恶意apk Mqadd App 深度分析

v2 深度验证版 · 同源新包

采集: 2026-08-02 23:30 ~ 2026-08-03 18:50 (HKT)

恶意apk入口: 二维码 → ztvlzjbkn.bgudw.com/TOizCSn8XjeQfpgl

一、样本信息(两版 APK,18 小时内更新)[实测]

项	v1 (08-02 23:51)	v2 (08-03 18:38)
应用名	��☜ т乇ℝŘᶎ	☞ Ѷ��
包名	singansfg.pbiruhdntr.onghjs	singansfg.ijeywtgunr.onghjs
大小	101,568,384 B	100,912,827 B
SHA-256	f7ea8be9e59f7e1aa8...ecde5	27f30b7c782ed61a05...ef1d3
版本	1.0.0 (172) · minSdk21/target28	1.0.0
签名	v1 自签 CN=localhost (08-02 签发)	(待提取,同流水线)
业务后端	m.bjz.com/cailiao.im/106.13.253.x 等	与 v1 完全一致 [实测对比]

类型: Telegram fork 即时通讯(5×.attheme + PhoneFormats.dat + OCR 模型)+ 阿里 DingRTC 视频通话(libDingRtc.so 35MB)。权限 61 项含 CAMERA/RECORD_AUDIO/READ_PHONE_STATE/CALL_PHONE。

二、分发链(本次实测)

环节	地址	状态
二维码入口	ztvlzjbkn.bgudw.com/TOizCSn8XjeQfpgl(随机子域+token)	✅
落地页	React/Vite SPA 下载器(main.js 1.2MB 混淆)	✅
分发API	clientapi/app/getinfo?appid=2ajmy4(返回 name/downloadKey/bid)	✅
APK直链	d2c0m019cztb9d.cloudfront.net/private/apk/<hash>.apk?auth_key=...	✅
WebClip	ndq3zta0n.bgudw.com/2ajmy4(同一SPA)	✅
iOS描述文件	/publicres/res/jump.mobileprovision	✅
UDID采集	1e6r.wcmdm1010.com:8001/mapi/sendudid?appid=2ajmy4	❌ NXDOMAIN

CDN: 入口网宿 GCCDN(wsall.bgudw.com.gccdn.net)+ APK 走 AWS CloudFront/S3(新加坡);DNS 托管 dnspod。

三、后台/后端地址(APK 硬编码)[反编译+实测]

模块	地址	归属	状态
FC 主 API	https://106.13.253.35/	北京百度 AS38365 ⭐修正	❌
小程序 API	https://106.13.253.90/	北京百度 AS38365 ⭐修正	❌
直播/游戏	live.cailiao.im / game.cailiao.im	—	❌ NXDOMAIN
环汇支付	wealthextend.huanhuit.com	—	❌
媒体存储	impyq.gz.bcebos.com	百度 BOS	✅ 桶存活
OSS配置	*.segruy1861egrd.com:31861	SonderCloud 香港反代	❌ 端口关
自建DoH	d184iw71cp39st / d2i9lxb8vumcvd.cloudfront.net	AWS CloudFront	✅ 在线
自建DoT	43.198.114.85:1153	AWS EC2 香港	✅ 实锤

四、IP 清单(APK 实际请求,归属已复核)[实测]

IP	归属(ASN)	用途
106.13.253.35 / .90	北京百度 AS38365 ⭐修正	业务后端(已下线)
43.198.114.85	AWS EC2 ap-east-1 香港(hostname 实锤)	团伙自建 DoT :1153
38.190.225.240-242	SonderCloud 香港 AS133199 ⭐修正	OSS 反代 zg.wr2b1wwjjr5a.com
3.171.179.152/134 · 13.225.106.146/187	AWS CloudFront	团伙自建 DoH ×2
13.32.253.224/37	AWS CloudFront	APK 分发
106.122.253.116 · 120.39.210.51 · 121.29.54.x · 61.163.234.x	网宿 CDN	分发页/落地页
192.168.1.4:20000 · 192.200.1.242:1999 · 192.168.31.38:8080	内网	测试环境泄露
203.107.1.1 · 203.119.238.240 · 106.11.25.239 · 59.82.99.47	阿里云 HTTPDNS	DingRTC SDK 内置

五、接口清单(分类)

**5.1 分发平台(clientapi/app/*)[反编译+实测]**

接口	用途
getinfo	App 信息/版本/downloadKey 下发
apkurl	Android APK 直链(CDN 签名 URL)
udidconfig	iOS UDID/IMEI/ICCID 采集描述文件
webclip	WebClip 落地页/随机子域
checkinstall / checkcommand	安装回传 / 服务端命令下发轮询
checkdcode / inhouse / md / ihudid	邀请码 / 企业内测 / 签名 / iOS UDID

5.2 App 业务(com.bjz.comm.net.api)[反编译]

接口	用途
forumsvc/recommend\|selfmain\|othermain\|add\|report/add	交友动态流(主信息流)
tokensvc/get · commentsvc · followsvc · thumbsvc · topicsvc	登录/评论/关注/点赞/话题
basesvc/uploadurl · pub/upload · basesvc/user/*	媒体上传/用户资料
v1/public/gameList · app/check	小游戏/版本检查

六、硬编码凭证[反编译,旧比对]

Telegram APP_ID / HASH	30915 / fb9f0bb7fdd0760c354cc3d80cecb1d9(与旧案一致 ✅)
AES 业务密钥	Wu^tdJ92hFBqb7kz / iv 0392039203920300
AES 云层密钥	2018201820182018 / iv 1234567887654321(与旧案一致 ✅)
DoH / DoT 密钥	2Xfh9wHOyXMPb5Th+GyVqLZYgo8HGdwl1 / xB5bh6gkckFAvucj+Jhh9KeRYSrq389Vd
平台下载Key	1785753484_bc88e2af7b260d8a88da4868898e3a8c(18h 内刷新)
iOS Team/App ID	ZN438TT4S3 / ZN438TT4S3.com.elearningnew.vinwash(伪装 elearning)
iOS Bundle ID	malia.asjhgd.damali11
OpenInstall appKey	aa717156fa6e34325d3d4a7004a6647a(m12345.cc/install.html)

七、反分析/反取证机制[反编译]

机制	详情
模拟器自杀	EmulatorCheckService(com.snail.antifake)→kill()/System.exit(0)
root/设备检测	libcheckroot.so + libemulator_check.so + libproperty_get.so;DISABLE_EMULATOR_INSTALL=true
防证据	APP_ALLOW_SAVE_VIDEO=false;SHIELD_DELETE_CONTACT/MESSAGE/EDIT_MESSAGE/ONLINE_STATUE_SET 全开
加密信道	isEncryption=true;自建 DoH(CloudFront ×2)+ DoT(AWS EC2 :1153)
保活/监控	DaemonService/ScheduleService/AppStartReceiver/MonitorReceiver/AndroidScreenCapService
OSS 轮换	md5("BW-1861-"+时间).segruy1861egrd.com:31861(旧案 BW-755-)

八、平台活跃度证据[实测]

1. 2026-08-02 23:07 webclip lastUpdateTime;注册商记录 2026-08-02 更新 bgudw.com → 分发平台运营中。

2. 18 小时内 App 更新: v1(��☜ т乇ℝŘᶎ)→ v2(☞ Ѷ��),包名中段随机化,downloadKey 刷新,APK 哈希全变。

3. 域名注册活跃: hbkjznnlgj.com(08-01)、segruy1861egrd.com(07-30)刚注册即投入使用。

4. appid 枚举(2ajmy4 ±30): 仅 1 个有效 App,appid 稀疏随机;同平台更多 App 需扩大枚举。

九、研判建议

1. 同团伙确认(9 项铁证): 包名前缀 singansfg.*、Telegram 凭证、AES 云层密钥、后端域名家族、iOS App ID/Team ID、Bundle ID 模板、UDID 采集端、clientapi 平台模板

2. Apple 优先: 吊销 Team ZN438TT4S3 企业证书(App ID ZN438TT4S3.com.elearningnew.vinwash,2026-12-06 到期,当前有效;同证书已服务 ≥2 个诈骗 App)。

3. AWS 全家桶举报: CloudFront ×3(APK 分发 + DoH ×2)+ EC2 43.198.114.85(DoT)+ Amazon Registrar 域名 segruy1861egrd.com。

4. 监控配置域: 定时探测 *.segruy1861egrd.com:31861(公式已还原),复活 = 团伙换新后端,可 cron 自动报警。

5. 动态分析需先绕反模拟器(EmulatorCheckService 自杀);建议雷电模拟器关检测入口或真机隔离环境,验证通讯录/短信上传。

6. 目标市场含越南(SYSTEM_NAME 越南语);红包/充提(MAX_REDPKT=10000)