悪名高いバンキング型トロイの木馬「ToxicPanda」が、大幅に強化された新バージョンとなって再び姿を現しました。ToxicPanda 2.0は、銀行アプリや暗号資産アプリからPINコードを盗み出す機能を備えています。スマートフォンのロック解除パスワードも驚くほど簡単に傍受してしまいます。さらに、Androidの機能を自律的に有効化し、攻撃者に端末への広範なアクセス権を与えます。Zimperiumの研究者らは最近、感染したスマートフォンを操作するために設計された167種類ものリモートコマンドを発見しました。
モバイル攻撃の規模が大幅拡大
これに伴い、攻撃全体の規模も劇的に拡大しています。高度化したPIN傍受メカニズムは、140種類を超える銀行アプリや暗号資産アプリを標的としています。専用のフィッシング画面一式により、349の金融プラットフォームにわたってインターフェースを差し替えることが可能になりました。標的には、16か国にまたがる銀行アプリ、暗号資産取引所、デジタルウォレットが含まれます。対照的に、以前のバージョンのToxicPandaが標的としていた銀行アプリはわずか16種類だったと、アナリストは指摘しています。
偽装インターフェースによるオーバーレイ
感染に成功すると、ToxicPanda 2.0はひそかにインストール済みプログラムの一覧を作成します。パッケージ名とアイコンを収集したうえで、この情報をコマンド&コントロールサーバーに送信します。端末の所有者が標的となっている銀行アプリを起動するたびに、サーバーは対応する偽のインターフェースを送り込みます。マルウェアはこの不正なHTMLインターフェースを、正規の銀行アプリの画面の上にシームレスに重ねて表示します。そして、ログイン認証情報やパスワード、PIN、その他の機密データを入力するようユーザーを巧妙に誘導します。最終的に、入力されたすべての情報はトロイの木馬の運用者へと直接送信されます。
ステルス化したPIN傍受とADBの悪用
ToxicPandaの開発者は、PINを傍受するためのさらにステルス性の高い手法も組み込んでいます。このトロイの木馬は、Androidのアクセシビリティサービスを通じて実行中のアプリを常時監視します。銀行アプリやウォレットアプリが起動すると、画面上に透明な不可視レイヤーを重ねます。このレイヤーは、ユーザーのタッチ操作をすべて細かく記録します。攻撃者は標的とするプログラムのリストを遠隔から動的に変更できます。そのため、実際に狙われる可能性のある対象は、研究者が発見した当初の設定範囲をはるかに超えて広がっています。
ワイヤレスデバッグの乗っ取り
しかし、とりわけ異常かつ危険な機能として際立っているのが、Androidのワイヤレスデバッグを自動的に有効化する機能です。アクセシビリティサービスへのアクセスを確保すると、ToxicPanda 2.0は自律的にスマートフォンの設定画面を開きます。ビルド番号の項目に移動し、開発者モードを有効にするための7回タップを完璧に模倣します。続いて、このトロイの木馬はワイヤレスデバッグ設定の項目に進み、ワイヤレスデバッグ機能を有効化します。ペアリング処理を開始し、6桁のコードを読み取って、ローカルのADBインターフェースにシームレスに接続します。この一連の手の込んだ手順を経て、マルウェアは強力なシェルユーザー権限を獲得します。これにより、通常のアプリでは決して実行できないような強力なコマンドを実行できるようになります。
ソーシャルエンジニアリングと回避手法
このトロイの木馬の開発者は、偽のAndroidロック画面も併せて実装しています。ToxicPandaは、システムのインターフェースを完璧に再現した画面を表示し、ロック解除用のPINやパターン、パスワードを傍受します。研究者は、別の検体においてシステムアップデート画面を模した全画面表示を発見しました。この偽装画面は、マルウェアがバックグラウンドで行う悪意ある活動を効果的に隠蔽する役割を果たしています。
スマートフォン所有者を欺く手口
当然ながら、攻撃の初期段階も、スマートフォンの所有者を欺くことに大きく依存しています。ダウンローダーは偽のインストール画面を表示し、VPN接続を確立するための許可を明示的に要求します。この許可を得ると、マルウェアはGoogle Playやその他のGoogleサービスからのネットワークリクエストを積極的にブロックできるようになります。その後、主要コンポーネントを展開し、アクセシビリティサービスへのアクセス権を執拗に要求します。調査担当者は、Amazon AWSのリポジトリ内に潜んでいたToxicPanda 2.0の検体も複数発見しました。脅威アクターは、これらの特定のバケットを悪用して不正なファイルを配布していました。
結局のところ、ToxicPanda 2.0はAndroidのセキュリティを瞬時に打ち破るような単一の魔法の脆弱性を悪用しているわけではありません。むしろ、攻撃の大部分は、ソーシャルエンジニアリングと、正規のシステム機能の露骨な悪用に大きく依存しています。攻撃者はユーザーを言葉巧みに誘導し、不正なアプリケーションをインストールさせ、非常に機微な権限を付与させます。その結果、アクセシビリティサービスとADBは強力なリモート制御ツールへと姿を変えてしまいます。したがって、ユーザーは出所不明のランダムな配布元から入手したAPKファイルに対して、極めて強い警戒心を持つ必要があります。Androidのアクセシビリティ機能やVPN、その他の重要なシステム機能へのアクセスを不可解に要求するアプリケーションは、断固として避けるべきです。
翻訳元: https://meterpreter.org/toxicpanda-android-banking-trojan/
