Androidマルウェア「ToxicPanda」が新たな悪意ある機能を備えて進化し、標的とするアプリを349個に拡大するとともに、167種類のリモートコマンドへの対応を追加しました。
このマルウェアは現在、VPNサービスの権限を要求し、通過するネットワークトラフィックを制御できるローカルインターフェースを作成します。この機能により、ToxicPanda 2.0はGoogle PlayおよびGoogle Play Servicesとの通信をブロックできるようになりました。
ネットワークレベルでの制御が可能になることで、アプリの検証やアップデート、Play Protectとの通信など、さまざまなセキュリティチェックや、ユーザー保護を目的とした正規の妨害動作を阻害できてしまいます。
VPNサービスの権限を取得した後、ToxicPanda 2.0はまずGoogle Playへの通信をブロックしたうえでペイロードを抽出・インストールし、続けてアクセシビリティサービスの権限を要求します。
モバイルセキュリティ企業のZimperiumによると、ToxicPanda 2.0はAmazon AWSでホストされているバケットを通じて配布されているとのことです。
マルウェアの解析により、Android Wireless Debugging Bridge(ADB)を自動化する機能が新たに組み込まれ、感染端末へのシェルレベルのアクセスを可能にしていることが判明しました。
最新版のマルウェアは167種類のリモートコマンドに対応するほか、16か国を標的とした349の銀行・金融・暗号資産・電子ウォレット関連アプリ向けのフィッシングオーバーレイを備えています。
さらに、140の金融・暗号資産アプリを標的とする独立したPIN窃取モジュールも搭載しており、標的リストを動的に更新できます。
研究者によると、このアプリのオーバーレイは被害者からは見えない仕組みになっており、マルウェアは標的アプリへのタッチ入力を捕捉できるとのことです。
ToxicPandaはまた、Androidのロック画面を偽装し、端末のPIN、ロック解除パターン、パスワードを窃取します。
解析されたマルウェアの一部の検体では、進行中の不正な活動を隠すために偽のシステムアップデート画面も使用されていました。
コマンドの一つである「autoBoot」は、使用されている端末のメーカーを特定し、それに対応するOEM独自の自動起動設定や電源管理設定を起動して永続性を維持します。
Zimperiumの報告によれば、これによってXiaomi、OPPO、Vivo、Samsung、Huaweiの各端末に搭載されているバックグラウンドプロセスを終了させるバッテリー消費保護機能を回避できるとのことです。
ADBの悪用
今回解析された最新版のToxicPandaで際立っている機能の一つが、Android Debug Bridge(ADB)を自動的に悪用してシェルアクセスを得る点です。
ADBはAndroid端末上でシェルコマンドを実行するためのコマンドラインツールです。Android 11で導入されたワイヤレスADBを使えば、USB接続なしでWi-Fi経由でこのアクセスが可能になります。
このマルウェアはアクセシビリティサービスの権限を利用して、開発者向けオプションを有効化し、ワイヤレスデバッグを起動したうえで、6桁のADBペアリングコードとポート番号を抽出し、端末のローカルADBサービスに接続します。
「マルウェアがシェルユーザー権限を取得すると、ADBデーモンを通じて直接高権限コマンドの実行を開始します。これにより、Androidランタイムが通常求める同意プロンプトを回避して広範な権限を自身に付与し、OSのバックグラウンド制限を無効化し、重要なコンポーネントを密かに有効化したうえで、永続化を強制します」とZimperiumは説明しています。
ワイヤレスADBの悪用は、他のAndroidマルウェアの作成者も自らの不正ツールに実装するようになっており、Androidマルウェア全体で拡大傾向にある手口です。最近ではGroup-IBが、RedHookマルウェアの最新版にも同様の仕組みが実装されていることを報告しています。
Zimperiumは、最新版ToxicPandaに関連する侵害指標(IoC)のリストをこのGitHubリポジトリで公開しています。
