eSecurity Planet のコンテンツと製品の推奨事項は、編集上の独立性を保っています。当サイトのパートナーへのリンクをクリックしていただくことで、収益が発生する場合があります。 詳しくはこちら
感染したスマートフォンをインターネットから切り離すことは、通常であれば有効な初動対応とされています。しかし、新たに発見されたAndroid向けの悪質なマルウェアは、このエアギャップ(物理的な隔離)を突破する手段を備えていました。
ThreatFabricのMobile Threat Intelligenceチームは、銀行詐欺機能とスパイウェア機能、そして遠隔操作機能を兼ね備えたマルウェアファミリーを「Manic」として特定しました。今回のキャンペーンは主にウクライナを標的にしていますが、その被害範囲はロシアや欧州の金融機関、世界各国のフィンテック企業や暗号資産サービス、さらには軍事関連のメッセージングアプリにまで及んでいます。
このマルウェアは、銀行、決済サービス、暗号資産ウォレットや取引所、政府機関や電子身分証明サービス、認証アプリ、メッセージングアプリ、ブラウザ、メールクライアントなど、169種類のAndroidパッケージIDを監視対象としています。
ThreatFabricは同社のブログで、「Manicは、Androidバンキングマルウェアとモバイルスパイウェアの中間に位置する存在であり、金融詐欺の機能と、より広範な監視・端末制御の機能を組み合わせています」と述べています。
この活動は少なくとも2026年2月まで遡って確認されており、7月には新しいバージョンが登場しています。このバージョンでは、解析対策の強化やメモリ上でのDEXロード機能、ロック画面の認証情報を窃取する手法などが追加されました。
偽の銀行アプリ画面を使わないPIN窃取
Manicは、Androidのアクセシビリティ機能と通知権限を悪用することで、感染した端末に対して広範な制御権を獲得します。パスワードやワンタイムコード、リカバリーフレーズ、SMSメッセージ、通知、ファイル、位置情報などを窃取できるほか、攻撃者が画面を遠隔で監視・操作することも可能にします。
特に注目すべきは、そのPIN窃取の手法です。偽の銀行アプリ画面を表示する必要がない点が特徴です。Manicは標的となるアプリ内にテンキーが表示されていることを検知すると、正規のキーの上に透明なレイヤーを重ねて表示します。そして被害者のタップを記録したうえで、アクセシビリティサービスを介してそのタップを実際のアプリケーションに伝えます。これにより、銀行アプリ自体は通常どおり動作し続ける一方で、攻撃者はPINを取得できてしまいます。
ThreatFabricは、「Manicはアクセシビリティサービスを、いわばUIキーロガーとして利用しています」と説明しています。このマルウェアは、取得した情報をロック画面の入力内容、SMSコード、パスワード、暗号資産のリカバリーフレーズといったカテゴリーに分類して管理します。
さらに別の機能として、事前に窃取しておいたPINやパターンをAndroidのロック画面に自動入力しようとする機能もあり、これにより攻撃者が端末全体へのアクセス権を得てしまう可能性があります。
感染端末が中継役になる仕組み
Manicの最も特異な機能は、他の感染済みAndroid端末を経由して、窃取した情報を転送できる点です。
感染端末が攻撃者のC2(コマンド&コントロール)サーバーに接続できない場合、Manicは収集したデータを暗号化してローカルに保存します。そのうえで、Wi-Fi Direct、Bluetooth RFCOMM、あるいはBluetooth Low Energyを使って、近くにある感染端末を探索します。接続可能な端末が見つかれば、そのデータは当該端末を経由して攻撃者のインフラへと転送されます。このマルウェアは、デフォルトで最大4ホップまでの中継に対応しています。
ThreatFabricは、「感染端末を直接インターネットから切り離しても、必ずしもデータの窃取を防げるとは限りません。無線通信の届く範囲に別の感染端末が存在すれば、その端末がゲートウェイとして機能してしまう可能性があるためです」と述べています。
Androidユーザーへの影響
金銭窃取、監視、端末乗っ取りという複数の機能を兼ね備えている点で、Manicは従来型のバンキング型トロイの木馬の枠を超えた存在だといえます。正規のアプリのインターフェースをそのまま悪用できる点も特徴で、ユーザーが通常頼りにできる視覚的な警告サインの一つを無効化してしまいます。
オフラインでの中継機能は、防御上さらに厄介な問題を生み出します。感染端末をインターネットから隔離しても、近くに別の感染端末が存在すればデータの窃取を即座に止められるとは限らないのです。そのため、そもそも初期感染を防ぐことが特に重要になります。
研究者らは、非公式な配布元からのAPKの入手を避けること、アクセシビリティ権限の許可には慎重を期すこと、そしてGoogle Play Protectを定期的に確認することを推奨しています。ThreatFabricは感染端末の台数を公表していないため、今回のキャンペーンの被害規模は依然として不明です。
あわせて読みたい: モバイルマルウェアだけが機密データを脅かす脅威ではありません。 Alationも最近サイバー攻撃を受けたことを認めており、顧客データが流出した可能性や、被害の全容については依然として不明な点が残っています。
翻訳元: https://www.esecurityplanet.com/threats/news-manic-android-malware-device-relay-data-theft/
