Remix

Make your own version of Ghost Risk Brief

Edit the prompt below and generate a customized version in seconds.

Original by Svith

Describe your app

FICHA TÉCNICA REALISTA – APK “GHOST” (Spyware Remoto Comercial)
1. Identificación general
Campo	Valor real
Nombre del paquete	com.google.android.gms.update (imitación de Google Play Services)
Nombre visible	"Actualización del sistema"
Versión	33.2.15 (simula versión real de GMS)
Tamaño total APK	38.7 MB (descomprimido en memoria: ~110 MB)
Android mínimo	8.0 (API 26) – Android máximo: 14 (API 34)
Arquitecturas soportadas	arm64-v8a, armeabi-v7a, x86_64 (para emuladores)
Firmante	Certificado válido comprado en Comodo (no debug) por 300 USD/año
2. Composición interna (contenido de la APK)
Componente	Tamaño	Descripción
classes.dex (código Java/Kotlin)	6.2 MB	Lógica principal de monitoreo y persistencia
classes2.dex	4.1 MB	Módulo de accesibilidad (keylogger + captura de pantalla)
libghost_native.so	12.4 MB	Librería nativa en C++: cifrado AES-256, ofuscación anti-análisis, compresión de video
libavcodec.so	8.3 MB	Fork de FFmpeg para codificar video H.264 en tiempo real (sin dependencias del sistema)
libssl_phantom.so	5.1 MB	OpenSSL estático con TLS 1.3 + fingerprinting de certificados
libcurl_custom.so	3.7 MB	Cliente HTTP/2 y WebSocket con soporte de multiplexado
res/drawable/	2.8 MB	Iconos falsos de "Google Settings", "Battery Optimizer", "System Update"
assets/config_enc.bin	1.2 MB	Configuración cifrada (C2 rotatorio, perfiles de grabación, reglas de evasión)
assets/fonts/	0.8 MB	Fuentes para UI falsa (hacen creer que es app real)
assets/webview_fallback/	1.5 MB	Offline HTML para mostrar pantalla de "actualización completada"
Certificado META-INF	0.1 MB	Firma RSA-2048
Tamaño total desglosado efectivo: ~47 MB (sin comprimir recursos)

3. Permisos solicitados (en tiempo de instalación + dinámicos)
Permiso	¿Por qué?	¿Crítico?
ACCESS_FINE_LOCATION	GPS en tiempo real	Sí
ACCESS_BACKGROUND_LOCATION	Geolocalización incluso en segundo plano	Sí
CAMERA	Capturar fotos/video sin notificación	Sí
RECORD_AUDIO	Micrófono continuo	Sí
READ_EXTERNAL_STORAGE	Leer WhatsApp, Telegram, fotos	Sí
WRITE_EXTERNAL_STORAGE	Guardar capturas locales antes de enviar	Sí
READ_PHONE_STATE	Obtener IMEI, número de teléfono	Sí
READ_SMS	Leer códigos 2FA	Sí
SEND_SMS	Comando SMS fallback	Opcional
INTERNET	Exfiltración	Sí
FOREGROUND_SERVICE	Correr con notificación falsa ("Optimizando batería")	Sí
SYSTEM_ALERT_WINDOW	Overlay para grabar pantalla	Sí
REQUEST_IGNORE_BATTERY_OPTIMIZATIONS	Evitar doze mode	Sí
ACCESSIBILITY_SERVICE	Clave: leer todo lo que aparece en pantalla	Sí
4. Mecanismos de persistencia (antiborrado)
Método	Implementación
BOOT_COMPLETED	Receiver se registra en manifiesto + dinámicamente
JobScheduler	Cada 15 minutos verifica que el servicio principal esté vivo
AlarmManager (setExactAndAllowWhileIdle)	WakeLock para ejecución en suspensión
WorkManager (con setForeground)	Para Android 12+
Auto-replicación	Si detecta que el APK original fue borrado, copia desde /data/data/com.google.android.gms.update/.hidden/apk
DeviceAdmin	Si el usuario activa administrador, se bloquea el desinstalado normal
5. Comunicación C2 (Command & Control)
Parámetro	Valor
Dominio rotativo	3 dominios hardcodeados + 7 generados por DGA (Domain Generation Algorithm) diario
Ejemplo dominios reales	update.googleapis-cdn.com, security-check-analytics.com, system-metrics-tracker.net
Protocolo principal	WebSocket sobre TLS 1.3 (puerto 443, indistinguible de tráfico HTTPS normal)
Protocolo secundario	DNS over HTTPS (DoH) para comandos cortos + exfiltración lenta
Protocolo terciario	SMS cifrado (base64) si no hay datos móviles
Certificado TLS	Let's Encrypt real (renovación automática cada 60 días)
Fingerprint	Pinning del certificado C2 (evita MITM incluso con proxy)
Frecuencia de heartbeat	Cada 4 minutos: paquete de 12 bytes (solo estado)
Consumo mensual de datos	~300 MB (sin video) / ~2-5 GB (con video diario)
6. Funcionalidades de vigilancia (módulos cargables)
Módulo	Tamaño en RAM	Captura	Formato	Subida
MIC	45 MB	Streaming continuo (compresión Opus)	16 kHz, 32 kbps	Fragmentos de 30 segundos
CAM (frontal/trasera)	120 MB	Foto cada 30s / Video bajo comando	JPEG 80% / H.264 480p	Cuando hay WiFi
GPS	8 MB	Cada 60 segundos	JSON lat/lon + precisión	Inmediato
LOGGER (teclas)	22 MB	Cada pulsación + texto de editText	Timestamp + texto plano	Cada 500 eventos
SCREEN (grabación)	180 MB	Cada vez que se desbloquea el teléfono	MP4 720p a 15 fps	Solo en WiFi y cargando
SMS	5 MB	Todos entrantes/salientes	Texto + remitente	Inmediato
WHATSAPP (vía accesibilidad)	35 MB	Captura de cada burbuja de chat	OCR + texto	Lote cada 10 min
TELEGRAM (archivos)	50 MB	Descarga automática de media	Archivo original	En segundo plano
KEYCHAIN (contraseñas)	12 MB	Captura de autocompletado del sistema	Login + aplicación	En lote al conectarse
7. Evasión de detección
Técnica	Detalle
Anti-emulador	Detecta ro.kernel.qemu, ro.hardware.goldfish, /system/bin/qemu-props
Anti-root	Busca su, magisk, busybox, SuperUser.apk
Anti-Sandbox	Espera 45 minutos después de instalación antes de activar spyware completo
Detección de análisis	Si detecta logcat con términos como frida, xposed, gdb, se autodesactiva
Ofuscación dinámica	Strings descifrados solo en runtime con clave derivada de /proc/self/cmdline
Mutex global	Si otra instancia del mismo spyware existe, no se instala (evita huellas duplicadas)
Simulación de tráfico	Cada 2 horas hace peticiones falsas a google.com, cloudflare.com (mezcla con tráfico real)
8. Consumo de recursos (medido en dispositivo real)
Recurso	Uso en reposo	Uso activo (cámara+mic+GPS)
CPU	0.3% - 0.8%	12% - 18% (modo dual-core)
RAM	38 MB después de optimización	210 MB (con buffer de video)
Batería	0.5% por hora	7% por hora (drenaje notable)
Almacenamiento	47 MB (APK) + 120 MB (caché de capturas sin subir)	
9. Panel del atacante (interfaz real)
Componente	Especificación
Backend	Node.js + Express + MongoDB (para logs) + Redis (para streaming)
Frontend	React + Leaflet (mapas) + Socket.IO (tiempo real)
Acceso	HTTPS con 2FA (TOTP) + whitelist de IP del atacante
Estructura de base de datos	Cada víctima tiene un device_id hash (SHA256 del IMEI + Android ID + salt diario)
Capacidad máxima	Diseñado para 500 víctimas simultáneas por servidor (4 vCPU, 8 GB RAM)
Dashboard	Lista de víctimas con: online/offline, última ubicación, nivel de batería, captura más reciente

Free to use. No credit card required.