ToxicPandaバンキング型トロイの木馬が進化、企業を脅かす脅威へ

Androidバンキング型トロイの木馬が新たな亜種として再浮上し、デバイスの完全な乗っ取りと持続的なアクセスに向けて大きく進化していることが明らかになりました。この脅威はモバイルユーザーだけでなく、そうしたデバイスからアクセスされる企業リソースにもリスクを及ぼします。

Zimperium zLabsの最新の調査によると、「ToxicPanda 2.0」は前身のバージョンから大幅に機能を拡張しており、リモートコマンドを167個追加したほか、標的とする対象を16の金融機関から349の銀行・電子ウォレット・暗号資産アプリへと広げています。さらにこのトロイの木馬は、AndroidのWireless DebuggingとAndroid Debug Bridge(ADB)を通じた権限昇格やシェルレベルのアクセスなど、Androidデバイスを侵害するためのより高度な手法を備えており、感染したデバイス上で長期にわたって持続的にとどまるための機能も追加しています。

ToxicPandaは2024年11月に初めて確認され、その際にはラテンアメリカ、イタリア、ポルトガル、スペインでAndroidデバイスを乗っ取り、不正なモバイルバンキング取引を行っていることが観測されていました。今回、対象国が16カ国に拡大し、機能も大幅に追加されたことは、研究者が当初確認したバージョンよりもはるかに成熟し、能力の高い脅威へと変貌したことを示しています。

Zimperium zLabsの研究者Vishnu Pratapagiri氏はレポートの中で、更新版全体について「標的の範囲と機能の両面で大幅な拡張を示している」と記しています。

ToxicPandaの成熟

ToxicPanda 2.0で注目すべき変化のひとつが、配布に使われるインフラです。研究者は、サンプルがAmazon Web Servicesがホストするバケットを通じて配信されているのを確認しており、攻撃者が正規のクラウドインフラを悪用してマルウェアを拡散させている可能性を示しています。

この亜種はまた、被害者が入力した認証情報を窃取するためのロック画面オーバーレイも新たに導入しています。この機能により、攻撃者はデバイスのロック解除に使える認証情報を入手し、他のサービスへのアクセスにもつなげられる可能性があるため、トロイの木馬の影響範囲は銀行詐欺にとどまらず広がる恐れがあります。

BeyondTrustのシニアバイスプレジデント兼副最高情報セキュリティ責任者(CISO)であるBradley Smith氏は、次のように述べています。「このトロイの木馬が乗っ取るデバイスは、プッシュ型多要素認証の承認を行い、パスキーを保管し、従業員と会社双方のバンキングアプリやウォレットアプリを動かしている、まさにそのデバイスです。マルウェアがオーバーレイを通じてロック画面のPINを盗み出し、さらに管理者権限を使ってデバイスのパスワードをリセットできるようになれば、攻撃者はIDの要となる情報と、それに紐づくすべてのアカウントを手に入れてしまいます」

ToxicPanda 2.0は、Android 11で導入されたWireless Debugging機能も権限昇格の手段として悪用します。Wireless Debuggingは本来、開発者が物理的なUSB接続なしにADB経由でAndroidデバイスに接続できるようにするための機能です。

Zimperiumによれば、ToxicPandaはAndroidのAccessibility Servicesを利用してこのプロセスを自動化しています。開発者向けオプションを有効化し、Wireless Debuggingをオンにしたうえで、一時的なADBペアリングコードを抽出し、デバイスのADBサービスとのペアリングを完了させることができるといいます。

この結果として特に重大なのは、マルウェアがシェルレベルのアクセス権を獲得し、デバイス上で直接コマンドを実行できるようになる点です。ここから脅威アクターは自らに追加の権限を付与し、OSの制限を緩め、各種コンポーネントを有効化し、持続性を確立できます。つまりこのマルウェアは、正規のAndroid管理機能を悪用することで、アプリケーションレベルの権限からデバイスそのもののより深い制御へと足場を広げているのです。

企業にとってより広範な脅威

ToxicPanda 2.0の進化は、バンキング型トロイの木馬全般に見られるより広い傾向を反映しています。こうした脅威は、金銭目的で個別のバンキングアプリを侵害するにとどまらず、デバイス自体を持続的に制御下に置こうとする方向に、ますますシフトしています。

この変化は、企業のセキュリティにとって新たな問題を生み出します。侵害された従業員のスマートフォンは、バンキング用デバイスであると同時に、認証デバイスであり、パスキーの保管場所であり、企業のアプリケーションやサービスへの入り口にもなり得るからです。

したがってリスクは、マルウェアが直接標的とする金融アプリの範囲にとどまりません。攻撃者がデバイスの持続的な制御を確立できれば、認証プロセスを妨害したり、認証情報を盗み出したり、アプリケーションを操作したり、侵害されたエンドポイントを踏み台として他の企業リソースに侵入したりする機会を得る可能性があります。

Pratapagiri氏は、「ToxicPandaのようなモバイルバンキングを狙う脅威がますます高度化する中、従来のシグネチャベースのセキュリティ層だけでは、企業のモバイルエンドポイントを守るにはもはや不十分だ」と記しています。Zimperiumは、攻撃チェーンの複数の段階でマルウェアの活動を阻止できる、包括的かつ多層的な防御の導入を推奨しています。

企業向けには、BeyondTrustのSmith氏がToxicPanda 2.0のような拡張されたバンキング型トロイの木馬の機能を軽減するため、いくつかの対策を提案しています。同氏によれば、企業のID管理システムに登録されたデバイスではサイドローディングをブロックし、Accessibility Serviceの許可付与は特権アクセスに関わるイベントとして扱い、ログを取得したうえでレビューすべきだといいます。

また、管理下のモバイルデバイスで開発者向けオプションやWireless Debuggingが有効化された際にはアラートを出すべきだとも述べています。Smith氏は「これはモバイルデバイス管理の仕組みですでに検知できるはずの兆候ですが、実際に監視している組織はほとんどありません」と指摘しています。