バーレーン警報アプリを偽装したAndroid監視マルウェア、拡散中

政府発の緊急警報通知に対してユーザーが抱く暗黙の信頼を悪用し、悪質なAndroidマルウェアへ誘導する新たな脅威キャンペーンが確認されています。

国防・重要インフラ分野を専門とするサイバーセキュリティベンダーDreamの研究者は7月20日、「BH Alert」という名称の悪質なAndroidアプリに関する調査ブログを公開しました。このアプリはバーレーン民間防衛の緊急警報アプリになりすましています。

このアプリは、Google Playストアやバーレーン政府の公式サイトを模倣し信頼性を装ったドメインを通じて配布されています。しかしユーザーがダウンロードすると、実際には「ロック画面の認証情報、SMSやワンタイムコード、連絡先、スクリーンショットの窃取が可能で、銀行アプリのオーバーレイ表示やデバイスの完全な遠隔操作まで行える4段階構成の監視プラットフォーム」をインストールしてしまうことになる、と研究者らは述べています。

脅威アクターがこのアプリの配布を進めている背景には、イランによるミサイル攻撃を受け、バーレーンやクウェートをはじめとする湾岸諸国が民間防衛体制を発動しているという事情があります。ブログ記事は「防空活動が活発化する局面では、公式の緊急警報アプリのインストール需要が急増する」と説明しています。

Dreamが今年取り上げたこの種のアプリはこれで2件目です。3月には同社が、フィッシングキャンペーンを通じて配布されたイスラエルの「Red Alert」アプリのトロイの木馬化バージョンについて詳細を報告していました。

Dreamはこの傾向に警鐘を鳴らしており、こうした攻撃が大規模な拡散力、政府が「公式に発表した」ソフトウェアに対する暗黙の信頼、さらにこれら監視ツールが正規の政府アプリと同様の高い権限を要求してくるという事実を組み合わせている点を指摘しています。脅威アクターがやるべきことは公式アプリになりすますことだけで、「あとは恐怖が仕事をしてくれる」というわけです。

BH Alertがデバイスに爪を立てる仕組み

研究者らは正確な初期配布経路までは特定できていませんが、過去の類似キャンペーンを踏まえ、スミッシングのリンクやソーシャルメディア・メッセージングアプリで共有されたリンクを通じて、ユーザーが偽のランディングページへ誘導されたと推測しています。

ユーザーがこれらのリンクをクリックすると、バーレーン民間防衛局、内務省、情報・電子政府庁といったバーレーン政府機関を装った偽のGoogle Playページに誘導されます。これらのGoogle Playサイトは政府発行元ラベルを備え、10万件を超えるダウンロード数、偽のレビュー、アプリが安全であるとの主張まで用意されており、非常に説得力のある作りになっています。

ユーザーがアプリをインストールして起動すると、4段階のマルウェア配信プロセスが始動します。

研究者らは次のように説明しています。「このアプリはバーレーン民間防衛局や内務省になりすました英語・アラビア語のバイリンガルコンテンツを使い、公式な民間防衛アプリを装っています。[国連防災機関、UNDRR]への言及も見せかけの正当性を加える要素になっています。『サイレン警報』の設定という体裁で、一見緊急警報に必要そうな権限の許可をユーザーに一つずつ求めていきますが、実際の狙いは2つです。ペイロードパッケージ(com.kisa.octagonpanel)をインストールさせることと、継続的な監視に必要な権限を確保することです」

この4段階では、BH Alertインストーラーの DEXファイルを注入し、初期ペイロードをインストール・起動したうえで、OctagonPanelマルウェアと(指令制御・監視・遠隔操作に使われる)Wardフレームワークを注入し、最終的に攻撃者が制御する監視セッションを確立・維持します。侵害された従業員のスマートフォンは、多要素認証(MFA)による保護を回避し、企業アプリへのアクセスを許してしまう足がかりとして悪用される恐れもあります。

OctagonPanelは主要なRATであり、SMSの傍受、連絡先の窃取、スクリーンショットの取得、アクセシビリティ機能を悪用した監視、認証情報の窃取、銀行アプリを狙ったフィッシング用オーバーレイの追加、遠隔デバイス制御、さらには再起動後も persistence を維持する機能を備えています。

MDMとネットワーク監視が防御の要

Dreamが指摘するように、この種のキャンペーンが防御側にもたらすリスクは、単一のアプリの危険性というより、攻撃者が信頼された民間ソフトウェアという既存のカテゴリーを利用し、「恐怖によってユーザーの警戒心が薄れるまさにその瞬間」を狙って配布している点にあります。

Dream Research Labの広報担当者はDark Readingへのメールで、予防的な観点からは、組織はモバイルデバイス管理(MDM)を活用してポリシーを強制し、サイドローディングをブロックし、VPN上で実行できるアプリを制限できると述べたうえで、これはネットワーク監視によって強化されるべきだと語っています。

同担当者は「このマルウェアは活動を開始すると約5秒間隔の一定したハートビートで外部と通信するため、ネットワーク監視によって検知が可能です。これはトラフィック自体を復号しなくても識別できる、一貫した特徴的な通信パターンとして際立った異常として検出できます」と述べています。