）
    
16. **钓鱼界面素材全部服务端动态控制**，可随时换皮逃避检测；
    
17. 
    
18. 静默采集
    
19. 授权后转入 background_page 驻留，6 个采集器并行工作：
    
20. 短信采集（含验证码）、通讯录、通话记录、设备信息（IMEI / SIM 号 / 机型等，含 simNumber= 参数）
    
21. 实时定位（locationstream 连续上报）、相册照片（photo_manager，分块 / 流式上传）；
    
22. 
    
23. 压缩加密回传
    
24. 本地 sqflite 暂存（cacheObject 表、touched DESC 排序）→ gzip 压缩（\_compressAndUpload）→ multipart / FormData 上传至 C2；
    
25. 
    
26. 错误兜底
    
27. error_report_service 将异常 / 失败日志一并上报 C2，便于黑产维护。

复制代码

窃密端点

1. ### C2 服务器（唯一，无备用）
   
2. 
   
3. `http://103[.]228[.]64[.]150        ← 唯一 C2，明文 HTTP`
   
4. 
   
5. 二进制中仅此一个 IP / 域名（其余均为 SDK 自带域名），无备用域、无 DNS 层隐藏 —— 单点 C2。
   
6. 
   
7. ### 硬编码 API 路径（共 9 条，/s/随机三段式）
   
8. 
   
9. | 路径 | 用途（日志佐证） |
   
10. | --- | --- |
    
11. | `/s/qb16jb/l1jrxodp/htxzq8o846` | **AUTH 认证 / 注册**（`[AUTH] URL=/s/qb16jb/...`） |
    
12. | `/s/yc2b4v/yu8c6vmq/ksk74g362h` | **CONFIG 配置下发**（`[CONFIG] Fetching config from /s/yc2b4v/...`） |
    
13. | `/s/1yshe5/vkxjz45i/2hyv9rgymt` | 数据上传通道 |
    
14. | `/s/ac0yci/inmxv1ax/1o70lqn83z` | 数据上传通道 |
    
15. | `/s/dhe4wk/7qev4ukj/tmtnqihcg2` | 数据上传通道 |
    
16. | `/s/erlog1/kx9m2vfq/7zt4wp8e3j` | 数据上传通道 |
    
17. | `/s/uy6qd4/urqraqxc/tdm7d6ky9w` | 数据上传通道 |
    
18. | `/s/zufrnc/wi71ztmt/6c629lxrkf` | 数据上传通道 |
    
19. | `/s/zvftch/wy68cf2y/w7vkow5706` | 数据上传通道 |
    
20. 
    
21. > 7 条数据通道对应 6 类采集数据 + 错误上报；路径为随机生成的不可读 ID
    
22. **静态隐蔽 + 防封禁**（C2 被封后换新包即可）。路径非 base64，无业务语义。
    
23. 
    
24. ### 参数与请求特征
    
25. 
    
26. | 参数/特征 | 值 | 用途 |
    
27. | --- | --- | --- |
    
28. | `phone=` | 受害者手机号 | AUTH 注册主体参数 |
    
29. | `inviteCode=` | 邀请码 | 裂变/代{过}{滤}理体系标识 |
    
30. | `code=` | 错误码/验证码 | 登录失败码、验证码 |
    
31. | `simNumber=` | SIM 卡号 | 设备采集字段 |
    
32. | `token=` | 会话令牌 | 认证后鉴权（get:isAuthenticated / \_token） |
    
33. | `loginBg=` / `afterLoginBg=` | 背景图 URL | 服务端下发钓鱼界面素材 |
    
34. | HTTP 层 | Dio + FormData(multipart)、--dio-boundary、filename= | 文件/数据上传 |
    
35. | 传输前 | **gzip 压缩**（\_compressAndUpload） | 压缩回传 |
    
36. | 本地暂存 | sqflite（cacheObject 表，按 touched DESC 取数） | 断点续传/排队 |
    
37. 
    
38. ### 加密对抗（上传数据保护）
    
39. 
    
40. - 加密算法栈（pointycastle）：AES（CBC/ECB/GCM/CTR/CCM）、ChaCha20-Poly1305、PBKDF2、HMAC、Keccak/SHA3、RSA、ECDSA；
    
41. 
    
42. - 二进制内硬编码 **secp256k1 曲线参数**（P=ffff...fefffffc2f、Gx=036b17d1...d898c296，即比特币签名曲线）
    
43. —— 疑似 ECDH 密钥交换或 ECDSA 签名鉴权，回传数据走非对称 / 混合加密；
    
44. 
    
45. - 硬编码 64 字节密钥（前 32 字节固定，疑似多版本会话密钥 / 派生盐）：
    
46.   - `aadd ..... 48f0`
    
47.   - `aadd ..... 0069`
    
48.   - `7830 ..... 94ca`
    
49.   - `3df9 ...... f723`

复制代码

技术特征

1. 加固
   
2. 爱加密企业版；
   
3. classes.dex 尾部附加约 4MB 加密原始 dex（爱加密标准壳结构）
   
4. assets 含 jiagu_config（key=eUMztciFm4pXFTuS0vXcyZ4kRbGq74ga / salt=PgnWJ7SZnKd4Wg6f）与 libjiagu.so×4 ABI；
   
5. 
   
6. Flutter 运行时
   
7. 仅 arm64-v8a 附带完整 libflutter.so/libapp.so
   
8. （32 位只有壳 so，2026 年主流设备不受影响）；
   
9. 
   
10. WebView
    
11. 集成 webview_flutter（可能用于加载钓鱼 H5 页面）；
    
12. 
    
13. 无内置钓鱼页面资产
    
14. AssetManifest 仅 fluttertoast，文案  / 背景全由 CONFIG 动态下发；
    
15. 
    
16. 多语言
    
17. 内置英语 / 葡语 / 西语授权引导
    
18. + 中文应用名「密圈」；
    
19. 
    
20. 数据本地化
    
21. sqflite 数据库（cacheObject 缓存表）
    
22. + shared_preferences（datastore）

复制代码

情报指标

1. C2 IP
   
2. 103[.]228[.]64[.]150
   
3. 
   
4. C2 URL
   
5. http://103[.]228[.]64[.]150
   
6. 
   
7. AUTH 端点
   
8. http://103[.]228[.]64[.]150/s/qb16jb/l1jrxodp/htxzq8o846
   
9. 
   
10. CONFIG 端点
    
11. http://103[.]228[.]64[.]150/s/yc2b4v/yu8c6vmq/ksk74g362h
    
12. 
    
13. 数据上传端点×7
    
14. http://103[.]228[.]64[.]150/s/ 等
    
15. 
    
16. app_id
    
17. ZNN2hVH0wcOhEGD6
    
18. 
    
19. channel
    
20. channel_3To5dhtA
    
21. 
    
22. 加固
    
23. 爱加密（com.frezrik.jiagu.StubApp）
    
24. 
    
25. 内置密钥
    
26. aadd ..... 48f0 等
    
27. 
    
28. 构建时间
    
29. 2026-09-11 01:01:03（UTC+8）

复制代码

样本情况
https://ata.360.net/report/865418394246144
https://virusscan.jotti.org/zh-CN/filescanjob/6wphmt9c4c
https://tix.qq.com/search/single?keyword=a8f7b3f6f78f3219d6d4b5defd97a445
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaCOO3IwV2qt4aPsabhZ
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=a8f7b3f6f78f3219d6d4b5defd97a445
https://sandbox.dbappsecurity.com.cn/analysis/edf4fbc5-2465-46b9-8012-a5b50cf0f1aa/1/flat
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=a8f7b3f6f78f3219d6d4b5defd97a445
https://metadefender.com/results/file/bzI2MDkxMURUanE3U0JVTGE3bHA4bFlNRlE5_mdaas/overview
https://www.virscan.org/report/6eff8f1cdb5b890f3bd168c68c909894c23869a1b4f49ec696ccc131274e7dcb
https://www.virustotal.com/gui/file/6eff8f1cdb5b890f3bd168c68c909894c23869a1b4f49ec696ccc131274e7dcb
https://s.threatbook.com/report/file/6eff8f1cdb5b890f3bd168c68c909894c23869a1b4f49ec696ccc131274e7dcb
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=e72938b0770af170b7509e0729b0f28d&sk=69511389
https://opentip.kaspersky.com/6EFF8F1CDB5B890F3BD168C68C909894C23869A1B4F49EC696CCC131274E7DCB/results?tab=upload

样本（受害提供）
提取码：ml41，解压码：无

1. https://pan.baidu.com/s/19d5C7d1YozovwOkOy7HyjQ?pwd=ml41

复制代码

吃瓜群众第123位

趋势科技云端版 miss

一只小白泽

avast 扫描杀

心醉咖啡

360

c199529

腾讯电脑管家18