eSecurity Planet のコンテンツおよび製品推奨は編集上の独立性を保っています。パートナーへのリンクをクリックいただくことで、当社に収益が発生する場合があります。 詳細はこちら
ToxicPanda 2.0は、感染したAndroid端末に対する攻撃者の遠隔操作をさらに深いレベルへと拡張しており、その中にはGoogle Playを排除する新たな手口も含まれています。
Zimperiumのセキュリティ研究チームzLabsは、Androidバンキング型トロイの木馬「ToxicPanda」の新バージョンを発見しました。この新版は、対応範囲が大幅に広がり、コマンドの武器庫もはるかに充実しています。
Zimperiumによると、このマルウェアは現在167種類の遠隔操作コマンドに対応しており、16カ国にまたがる349種類の銀行・金融・電子ウォレット・暗号資産関連アプリを標的にできるようになりました。これは、これまで確認されていたバージョンが16種類の銀行アプリを対象としていたのと比べて大幅な拡大です。
ToxicPanda 2.0はさらに、140種類を超える金融・暗号資産アプリからPINを窃取できるほか、端末のロック解除情報を取得し、Androidの設定を操作してアクセスを維持する機能も備えています。
Zimperiumは、この新バージョンについて「標的範囲と機能の両面で著しい拡大を示している」と述べています。
Google Playを遮断
攻撃はまず、インストール処理を偽装したドロッパーから始まり、被害者にVPN権限の付与を求めます。この許可が下りると、マルウェアはVPNインターフェースを利用してGoogle PlayおよびGoogle Playサービスとの通信を遮断したうえで、隠されたペイロードを復号してインストールすることをZimperiumは確認しています。
続いてマルウェアはAndroidのユーザー補助機能(Accessibility Service)へのアクセス権限を要求します。この正規機能により、ToxicPandaは画面要素の検査、タップの自動化、アプリケーションとの対話が可能になります。
Zimperiumによれば、検体はAmazon Web Servicesがホストするストレージバケットから配布されており、攻撃者側が主要クラウドインフラをマルウェア配布にも利用していることが分かります。
ADBがさらに深い侵入経路を開く
ToxicPanda 2.0で特に懸念される追加機能の一つが、正規の開発者向け機能であるAndroidワイヤレスデバッグの悪用です。
マルウェアはユーザー補助サービスを利用して、開発者向けオプションを有効化し、ワイヤレスデバッグをオンにしたうえで端末のペアリング画面を開き、一時的な6桁のペアリングコードを抽出します。その後、端末のローカルAndroid Debug Bridge(ADB)サービスとペアリングを行います。
これにより、マルウェアはシェルレベルのアクセス権を獲得できる可能性があります。攻撃者はコマンドの実行、追加権限の付与、バックグラウンド制限の弱体化、そして通常のAndroid権限プロンプトに完全には頼らない形での永続化強化が可能になります。
このトロイの木馬は、偽のAndroidロック画面を表示してPIN・パターン・パスワードを窃取することもできます。また、別の検体では偽の全画面「システムアップデート」画面を表示し、不正な動作を隠蔽するものも確認されています。
ユーザーと企業への影響
より大きなリスクは、ToxicPandaがもはや単なる銀行認証情報窃取ツールにとどまらないという点です。端末を制御し、設定を操作し、正規の銀行セッション内部で動作する能力は、より広範なアカウント乗っ取りの脅威を生み出しています。
Dark Readingが報じたところによれば、企業にとっては、侵害された従業員のスマートフォンが、パスキーや銀行アプリ、企業サービスへのアクセスを含む認証デバイスとなっている可能性もあります。
そのため、ユーザーにとって最大の判断ポイントとなるのがサイドローディングです。ToxicPandaが機能するには、被害者が不正アプリをインストールし、強力な権限を承認する必要があります。心当たりのないリンクからのAPKを避け、ユーザー補助・VPN・デバイス管理者・開発者向けオプションへのアクセスを求める不審な要求を警告サインとして扱うことで、マルウェアが制御権を握る前に攻撃を断ち切ることができます。
弱点は「信頼」そのもの
ToxicPanda 2.0における最も重要な進化は、単一の機能にあるのではないかもしれません。むしろ、正規のAndroid機能を連鎖的に組み合わせる手法にこそ本質があります。
ユーザー補助サービス、VPN機能、ワイヤレスデバッグ、デバイス管理機能は、いずれも正規の用途を持つ機能です。しかし、これらが一度悪意あるアプリに付与されてしまうと、組み合わさることで攻撃者に端末に対するますます深い制御権を与えることになります。
これにより防御は一段と複雑になります。組織がToxicPandaに悪用される機能をすべて無効化することは現実的ではないためです。むしろ実務上有効な兆候は、複数の要素の組み合わせにあります。管理下にあるAndroid端末において、予期しないユーザー補助サービスの動作、開発者向けオプションの変更、ワイヤレスデバッグの有効化、そして説明のつかないADBペアリングが同時に見られる場合は、詳細な調査が必要です。
その他のニュース: イランと関連があるとみられるサイバー攻撃により、英国の小規模発電施設が4日間にわたり操業停止に追い込まれたと報じられています。これは、重要インフラのサイバー脅威に対する耐性への懸念の高まりを浮き彫りにしています。
翻訳元: https://www.esecurityplanet.com/threats/news-toxicpanda-2-android-malware-349-financial-apps/
