イタリアのN26利用者を狙った不正詐欺キャンペーンが確認されています。ボイスフィッシング、リアルタイム操作可能なフィッシング用コントロールパネル、そしてCopybaraというAndroidリモートアクセス型トロイの木馬（RAT）を組み合わせ、銀行アプリを乗っ取る手口です。
この手口は、攻撃者がN26のサポート担当者を装って電話をかけてくるところから始まります。被害者には、アカウントまたは端末の緊急確認が必要だと伝えられます。
電話をかけてきた相手は、被害者を偽の「デバイス認証」手続きへと誘導します。この際、N26アプリ上に実際に表示されているメッセージを利用することで、話に信憑性を持たせています。
ShadowOpCode氏はこのキャンペーンについて、Redditに投稿された詳細な被害report(体験談)を引用しながら、X上で公に指摘しました。報告された事例では、被害者は正規の銀行窓口から引き離され、詐欺的なサポート用連絡先に連絡するよう指示されていました。
その後、被害者は攻撃者のインフラ上でホストされているN26を装ったフィッシングページを受け取りました。
このフィッシングサイトは、Fake Control 1.0として追跡されているWebベースのシステムと関連しているとみられます。このPHP・SQLite・JavaScriptベースのプラットフォームは、AdminLTEのダッシュボードテンプレートを使い、被害者のセッションをリアルタイムで管理します。
AdminLTE自体は正規のソフトウェアですが、その周辺のワークフローは詐欺目的に設計されています。
このコントロールパネルは被害者の記録を保存し、認証情報とワンタイムパスコードを収集するほか、オペレーター用ダッシュボードを数秒おきに更新し、犯罪者が特定の被害者に表示する内容を変更できるようになっています。
利用可能な操作には、メッセージの送信、認証トークンの承認または拒否、取引キャンセルを装った誘導表示の実行、APKダウンロードのトリガーなどが含まれます。
これにより、このフィッシングページは静的な銀行ログイン画面の偽装にとどまらず、双方向で操作できるオペレーター用コンソールへと変貌しています。
Androidのドロッパーはパッケージ名「io.smart.evolve」を使用し、自らを「N26 Pdf」と名乗ります。不明な提供元からのアプリインストール許可を要求した後、内蔵されたペイロードを展開してインストールします。
研究者によれば、このドロッパーはさらに、Google PlayストアのパッケージであるCom.android.vendingを標的としたローカルVPNを作成することも確認されています。
このVPNは通信を240240240秒間ルーティングした上で破棄し、インストール中のPlayストアやPlay Protectによるチェックを妨害する可能性があります。
ドロッパー本体と内蔵ペイロードのいずれにも、不正な形式のZIP構造、通常とは異なるUnicodeパス、サイズが異常に大きいフィールド、ファイル・ディレクトリの衝突といった特徴が見られます。これらの要素は標準的な解析ツールを機能不全に陥らせ、静的解析を困難にする狙いがあります。
最終的なペイロードは、高い確度でCopybaraであると特定されており、パッケージ名「com.upy2dl.ptroa5」を使用し、「Certificato N26」を装っています。
このペイロードにはB4A/B4Xのコードベースが含まれており、MQTTを通じてコマンド&コントロール（C2）インフラと通信します。
画面ストリーミング、カメラ、MediaProjection機能にはポート番号529985299852998が使用されています。d3labによると、ハードコードされたコマンド&コントロールのアドレスは37[.]148[.]161[.]44であると同社は述べています。
注記：IPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりするのを防ぐため、意図的に無害化表記（[.]など）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。
SOC調査の死角をなくし、脅威をより早い段階で封じ込めることで、ANY.RUNを使って対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/n26-support-scam-deploys-rat/
