中国のサイバー犯罪者たちが、人気の金融アプリから金銭を盗み取るために、フルサービス型のモバイルマルウェアフレームワークを利用していることが分かりました。
6月18日、中国国家インターネット緊急対応センター（National Cybersecurity Reporting Center）はWeChat上で一般市民向けに警告を発しました。サイバー犯罪者らは省の公安サービスになりすまし、公安関連の手続きを「ワンストップでオンライン処理できる」と謳う偽アプリを拡散していました。このアプリをダウンロードした人は、気づかぬうちに情報窃取型マルウェアにモバイル端末を感染させてしまいます。この警告では、このキャンペーンに関連する2つのIPアドレスも公表されました。
独立系研究者のNetAskari氏とhunt.io社は、これらのIPアドレスを手がかりに調査を進めました。その先で見つかったのは、「フライング・イーグル（Flying Eagle）」と呼ばれる高度なオールインワン型のマルウェア・アズ・ア・サービス（MaaS）ビルダーを中心に構築された、大規模なサイバー犯罪エコシステムでした。
フライング・イーグル犯罪キットが提供する至れり尽くせりのMaaS
フライング・イーグルは、一般的なハッカーが手軽にモバイルマルウェアキャンペーンを構築するために必要なインフラと機能一式を提供します。この特徴が最も如実に表れているのが、その配布方法です。どこかのサーバーに置かれたファイル群としてではなく、フライング・イーグルは完全なDockerデプロイメントとしてパッケージ化されています。利用者は皆、Webサーバー、WebSocketサーバー、PHP、MySQLがひとまとめになった「福袋」を手に入れられる仕組みです。
「Dockerというコンセプトは、一般的なソフトウェア開発者と同じくらい、サイバー犯罪者にとっても魅力的に映ります」とNetAskari氏はDark Readingに語ります。「特に迅速な展開を重視するビジネスでは、参入障壁を下げるといった意味でもDockerは非常に理にかなっています。環境をクリーンに保てますし、時間や導入コストをほとんどかけずに、ほぼどんなリモートサーバーにも展開できます」
必要なDockerコンポーネントに加え、利用者にはAndroid Package Kit(APK)およびソフトウェア開発キット(SDK)のビルドツールも提供されます。これにはJava 11と、デフォルトのTransport Layer Security(TLS)証明書が含まれます。さらに、TikTokや人気のアダルトサービス、金融アプリ、公共福祉プロジェクトなどを模したさまざまなフィッシングテンプレートも用意されています。
NetAskari氏は、昨今のMaaSサービスの柔軟性と使いやすさに驚きを隠せません。「特に印象的だったのは、こうしたキットが今やこれほど扱いやすく、モジュール化されている点です。グラフィカルユーザーインターフェース(GUI)、明快な構造とワークフロー、テンプレート、すぐに使えるフレームワーク——もはや、平均的に堅牢化されたデバイスに攻撃を仕掛け、侵入し、データを抜き取るための手頃なシステムを構築するのに、大した技術は必要なくなっています。これは明らかに、高度なハッカーというより一般的な犯罪者向けに作られたものです」と同氏は述べています。
MaaSを深掘りする——フライング・イーグルの「鉤爪」を見る
研究者らがフライング・イーグルのテスト環境を構築したところ、APKビルダーには標準機能として、静的検出を回避するためのさまざまな仕組みが開発者によって組み込まれていることが判明しました。例えば、アンチウイルス(AV)エンジンに手がかりを与えかねないコード内のクラス名を隠蔽するほか、ハードコードされたパッケージ名を「com.cloud.manager.core」のような、ランダム生成ながら一見正規のものに見える名称に置き換えることで、フライング・イーグルのマルウェア検体を1つ1つユニークなものにしています。
「何度も感心させられるのが、APKビルダーの回避策の作り込みです」と、hunt.ioのリサーチ責任者であるEsteban Borges氏は語ります。「検体を水増しする際、アンチウイルスのヒューリスティック検知に引っかかりかねないランダムなバイト列は避け、代わりにSDK設定キャッシュに見せかけた数メガバイト分のBase64形式のJSONを注入しています。これによりエントロピーを低く保ちつつ、一見普通のアプリデータのように見せかけているのです。しかも開発者自身が、それが狙いだとコメントに残していました」
フライング・イーグルの検体は、決済認証情報やスクリーンショットなど、モバイル端末上のさまざまなデータを窃取できます。キーロギングやカメラへのアクセスにも対応しています。また、アクセシビリティサービスを悪用して権限を昇格させたり、政府機関、アダルト、金融サービス関連のアプリにオーバーレイを注入したりすることも可能です。
中国のサイバー犯罪アンダーグラウンドと「ナイト・ドラゴン」
フライング・イーグルは元々、限られた身内のサークル内でのみ共有されていました。それが今年に入ってから、より広範な中国のサイバー犯罪エコシステムへと流出しました。その後まもなく、この状況を利用しようと「SQLRCE0」というTelegramチャンネルが開設され、このツールの拡散や利用者への技術サポートの提供、さらにオリジナル版を「改良」したバージョンをテザー(Tether)暗号資産で2,000ドルで販売するといった活動が行われました。その数カ月後には、同様の活動を行う2つ目の主要なTelegramチャンネルも立ち上げられました。
今年の春、中国政府がフライング・イーグルから生成された偽アプリについて警告を発した際、SQLRCE0は即座に対応を見せました。この通知が出てからわずか5日後、「ナイト・ドラゴン(Night Dragon)」と呼ばれる新たなAndroidリモート操作キットをリリースしたのです。
現時点では、ナイト・ドラゴンの普及度はフライング・イーグルには遠く及びません。研究者らが確認できた稼働中のサーバーは数台にとどまり、前身のフライング・イーグルの数百台とは対照的です。しかし、機能面では2つのうちより高度なのはこちらかもしれません。ナイト・ドラゴンは被害者の画面のライブビュー、マイク音声、カメラ映像をキャプチャできます。またSMSメッセージや写真ギャラリー、その他のファイルにもアクセス可能です。AliPayやWeChatといった中国の人気金融アプリ、暗号資産ウォレットプラットフォーム、さらには中国農業銀行、中国建設銀行、中国工商銀行(ICBC)といった大手国有銀行のアプリにもオーバーレイを注入します。こうした不正行為を隠蔽するため、ナイト・ドラゴンは自身のアプリアイコンを非表示にし、攻撃者が手動で操作を行っている間、被害者に対して人工的な黒い更新画面を強制表示させることもできます。
「中国は『数の国』であり、それはサイバー犯罪者についても当てはまります。サイバー犯罪の環境という点では、おそらく世界で最も多様性に富んでいるでしょう」とNetAskari氏は語ります。「世界最大級の監視国家でありながら、中国は依然としてこれを根絶できずにいます。ただし、着実に前進はしています」
翻訳元: https://www.darkreading.com/endpoint-security/flying-eagle-mobile-rat-builder-china
