脚光を浴びるバンキング型トロイの木馬「Manic」「Grandoreiro」「ToxicPanda 2.0」

複数のセキュリティ企業が今週、世界中のユーザーを標的とする新種および改良版のバンキング型トロイの木馬に関する情報を公開しました。

この種のマルウェアを使えば、攻撃者は認証情報のフィッシング、機密性の高いユーザーデータの窃取、そして侵害した端末の遠隔操作が可能になります。

Manic

ThreatFabricは、バンキング型トロイの木馬とスパイウェアの機能を組み合わせたAndroidマルウェア「Manic」の詳細を明らかにしました。

このマルウェアは主にウクライナを標的としており、銀行、政府サービス、メッセージングアプリなどが対象に含まれます。ただし、ロシアや欧州の金融機関、世界各地の暗号資産・フィンテックサービス、軍事関連のメッセージングアプリを狙う事例も確認されています。

悪意あるウェブサイトやドロッパーを通じて配布されるこのマルウェアは、攻撃者にキーストロークの記録、フィッシング画面の表示、そして銀行詐欺や暗号資産詐欺のための侵害端末の遠隔操作を可能にします。

さらにManicには、通知の監視、位置情報の追跡、ファイルの収集、端末の遠隔監視といったスパイウェア機能も備わっています。

ThreatFabricは、「特に際立った機能として、オフラインのメッシュリレーが挙げられる。これにより、C2への直接アクセスが利用できない場合でも、Wi-FiダイレクトやBluetoothを介して近くの感染端末経由で収集データを転送できる」と指摘しています。

Grandoreiro

Acronis Threat Research Unitは、バンキング型トロイの木馬「Grandoreiro」が依然として活動を続けており、引き続きラテンアメリカのユーザーを主な標的にしていると警告しています。

Grandoreiroは昨年、欧州を標的にする様子も確認されており、現在も北米と並んで欧州を狙い続けています。ただし、Acronisが監視した最近のキャンペーンでは、攻撃の大半がメキシコに向けられていました。

ブラジル発祥のこのWindowsマルウェアは登場から10年が経過していますが、法執行機関による阻止の取り組みにもかかわらず、進化を続けています。

最近確認された検体は、正規アプリケーションであるDuplicate Files Finder(DFF)を悪用し、DLLサイドローディングによって悪意あるコードを実行します。これにより、マルウェアは通常のソフトウェア動作に紛れ込み、検知を回避することができます。

Acronisは、「初期段階の検体には、サンドボックス検知、仮想マシンの痕跡チェック、プロセスのブラックリスト化、環境プロファイリングといった、自動解析システムを回避するための広範な解析対策機能が組み込まれている。これらのチェックはコマンド&コントロール(C2)インフラへの接続を試みる前に実行されており、解析の回避が攻撃者にとって最優先事項であることがうかがえる」と説明しています。

ToxicPanda 2.0

モバイルセキュリティ企業のZimperiumは、主に欧州を標的にすることで知られるToxicPandaの改良版について警告を発しています。

このAndroidバンキング型トロイの木馬の最新版では大幅な変更が加えられており、167種類の遠隔操作コマンドへの対応と、約350種類の金融アプリを標的リストに含むようになりました。これまでのバージョンが標的としていたアプリはわずか16種類でした。

ToxicPanda 2.0は、パキスタン、南アフリカ、メキシコ、ナイジェリア、インド、インドネシア、パナマなど16カ国の金融機関を標的とするよう設計されています。

Zimperiumは、「このマルウェアはさらに、Android Wireless Debugging(ADB)を悪用する自動クリック機構を新たに導入しており、侵害端末における権限昇格とシェルレベルのアクセスを可能にしている」と説明しています。

また、「今回更新されたキャンペーンでは配布方法にも変化が見られ、ToxicPanda 2.0の検体はAmazon AWSがホストするバケットを通じて配布されている。これは、攻撃者がマルウェア配布にクラウドインフラを活用していることを示している」と付け加えています。