このマルウェアは現在、16カ国にわたる349の銀行アプリ、金融アプリ、電子ウォレットアプリ、暗号資産アプリを標的としています。これまで確認されていた旧バージョンが標的としていた銀行アプリはわずか16個にとどまっていたのと比べると、大幅な拡大です。
ToxicPandaは当初、欧州とラテンアメリカを狙うAndroidバンキング脅威として登場しました。これまでの調査では複数のリモートコマンドが未完成であることが判明していましたが、新バージョンではこれらの機能の多くが実装されたと報告されており、マルウェアのコマンドセットは167個にまで拡張されています。
これまでの分析でも、ToxicPandaは、攻撃者が被害者の正規のバンキングセッションをリモートで操作する「オンデバイス詐欺」の手口と関連付けられていました。
更新されたマルウェアはAndroidのアクセシビリティサービスを悪用し、ユーザーインターフェース操作の自動化、画面要素の読み取り、タッチ入力の取得、フィッシング用オーバーレイの展開を行います。
報告によれば、偽のインストール画面を通じてVPN権限を要求し、Google PlayおよびGoogle Playサービスのネットワーク通信をブロックした上で、隠蔽されたペイロードを復号してインストールするとされています。
最も懸念される機能は、Androidの「ワイヤレスデバッグ」機能を自動的に悪用する点です。ToxicPanda 2.0は開発者向けオプションが有効になっているかどうかを確認し、必要であればビルド番号の項目へのタップ操作をシミュレートして有効化します。
続いて開発者向けオプションを開き、ワイヤレスデバッグをオンにし、ペアリングのオプションを選択した上で、画面から6桁のペアリングコードと動的ポート番号を抽出します。
取得した情報を使い、マルウェアはローカルでADBペアリングを実行し、Androidのshellユーザー権限を取得します。
これにより、攻撃者はADBデーモン経由でコマンドを実行し、権限を拡大し、バックグラウンド制限を弱め、コンポーネントを有効化し、通常のアプリ内権限プロンプトのみに頼らずに永続性を高めることが可能になります。
インストール後、ToxicPandaはインストール済みアプリケーションの一覧を作成し、パッケージ名とアイコンをコマンド&コントロール(C2)サーバーへ送信します。
標的となる金融アプリが開かれると、攻撃者はそのログイン画面や取引画面を模倣するよう設計されたHTML製フィッシング用オーバーレイを配信できます。
このトロイの木馬には、140を超える銀行アプリ・暗号資産アプリを対象としたPIN窃取のワークフローも組み込まれています。アクセシビリティサービスを使ってフォアグラウンドのアプリを監視し、透明なオーバーレイを使って被害者が入力したタッチ操作を収集することができます。
replacePinTargetsコマンドを通じて、攻撃者は標的とするパッケージ名やキーワードをリモートで置き換えることができ、マルウェア本体を新たにビルドし直すことなくキャンペーンを適応させることが可能です。
ToxicPanda 2.0はさらに、端末のロック解除用の認証情報も標的にしています。偽のAndroidロック画面オーバーレイを表示して被害者のPIN、パターン、パスワードを盗み出すことができるほか、偽の「システムアップデート」全画面表示によって、背後で行われている悪意ある動作を覆い隠すことも可能です。
このマルウェアはHTTPSに続いて永続的なWebSocketチャネルを用いてC2と通信し、リアルタイムでのコマンド配信とデータ交換を可能にしています。
これまでのToxicPandaの亜種も同様に、C2通信にWebSocketとECBモードのAES暗号化を使用していました。新たに実装されたコマンド群により、ToxicPandaはOEM固有の権限設定や永続化設定を自動的に処理できるようになっています。
catAllViewSwitch機能は、システムの権限ダイアログ、バッテリー最適化に関するプロンプト、端末メーカー固有の自動起動設定を識別し、アクセシビリティサービスを使ってこれらを操作することができると、Zimperiumは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記([.]など)にしています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/toxicpanda-2-0-abuses-android-adb/
