ToxicPanda 2.0は、詐欺・端末制御・認証情報窃取の機能を大幅に拡張した進化版のAndroidバンキング型トロイの木馬です。
更新されたこのマルウェアは、透明なオーバーレイを使用して140以上の銀行・暗号資産アプリからPIN入力を捕捉するほか、より広範なフィッシングフレームワークによって16カ国にわたる349の銀行・金融・電子ウォレット・暗号資産アプリを標的としています。
アンチウイルス& マルウェア
ToxicPandaはこれまで主に欧州ユーザーを狙ったキャンペーンで知られていましたが、バージョン2.0の登場は大幅なグローバル展開を意味します。
このマルウェアは167種類のリモートコマンドに対応しており、Cleafyによる従来の調査で確認されていた、より限定的で一部未完成だった機能から大きく拡張されています。
これまで存在はしていたものの未実装だった複数のコマンドが、現在では稼働可能な状態になっており、攻撃者側はより成熟したプラットフォームを手に入れ、詐欺・永続化・フィッシング・侵害後の端末制御を行えるようになっています。
最も懸念される追加機能は、標的となる金融アプリに入力されたPINを盗み取るために設計された透明オーバーレイの仕組みです。
ToxicPandaはAndroidのアクセシビリティサービスを通じてフォアグラウンドのアプリを監視し、そのパッケージがリモートから設定可能な標的リストに一致するかどうかを確認します。
被害者が銀行、ウォレット、決済、または暗号資産のアプリを開くと、マルウェアは正規のインターフェース上に、事実上目に見えないタッチ捕捉レイヤーを重ねて配置できます。
従来のフィッシング画面とは異なり、この手法では被害者が本物のアプリのように見える画面を操作している間に、そのタッチ入力がオーバーレイによって傍受されます。
この機能はreplacePinTargetsコマンドを通じてリモートから更新可能で、攻撃者はマルウェアを新規にビルドし直すことなく、対象のパッケージ名やキーワードを差し替えることができます。
ToxicPandaは、ログイン画面や取引画面を模したHTMLベースのフィッシングオーバーレイも引き続き備えています。
これらのオーバーレイは、マルウェアが端末にインストールされている標的アプリを特定した後、C2(コマンド&コントロール)サーバーから取得され、攻撃者は認証情報、PIN、その他の機密性の高い決済データを収集できます。
マルウェアはプログラム的に端末設定画面へ遷移し、ビルド番号への連続タップをシミュレートして開発者向けオプションを有効化し、ワイヤレスデバッグをオンにしてペアリングのワークフローを開きます。
その後、ペアリングダイアログに表示される6桁のペアリングコードと動的ポート番号をスクレイピングします。これらの値を使用し、マルウェアはADBデーモンとの間でSPAKE2ベースの認証済みローカルペアリングを実行し、シェルレベルのアクセス権を取得します。
これにより、通常のランタイム同意フローを回避したり、権限を拡大したり、バックグラウンド制限を緩和したり、各種コンポーネントを起動したり、永続化を強化したりするコマンドの実行が可能になります。
zLabsチームが最近確認したToxicPanda 2.0は、Android 11で導入されたWi-FiベースのAndroid Debug Bridge接続機能であるワイヤレスデバッグの設定プロセスを自動化するために、アクセシビリティサービスを悪用しています。
ToxicPanda 2.0はドロッパーとして動作します。まずWebView内に偽のインストール画面を表示し、被害者にVPN権限の付与を求めます。
ToxicPanda 2.0によるPIN窃取の手口
要求されたVPNアクセス権は、隠されたペイロードがアプリケーションのアセットから復号・インストールされる前に、Google PlayおよびGoogle Playサービスからの通信を妨害するために使用されます。
このマルウェアはHTTPSハンドシェイクに続いて永続的なWebSocketチャネルを通じてC2サーバーと通信し、攻撃者に低遅延・双方向のコマンド実行手段を提供します。
通信は、ソースコードに埋め込まれた鍵を用いたECBモードのAES暗号化により保護されています。研究者らはまた、Amazon AWSがホストするバケットを介した配布も観測しており、攻撃者が正規のクラウドインフラをマルウェア配布に利用している実態がうかがえます。
アンチウイルス& マルウェア
金融詐欺にとどまらず、ToxicPanda 2.0は偽装したAndroidのロック画面オーバーレイを展開し、端末のロック解除PIN、パターン、パスワードを収集することもできます。
これらの認証情報を取得することで、攻撃者は画面ロックによる保護を回避し、侵害した端末へのアクセスを維持する手段を得ることになります。
一部のサンプルでは、バックグラウンドで悪意ある動作が実行されている間、全画面表示の偽システムアップデート画面を用いてそれを隠蔽する様子も確認されています。
新たに機能するようになったコマンドには、「システムサービスには管理者権限が必要です」という文言でデバイス管理者権限を要求するadmSetや、攻撃者が指定した値で端末のロック認証情報のリセットを試みるadmPwdが含まれます。
autoBoot機能はさらに、Xiaomi、OPPO、Vivo、Samsung、Huaweiなど各メーカー(OEM)固有の電源管理制御にも適応しており、アクセシビリティ機能を利用したナビゲーションによってバックグラウンドでの実行を維持します。
防御側にとって、今回のキャンペーンは、アクセシビリティ、VPN、デバイス管理者、あるいは開発者向けオプション関連の権限を要求するサイドロードされたAndroidアプリのリスクを改めて浮き彫りにするものです。
金融アプリの開発者は、機密性の高い画面をオーバーレイ悪用から保護するよう強化するとともに、端末の完全性や不審なアクセシビリティサービスの動作を継続的に評価すべきです。
★ どのセキュリティツールを削減すべきか?1ページでスコア評価 – 「継承されたセキュリティスタック」ガイドをダウンロード
セキュリティ製品・サービス
翻訳元: https://gbhackers.com/toxicpanda-2-0-steals-pins/
