Group-IBの調査によると、Androidバンキング型トロイの木馬「Gigabud」は、感染したスマートフォン上に別のワークプロファイルを作成し、その中でクローンされた銀行アプリを実行できることが分かりました。攻撃者はこの新しいプロファイル内で不正な取引を実行でき、デバイスの他の場所で検出されたマルウェアの痕跡から取引を切り離せる可能性があります。
この手口を実現するため、Gigabudは正規のオープンソースツールShelterの悪意あるバージョンである「Vwork」をインストールします。Shelterは本来、Androidユーザーがアプリを隔離したり、ワークプロファイル内でアプリの第二のコピーを実行したりできるようにするツールです。Vworkはこれらの機能を改変し、Gigabudが遠隔操作できるようにしています。
その狙いは、標的となる銀行アプリを新しいワークプロファイルにクローンし、攻撃者側の操作者がそこで不正行為を働けるようにすることです。Group-IBによれば、これにより個人用プロファイルで検出されたマルウェアと、ワークプロファイルから発生した危険な取引との間のつながりが断ち切られる可能性があります。その結果、Androidのプロファイル間の活動を相関分析しない銀行側の不正対策やアプリ内マルウェア検知システムの効果が弱まるおそれがあります。
Androidのワークプロファイルは本来、業務用アプリやデータを個人用のものと分離しておくために使われる機能です。異なるプロファイル内のアプリは互いに隔離されているため、銀行アプリやセキュリティツールが、個人用プロファイルで検出したマルウェアと、ワークプロファイル内のクローンアプリで発生している事象とを結び付けられない場合があります。
攻撃の仕組み
被害者は、フィッシングサイトやメッセージ、SNSを通じて、偽の航空会社アプリ、税務アプリ、政府機関アプリなどをサイドローディングするよう誘導されます。
デバイスを乗っ取るため、Gigabudはユーザー補助（Accessibility）機能へのアクセス、他のアプリの上に表示するオーバーレイ権限、そしてバッテリー最適化の対象外設定を要求します。これらの権限により、遠隔操作やオーバーレイのような認証情報窃取の手口が可能になります。
サイドローディングされたアプリは、他にどのアプリがインストールされているかを確認し、該当する銀行系の標的が存在することを操作者に通知します。
偽の銀行ログイン用オーバーレイが表示され、銀行の認証情報とデバイスのPINの両方が盗まれます。
操作者はVworkをインストールし、デバイス上に新しいワークプロファイルを作成して、選択した銀行アプリをクローンします。Vworkは、マルウェアにとって有用な形でShelterとは異なる改変が加えられています。プロファイル間の操作に対する保護機能を取り除き、プロファイルのセットアップ、アプリのクローン作成・一覧表示、アプリの起動に使えるコンポーネントを公開し、さらに自身のランチャーアイコンを隠します。
その後、操作者は新しく作成されたプロファイルから遠隔で取引を実行でき、必要に応じて黒い画面の裏に活動を隠すオプションも使えます。
これがGigabudがAndroidのプロファイル分離機能を不正利用の道具に変える仕組みです。スマートフォンを乗っ取った後、第二のプロファイルを作成し、その中にクローンした銀行アプリを配置して、そこから取引を実行するのです。結果として、一方のプロファイルでのマルウェア警告と、もう一方のプロファイルでの不正な銀行取引セッションとの間に、危険な断絶が生まれる可能性があります。
身を守る方法
当面の防御策としては、以下のような基本的ながらも重要な対策が挙げられます。
サイドローディング。銀行アプリなどは、公式ストアか発行元の公式サイトへの直接リンクからのみインストールしてください。
インストール要求。身に覚えのないAPKのインストール要求は、詐欺の可能性が高いものとして扱ってください。詐欺かどうか判断がつかない場合は、Malwarebytes Scam Guardで確認することをお勧めします。
権限。航空会社、税務、配送、政府機関を名乗るアプリに対して、ユーザー補助機能や「他のアプリの上に表示」を許可しないでください。最新のAndroidではオーバーレイの利用にユーザーの明示的な承認が必要なため、このような要求自体が危険信号です。
保護対策。お使いのAndroidデバイスには、最新の状態を保ったリアルタイム型のアンチマルウェアソリューションを導入してください。Malwarebytesは、Gigabudの構成要素をAndroid/Trojan.Banker.ACR577B2BA2H61、Android/Trojan.Banker.ACRF6CE8D30H46、Android/Trojan.Banker.ACR6C67829FH20、Android/Trojan.Banker.SIB02FFFFFF1112H106、Android/Trojan.Banker.SIB0181193e44H71、Android/Trojan.Banker.AUR2f2f4fb5C95、Android/Trojan.Spy.Gigabud.xcとして検出します。
不審なAPKをインストールし、ユーザー補助権限を許可してしまった場合は、信頼できる方法で銀行に連絡を取り、該当アプリの特別な権限を取り消したうえでアンインストールし、既知の安全なデータのみを保持した状態で工場出荷時リセットを検討することをお勧めします。
銀行アプリの第二のインスタンスが存在する場合は、特に注意が必要です。ワークプロファイルには正当な用途もあるため、別のワークプロファイルが存在すること自体は侵害の証拠にはなりません。しかし、クローンされた銀行アプリの存在は明らかに不審な兆候といえます。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシングや詐欺メッセージ、悪意あるサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardも標準搭載されています。
