黑产钓鱼窃密勒索 beleve.apk，HEUR:Trojan-Spy.AndroidOS.FakeApp.dx，火绒不报

3306-1

来源：https://www.52pojie.cn/thread-2127406-1-1.html
受害：傲娇君
抄送：@火绒工程师

受害者描述

1. 大佬 我这里也有一个病毒样本 看情况是和楼主同款换皮 同时也窃取了我的个人信息 目前已报警 无转账 没有损失 就是身份证号手机号包含通讯录和相册信息被窃取了

复制代码

下载来源
暂未提供

文件指纹
beleve.APK
大小: 21795531 字节 : 20 MiB
CRC32: 31EB8D7C
XXH64: 45B86F5C16BC035F
SHA256: 627ba348a3b768cb31ab6a4360a9cb81385c173fe5feccc34a380462da65afe0
SHA3-256: b661c17f65f68a743722c054645cde7cf991c1ec052e878fc7166e942b346ad7

应用信息
名称：beleve
加固：暂时未知
最低：安卓　６
目标：安卓１２
版本：13.14.03（1403）
打包：2026-09-13 13:53:50
包名：Xw0s5swkG.zU6r50f1b.Ii5995Ir
入口：Xw0s5swkG.zU6r50f1b.Ii5995Ir.main
签名：86117CAE8A4A93FF
签名：CN=U5LQy1789279503599, OU=7bN1789279503599, O=CR51789279503599, L=gfZNFvbdr4pVQxdn, ST=h2cq5myl0SzTaDCY, C=GB
权限：０１　android.permission,READ_SMS
　　　０２　android.permission.INTERNET
　　　０３　android.permission,READ_CALL_LOG
　　　０４　android,permission,READ_CONTACTS
　　　０５　android.permission,READ_PHONE_STATE
　　　０６　android.permission,QUERY_ALL_PACKAGES
　　　０７　android.permissiOn,ACCESS_FINE_LOCATION
　　　０８　android.permission.SYSTEM_ALERT_WINDOW
　　　０９　android.permission,ACCESS_NETWORK_STATE
　　　１０　android.permission,READ_EXTERNAL_STORAGE
　　　１１　android,permission,ACCESS_NOTIFICATION_POLICY
　　　１２　Xw0s5swkG.zU6r50f1b.li5995Ir.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-13 18:49 病毒库

2026/09/14 09:23:02
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-09-13 18:49
开始时间：2026-09-14 09:22
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：1
扫描文件：1
发现风险：0
已处理风险：0

卡巴病名

1. HEUR:Trojan-Spy.AndroidOS.FakeApp.dx

复制代码

图片外链

1. https://postimg[.]cc/PpBFj99x
   
2. https://i[.]postimg[.]cc/NFMh1wx1/zhe-feng-bi-zhi-fa-ji-bi-zhi-xing-gan-(1).jpg

复制代码

混淆脚本

1. http://18[.]181[.]167[.]194/index.js
   
2. 
   
3. 总体判定：这段脚本是一个高度混淆的恶意 JavaScript
   
4. 
   
5. 其核心目标是：对抗分析、动态执行隐藏代码、并通过无限递归和定时器操作制造浏览器端拒绝服务（DoS）
   
6. 
   
7. 它使用了反调试、字符串加密、控制流平坦化、动态代码执行等多种攻击技术
   
8. 属于 “ 恶意混淆脚本 / 浏览器 DoS / 恐吓软件 ” 威胁。
   
9. 即使不依赖外部载荷，它本身已足以让浏览器标签页崩溃或卡死。

复制代码

恶意后端

1. http://18[.]181[.]167[.]194/api.php

复制代码

拼接密钥

1. DCM4ERIaivoPsTYw
   
2. 
   
3. AES-128-ECB，Base64 编码输出

复制代码

提交参考

1. POST ，其他方式会４０５应答
   
2. 
   
3. data=9lhTNQC7kLX0JzZv2nEoogwJwZYnSBT8WouQY/8S6hc=&
   
4. bigtype=HRr/rsMoeUNZoEDYAXq+YQ==&
   
5. type=kRpz6WJtd0qgum4KdyteQw==&
   
6. a=5Wr5Mz9BSiYKdkTBq20NsFxXOp9Kc6I9QecVGvt7q0A=&
   
7. b=.....
   
8. c=.....
   
9. d=YspJEwxMKLeHqI5LnR02fQ==&
   
10. e=.....
    
11. f=.....
    
12. g=.....
    
13. h=YspJEwxMKLeHqI5LnR02fQ==

复制代码

应答参考

1. {
   
2.     "status": 200,
   
3.     "message": "提交成功"
   
4. }

复制代码

数据参考

1. data
   
2. AES（北京时间 yyyy-MM-dd HH:mm:ss）
   
3. 
   
4. bigtype
   
5. AES　２０１　首次上线
   
6. AES　２００　心跳数据
   
7. 
   
8. type
   
9. AES　１　心跳
   
10. AES　２　数据
    
11. AES　９　图片
    
12. 
    
13. a
    
14. AES（ANDROID_ID）
    
15. 
    
16. b
    
17. AES（厂商＋型号）
    
18. 
    
19. c
    
20. d
    
21. e
    
22. f
    
23. g
    
24. h
    
25. AES（“ 暂无数据 ”）等占位
    
26. 
    
27. file（multipart）
    
28. 压缩后的相册图片，filename=原文件名

复制代码

手段参考

1. WebView
   
2. 伪装成 " 国家反诈中心／工信部 " 官方界面
   
3. 诱导受害者输入身份信息，窃取后回传Ｃ２
   
4. 
   
5. 方法抽取加固
   
6. classes2 ~ 14.dex 方法体抽空，运行期 so 解密回填
   
7. 
   
8. 加密静态配置
   
9. assets/OrangeSuper 多层变换（hex + XOR + 位置算法 + 反转）
   
10. 
    
11. 字符串加密
    
12. 类内字符串以 `short[]` + 偏移异或存储，解密器散落混淆类
    
13. 
    
14. AES 通信加密
    
15. 全部上报参数 AES／ECB + Base64，密钥硬编码 16 字节
    
16. 
    
17. 服务器动态开关
    
18. 窃密类型／权限申请／钓鱼页面全部由 C2 实时下发（101=开）
    
19. 
    
20. 时间反沙箱
    
21. 服务器时间戳与本地偏差 > ~ 31.7 年即 `System.exit(0)`
    
22. 
    
23. 垃圾代码混淆
    
24. 大量 uselessXXX 方法 + 阿拉伯文 unicode 类名／方法名混淆
    
25. 
    
26. 伪装自毁
    
27. 上线完成后 5 秒退出，伪装成正常应用崩溃

复制代码

索引参考

1. /api.php 下发指令
   
2. 
   
3. | 索引 | 字段 | 含义 |
   
4. | --- | --- | --- |
   
5. | [0] | 时间戳（long） | 反沙箱时间校验|
   
6. | [1] | 字符串 | 类型配置 |
   
7. | [2] | `orm` | ==101 时申请 `READ_CONTACTS` |
   
8. | [3] | `orn` | ==101 时申请 `READ_SMS` |
   
9. | [4] | `oro` | ==101 时申请 `READ_EXTERNAL_STORAGE` |
   
10. | [5] | `orp` | ==101 时申请 `ACCESS_NOTIFICATION_POLICY` |
    
11. | [6] | `orq` | ==101 时申请 `ACCESS_FINE_LOCATION` |
    
12. | [7] | `orr` | ==101 时申请 `READ_CALL_LOG` |
    
13. | [21] | `ors` | ==101 时申请 `QUERY_ALL_PACKAGES` |
    
14. | [15] | `ore` | **钓鱼页面 URL1**（含伪装文本则采用） |
    
15. | [16] | `orf` | **钓鱼页面 URL2** |
    
16. | [17] | `org` | 备用 URL |
    
17. | [18] | `ori` | 整数配置 |
    
18. | [19]／[20] | 字符串 | 配置 |
    
19. | [22] | `orl` | 字符串配置（行为分支判断） |
    
20. | [23]／[24] | 整数 | **窃密模式开关**（决定 main$1$5~$8 分支线程） |
    
21. | [11]-[14] | 整数／字符串 | 其他配置 |

复制代码

恶意后端
https://s.threatbook.com/report/url/4cd365f8924280c108283925d099b853

混淆脚本
https://s.threatbook.com/report/url/3f45b6b39d949c4024deb20e3c864458

样本情况
https://ata.360.net/report/866460864296960
https://virusscan.jotti.org/zh-CN/filescanjob/n1drt1l0xq
https://tix.qq.com/search/single?keyword=c1e85b71f94363f62506f0459c970666
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzUzMTIyZHNmYXNkZmFzZGY=/
https://sandbox.dbappsecurity.com.cn/report/9a29ad19-a501-46ed-a6dc-349a2600cf60/flat
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaCdWaN0mTITNisARE60
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=c1e85b71f94363f62506f0459c970666
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=c1e85b71f94363f62506f0459c970666
https://metadefender.com/results/file/bzI2MDkxNEUxY2RpSTZzalpvVWNISVk2WGtE_mdaas/overview
https://www.virscan.org/report/627ba348a3b768cb31ab6a4360a9cb81385c173fe5feccc34a380462da65afe0
https://www.virustotal.com/gui/file/627ba348a3b768cb31ab6a4360a9cb81385c173fe5feccc34a380462da65afe0
https://s.threatbook.com/report/file/627ba348a3b768cb31ab6a4360a9cb81385c173fe5feccc34a380462da65afe0
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=47b57a40048c4efb2e0f6e2763d83f76&sk=73523161
https://opentip.kaspersky.com/627BA348A3B768CB31AB6A4360A9CB81385C173FE5FECCC34A380462DA65AFE0/results?tab=upload

样本（受害提供）
提取码：hxbx，解压码：无

1. https://pan.baidu.com/s/1WQM-ElFq1ou365eNH1l1ow?pwd=hxbx

复制代码

莒县小哥

c199529

腾讯电脑管家18

心醉咖啡

360扫描miss

Picca

三星平板显示安全。kuso，我要装卡巴

3306-1

Picca 发表于 2026-9-15 19:38
三星平板显示安全。kuso，我要装卡巴

可能仅哈希／签名拉黑？哈签不黑就安全，手机上很少有自带真类ＰＣ杀毒软件简易版
并且安全插槽也不可更换可信安全厂商，几乎没市场竞争，所以无法仅靠自带参考安全

而目前观摩样本，轮换签名和哈希，黑产跑得比拉黑快
如果仅靠哈签自带跑不赢，也有可能本地自带病毒库旧

Picca

3306-1 发表于 2026-9-15 19:43
可能仅哈希／签名拉黑？哈签不黑就安全，手机上很少有自带真类ＰＣ杀毒软件简易版
并且安全插槽也不可更 ...

我是小白，没太懂你的意思。

但是现在手机自带的安全管家，基本都标配了杀毒软件吧。我的使用情况，以前的小米是自带有本地引擎的手机版杀毒软件的（安天和腾讯）。所以我认为纯粹就是三星拉胯

Picca

3306-1 发表于 2026-9-15 19:43
可能仅哈希／签名拉黑？哈签不黑就安全，手机上很少有自带真类ＰＣ杀毒软件简易版
并且安全插槽也不可更 ...

刚刚的第一版回复没看懂，现在懂了。确实是云拉黑会牺牲一批小白鼠，但是我测的时候VT是这样的
所以我认为就是三星或者它使用的安软云不行。

一只小白泽

avast