セキュリティ研究者らは、広く蔓延しているAndroid向けバンキング型トロイの木馬の新亜種について警告を発しました。この亜種は潜在的な被害者数を大幅に拡大させるものです。
モバイルセキュリティベンダーのZimperiumに所属するzLabsチームが、8月19日付の投稿で「ToxicPanda 2.0」を発見したことを明らかにしました。
特に注目すべきは、140の銀行・仮想通貨アプリを標的とするPIN窃取メカニズムと、349の金融機関を標的とするオーバーレイ型の認証情報窃取メカニズムです。
これは、このAndroidマルウェアの初代バージョンが標的としていた16の銀行アプリから、大幅に増加したことになります。
Androidマルウェアに関する関連記事: Mirax Androidトロイの木馬、デバイスを住宅用プロキシノードに変える
被害者が標的アプリの一つを起動すると、マルウェアはC2サーバーから該当する悪意あるHTMLオーバーレイを要求します。レポートによると、標的となっている金融機関の大半は16カ国にまたがっており、その中でも特にパキスタン、南アフリカ、メキシコ、ナイジェリア、インドに集中しています。
新機能の一つは、ワイヤレスデバッグを有効にするAndroidのアクセシビリティサービスを悪用する点です。この機能を事実上、シェルアクセスへの経路として利用しようとします。
「マルウェアがシェルユーザー権限を獲得すると、ADB(Android Debug Bridge)デーモンを通じて高権限コマンドの実行を直接開始します」とレポートは指摘しています。「このマルウェアはAndroidの標準的なランタイム同意プロンプトを回避して自らに広範な権限を付与し、OSのバックグラウンド制限を無効化し、重要なコンポーネントを密かに有効化した上で、永続化を強制します」
ToxicPanda 2.0のもう一つの新機能は、画面オーバーレイ攻撃によってデバイスのロック解除用認証情報を窃取する能力で、攻撃者に侵害済みデバイスへの永続的なアクセスを与えます。
ToxicPandaを軽減する3つの対策
BeyondTrustの副CISOであるBradley Smith氏は、企業がこのAndroidトロイの木馬の影響を軽減するための3つの方法を提案しています。
- 企業IDに登録されたデバイスでのサイドローディングをブロック
- アクセシビリティサービスの権限付与を特権アクセスイベントとして扱い、ログ記録とレビューの対象とする
- 管理下のデバイス群全体で開発者向けオプションやワイヤレスデバッグが有効化された場合にアラートを発する。これはモバイルデバイス管理(MDM)を通じて実現可能
「この研究で際立っているのは、ToxicPanda 2.0がAndroidを破壊するのではなく、Androidを『運用』しているという点です」とSmith氏は主張します。
「今年一年を通じて、モバイル脅威全体にこうしたパターンが見られてきました。脆弱性の悪用というよりも、正規のプラットフォーム機能、とりわけアクセシビリティサービスの悪用です。設計通りに機能している機能に対してはパッチが存在しないため、制御の主軸はパッチ適用から、誰が何の権限を得るかを統治することへと移行させる必要があります」
翻訳元: https://www.infosecurity-magazine.com/news/updated-toxicpanda-140-banking/
