インドネシアを狙うAndroidバンキングアプリ複製キャンペーン

インドネシアが、GoogleのWork Profile機能を悪用して銀行のセキュリティ対策を回避する新たなAndroidバンキングマルウェアの手口の初期実験場として浮上しています。

Group-IBによると、同社の研究者は2月から7月にかけてインドネシアで約1,469台の侵害されたデバイスと1,281件の侵害された可能性のあるログインを観測しており、推定被害額は約100万ドルに上るとしています。

9月9日に発表された調査の中で、Group-IBは脅威アクターGoldFactoryが使用するAndroidバンキングマルウェアの手口について説明しています。GoldFactoryは、金銭目的でモバイルバンキングを標的としたサイバー攻撃に特化した、中国語を話す脅威グループです。その最終目的は、被害者のバンキングアプリを隔離環境に複製し、マルウェア検知や不正利用の兆候がそこまで及ばないようにすることにあります。

このキャンペーンで使用されているマルウェアはGigabudで、2022年から活動しているAndroidデバイスを標的とするバンキング型トロイの木馬です。東南アジア、南アジア、中東、アフリカ、ラテンアメリカ全域での攻撃に使用されています。誘導手口や感染時の状況は地域によって異なり(攻撃者は各国の航空会社、税務当局、政府ポータルサイトなどになりすましています)、このマルウェアは総じて標的デバイスに対して攻撃者に絶大な支配力を与えます。インストールされ、必要な権限が付与されると、このマルウェアは操作者に被害者のスマートフォンへのリアルタイムなリモート制御を許してしまいます。

今回の最新調査で注目すべき点は、Gigabudの感染事例を調査する過程で、Group-IBがVworkと呼ばれるアプリケーションの存在を発見したことです。これはオープンソースのAndroidアプリ複製アプリケーションShelterのフォークです。Group-IBは、Gigabudへの初期感染からわずか数分以内にVworkがインストールされる事例を観測しています。

今回の調査により、GoldFactoryがAndroidのWork Profile機能を通じて新たな防御回避手法を展開していることが明らかになりました。Work Profileは本来、企業利用を想定した機能で、ユーザーのスマートフォン上に個人プロファイルとは独立してアプリをインストールできる、分離された専用領域を作成するものです。

バンキング型トロイの木馬の標的となるインドネシア

Group-IBは、ブラジル、コロンビア、エジプト、インドネシア、ラオス、メキシコ、モロッコ、フィリピン、タイ、トルコ、そして「GCC(湾岸協力会議)加盟国の一つ」を含む国々を標的としたVwork対応のGigabudサンプルを確認しました。しかし研究者のPavel Naumov氏とBryan Karunachandra氏は、特にインドネシアへの影響を強調しています。

確認されたある事例では、「複製されたのは実在するインドネシアの銀行アプリの偽バージョンだった」と研究者らは説明しています。

この調査結果は、Zimperiumのzlabs研究チームが9月9日に公開したブログ記事とほぼ同時期に発表されました。このブログ記事では、インドネシアの脅威アクターと関連があり、インドネシアの被害者を標的とする、Androidデバイスを狙う攻撃的なバンキング型トロイの木馬マルウェア「Mantax Otax」について詳しく説明されています。

Zimperiumのチーフサイエンティストであるニコ・キアラヴィリオ氏はDark Reading の取材に対し、インドネシアがこの種のマルウェアにとって魅力的な標的となっている理由について、人口が多く移動性の高い国民性に加え、モバイルバンキング、デジタル決済、メッセージングプラットフォーム、Androidデバイスの利用が広く普及していることが組み合わさっているためだと説明しています。

これにより潜在的な標的の裾野は広くなっていますが、キアラヴィリオ氏はインドネシアが唯一の標的ではないことを強調しています。同氏は「モバイルバンキングを狙うマルウェアは世界的な脅威であり、攻撃者はモバイル金融サービスが広く利用され、ソーシャルエンジニアリングキャンペーンを効果的に現地化できる場所に活動を集中させる傾向がある」と述べています。

Androidスマートフォンを狙う新たな回避手法

Group-IBによると、被害者がGigabudトロイの木馬を通じて感染すると、Gigabudはユーザー補助機能の権限を取得してデバイスの情報を収集した上でVworkをインストールし、この2つ目のアプリを使ってワークプロファイルを作成、ユーザーのスマートフォンに既に入っているバンキングアプリをそのサンドボックス化されたプロファイル内に複製します。準備が整うと、「操作者は被害者のスマートフォン上で直接取引を実行する一方、黒い画面が何が起きているかを隠す。複製された環境は不正利用防止対策を回避するために利用される」としています。

Vwork自体にはコマンド・アンド・コントロール(C2)機能は組み込まれておらず、代わりにGigabudを中継役としてコマンドを受け取る仕組みになっています。Group-IBは、多くの不正利用・マルウェア検知システムが特定のアプリインスタンスやプロファイルを基準にリスクシグナルを構築していると指摘しています。そのため、セキュリティツールが個人プロファイル上でマルウェアを検知したとしても、それが新たに作成されたワークプロファイルにまで及ぶとは限りません。

Group-IBの調査ブログ記事によれば、「銀行側から見ると、取引は新しいデバイスから発生しているように見え、以前検知されたマルウェア活動とは無関係に見える可能性がある」としています。「一方で、マルウェア検知アラートは被害者の個人プロファイル上では既に発報されているものの、感染の兆候がないため新たに作成されたワークプロファイル上では発報されない。プロファイル間のこの分離を悪用することで、詐欺師はマルウェア検知シグナルと不正取引との結びつきを事実上断ち切ることができ、既存のセキュリティ対策を回避して現金化に成功することができる」

この一連の流れの中で最も早い段階で現れる信頼できる警告サインは、企業のIT部門によってセットアップされたことのない一般消費者向けのスマートフォンが、ユーザーの操作なしに分離されたワークプロファイルを作成することです。Group-IBはまた、ユーザーに対し、複数のプロファイルにまたがって同一のバンキングアプリケーションがインストールされていないか、本来必要のないはずのアプリでユーザー補助機能へのアクセスが有効になっていないか、あるいは以前のアプリインストール直後に正規でない配布元から予期しないアプリのインストールが行われていないか、といった点に注意するよう推奨しています。