- Zimperium、インフォスティーラー・RAT・バックドア・ランサムウェアを融合させたAndroidマルウェア「Mantax Otax」を発見
- サードパーティ製ストアやSNS、フィッシング経由のAPKで配布。旧バージョンのAndroidが特にリスク大
- 大量のデータを窃取し遠隔監視を可能にした後、AESでファイルを暗号化し身代金を要求
脅威アクターがデバイスを標的にする際、通常はインフォスティーラー、リモートアクセス型トロイの木馬(RAT)、バックドア、ランサムウェア暗号化ツールなど、数あるマルウェアの中から一つに感染させるのが一般的です。
これらすべての機能が一つのマルウェアに統合されるケースはまれで、しかもそれがAndroidモバイル端末を標的にしているとなればなおさら珍しいのですが、セキュリティ研究者集団Zimperiumはまさにそうした事例を発見しました。
Mantax Otax
同セキュリティ企業は、実際に出回っている特殊なマルウェア株Mantax Otaxに関する詳細なレポートを公開しました。このマルウェアはインドネシアの脅威アクターによって開発されたとみられ、同国内の被害者を標的にしていますが、正確な感染者数や、このキャンペーンが主に企業ユーザーを狙ったものか、それとも個人全般を対象としているのかは分かっていません。
このマルウェアは単体のAPKとして配布されており、サードパーティ製アプリストア、Telegramチャンネル、フォーラム、さらにはSNS全般で見つかる可能性があります。Google Play StoreやSamsungのGalaxy Storeを含む公式アプリリポジトリには、Mantax Otaxの痕跡は一切見つかっていません。Zimperiumは、フィッシングメール経由でも配布されている可能性が高いとみています。
Mantax Otaxは主に旧型のAndroidスマートフォンを使うユーザーを標的としています。バージョン9以前が最もリスクが高く、これらの端末では攻撃者がマルウェアの全機能を利用できてしまいます。一方、Android 10以降の端末はある程度保護されます。
「対照的に、Android 10以降を搭載した最新の端末では、OS標準の防御機能、特にScoped Storage(スコープ付きストレージ)の制限によってマルウェアの効果が著しく阻害されます」と研究者は説明しています。「このサンドボックス化のルールにより、ランサムウェアはアプリケーション固有のローカライズされた外部ファイルディレクトリのみをスキャンする形に制限され、被害範囲が大幅に縮小されるとともに、アクセス可能なユーザーファイルの量も減少します」
新しい端末に加え、ZimperiumのMobile Threat Defense(MTD)およびRuntime Application Protection(zDefend)の利用者は、ソフトウェアレベルで保護されているとされています。
もう一つ重要な留意点は権限の問題です。Android端末では通常そうであるように、ユーザーが事前に広範な権限を付与しない限り、多くのマルウェアは機能しません。今回のケースでは、Mantax Otaxはまず管理者権限を要求し、その後SMSメッセージ、連絡先、音声、画像へのアクセスなど、広範な機能を自らに付与します。
続いてユーザー補助(アクセシビリティ)権限を要求し、侵害した端末を完全に掌握します。
悪意ある機能
Mantax Otaxはかなり高機能とされています。ブラウザの閲覧履歴、連絡先、通話履歴、SMSメッセージ、通知、ファイル、ギャラリー内のメディア、Googleアカウント情報、デバイスの仕様、位置情報、そしてインストール済みアプリケーションの一覧を窃取します。また、WhatsAppからはメッセージやプロフィールなどの情報を、Telegramからはロック画面のPINコードも取得可能です。
情報窃取機能に加え、リモート監視ツールとしても機能し、スクリーンショットの取得や画面の録画、さらには攻撃者への画面のライブストリーミングも行います。フロントカメラとリアカメラの両方を使って写真を撮影することも可能ですが、Zimperiumはマイクによる録音機能については言及していません。
最終的に、すべてのデータを収集し終えると、AESでユーザーファイルを暗号化してオリジナルを削除し、.enc拡張子を付加します。その後、被害者にはチャット形式のインターフェースが表示され、攻撃者と直接やり取りしながら、端末を取り戻すための身代金の支払いを交渉できるようになっています。
このツールは継続的に開発が進められているようです。Zimperiumは2つの別バージョンを発見しており、一方はもう一方の「進化形」だとしています。「特筆すべき点として、ネットワーク通信の挙動をWebSocketsを利用する形に変更し、新たなコマンド群を導入しています」と研究者は述べています。
ランサムウェアの運用者が個人よりも企業を狙いたがるのには理由があります。個人が被害者リストから完全に消えたわけではないものの、企業の方が業務停止によって失うものがはるかに大きいため、より頻繁に標的にされる傾向があります。残念ながら、Mantax Otaxがどのようなアプリになりすましているのかは分かっていないため、標的が誰であるかを見極めるのは困難です。
