Copybaraの手口、Androidのアクセシビリティ機能を悪用したキーロギング・画面ストリーミング・遠隔操作

イタリアで展開されている新たなN26を騙る詐欺キャンペーンにおいて、Copybaraが悪用されていることが判明しました。この攻撃はビッシング（音声フィッシング）、リアルタイムのフィッシング制御キット、そして多段階のAndroidドロッパーを連携させ、Androidのアクセシビリティサービスを悪用することで被害者のスマートフォンを完全に遠隔操作できるようにするものです。

攻撃者は正規のN26アプリに実際に届く通知を利用して信頼感を醸成し、その後被害者を公式チャンネルから遠ざけ、偽のサポートメールアドレスへ誘導します。

このメールアドレスに連絡すると、攻撃者のインフラ上にホストされたN26ブランドのログインページが返信され、そこで認証情報とワンタイムコードが窃取されます。その後、被害者は「N26 Pdf」というAndroidパッケージをダウンロードし、アクセシビリティ、デバイス制御、位置情報などの侵襲性の高い権限を許可するよう指示されます。

権限が許可されると、全画面のN26風の白いローディング画面が表示され、実際の動作を隠蔽します。その裏側では、攻撃者が金融関連アプリの操作を開始します。

このフィッシングサイトの背後にあるWebコンポーネントは、「Fake Control 1.0」として知られるキットと一致しています。PHP、SQLite、JavaScript、そしてAdminLTEベースのダッシュボードで構築されています。

単なる静的な認証情報窃取ページではなく、対話型のコンソールとして機能する点が特徴です。被害者のセッションはSQLiteデータベースで追跡され、オペレーター用ダッシュボードは数秒ごとに更新されます。コマンドによって被害者に表示される内容をリアルタイムで変更したり、トークンを無効化したり、「取引がキャンセルされました」というメッセージで被害者を誘導したり、APKの配信を発動させたりすることも可能です。

senha、acesso、gerente、enviarComandoといったポルトガル語の識別子が使われている点は言語的な背景を示唆していますが、必ずしも攻撃者の所在地を意味するものではありません。

URLパラメータは検証・セッション・試行の追跡をそれぞれ分離しており、電話オペレーターが個々の被害者の経過を追跡し、ページの表示内容を電話でのやり取りと連動させられるようになっています。

Android向けの配信段階では、パッケージ名io.smart.evolveを持つ「N26 Pdf」と称するドロッパーが使用されます。このドロッパーは組み込まれたAPKをコピーし、提供元不明のアプリのインストールを要求したうえで、フォアグラウンドの監視処理により800ミリ秒ごとに権限の状態をポーリングし、インストールが許可され次第すぐに処理を再開します。

このドロッパーはcom.android.vending向けにローカルのアプリ単位VPNを作成し、Playストアの通信をローカルのTUNインターフェースへ経由させたうえで、約240秒間パケットを破棄します。これはインストール中のPlay Protectによるチェックを妨害する狙いがあるとみられます。

外側のAPKと内部に組み込まれたペイロードのいずれにも、構造上の異常が仕込まれています。ZIP圧縮に関するメタデータの矛盾、極端に長いアセットパス、ランダムなUnicode文字列を含むコンポーネント名などです。

こうしたリソースの衝突により一般的な解析ツールは処理に失敗するため、解析担当者は暗号化されたJAR、RC4による復号、動的ローダーDEX、そして最終的にCopybara RATを配信する組み込みのbase.apkから、手作業で処理の連鎖を再構築する必要があります。

D3 Labの研究者によると、この攻撃は音声フィッシングから始まります。被害者はN26のサポート担当者を装った自動音声または生の通話を受け、追加の本人確認が必要だと告げられます。

組み込みのペイロードは「Certificato N26」（com.upy2dl.ptroa5）と表記されており、B4A/B4Xのコードベース、TCPポート52997および52998を使うMQTTコマンドチャネル、commands_FromPCというトピック、シリアル化されたコマンドマップなどの特徴から、Copybaraであると特定されています。

このペイロードは、アクセシビリティサービス、通知リスナー、デバイス管理者レシーバー、SMSハンドラー、マイクおよびMediaProjection関連のコンポーネント、さらに起動時の永続化機能を含む、数十ものアクティビティ・サービス・レシーバーを宣言しています。

Copybaraによるアクセシビリティの悪用

Copybaraは、本来支援技術であるアクセシビリティ機能を遠隔操作の手段へと変貌させます。クリックやスワイプの操作、テキスト入力、UI階層の取得、キーロギングの実装、画面のストリーミング配信、マイクやカメラでの録音・録画が可能なうえ、デバイス管理者権限を悪用して削除に抵抗することもできます。

副次的なMQTTチャネルでは、より大容量の画面データやカメラ映像がやり取りされる一方、同じ37[.]148[.]161[.]44というホスト上のHTTPサービスが、オーバーレイやロック画面のコンテンツ、画像素材を提供します。

Securedata storage

N26ブランドとしての役割を終えたCopybaraは、疑念を持たれないよう「Battery Cleaner Pro」という多言語対応のおとりインターフェースに姿を変えます。これは各言語に対応したHTMLページと固定の「最適化」数値を用いて実装されています。

今回明らかになったN26を狙った一連の攻撃は、こうした手口の進化を体現するものです。ソーシャルエンジニアリング、リアルタイムのウェブ制御、そしてアクセシビリティ機能を通じてデバイスを完全に乗っ取れるAndroid RATの能力を組み合わせた、人手を介するワークフローです。

このおとりページはWebView内で読み込まれ、悪意あるアクセシビリティサービスが有効化されているかどうかを確認したうえで、バッテリーの健全性に関するもっともらしい口実を使って、ユーザーに有効化を促します。

このおとり画面によって、バックグラウンドでの活発な動作や恒久的な権限付与が正当なものであるかのように見せかけられます。その裏で、RATはN26を装った表示の下で画面をストリーミング配信し、目に見えない形で銀行アプリを操作します。

サーバー側では、Copybaraはアプリケーションのパッケージ名とテンプレート名を対応付ける「inj」構造としてオーバーレイの指示を受け取ります。現時点で確認されているおとりはN26ですが、被害者からの報告では、Poste、Intesa Sanpaolo、Microsoft Authenticatorも標的として観測されています。

Copybaraは少なくとも2021年以降、イタリアにおけるTOAD型（電話を介した）ビッシングキャンペーンで活動が確認されており、バンキング型トロイの木馬に共通する手口やMQTTベースのコマンドチャネルを共有していることから、しばしばBRATAと混同されます。

防御側にとって、従来のURLや認証情報を狙ったフィッシングの検知手法だけではもはや不十分です。アクセシビリティ機能の悪用、Playストア通信を狙った不審なVPN作成、MQTTを介した遠隔操作の挙動を可視化することが、端末上での不正行為が実行される前にCopybaraや類似のAndroidバンキング型RATを検知するうえで、今や不可欠となっています。

侵害指標（IOC）

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化（例: [.]）してあります。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

100万ドルのデータ侵害保証は本当に信頼できる保護策なのか？: 無料のAI SOC侵害保証10項目ガイドをダウンロード

ComputerSecurity