ハッカーが低価格Androidスマホをプリインストール型マルウェアで隠れプロキシボットネットに変えている

Android向けマルウェアの大規模キャンペーン「Midnight Mimosa」が、購入前の端末ファームウェアに悪意あるアプリを組み込むことで、低価格スマートフォンを広告詐欺の実行基盤、さらには住宅用プロキシノードとして悪用しています。

Bitdefenderは、約2年にわたり150か国以上で数千台規模の感染端末を確認しました。通常のアプリ削除では解消できない、持続的な侵害が明らかになっています。

影響を受けるのは、MediaTek製チップを搭載した低価格端末や、フラッグシップ機の偽造モデルなどです。

ユーザーが悪意あるソフトウェアをインストールすることで感染する従来のAndroidマルウェアとは異なり、このキャンペーンでは、端末が持ち主の手元に届いた時点で、プラットフォーム署名付きのシステムアプリがすでに存在しています。

最初に特定された感染の起点「com.android.system.lite」は、OSのコンポーネントを装いながら、INSTALL_PACKAGES、DELETE_PACKAGES、GRANT_RUNTIME_PERMISSIONS、WRITE_SECURE_SETTINGSといった強力な権限を保持しています。

これらの権限により、ユーザーの操作なしにアプリのインストールやパッケージの削除、権限の付与、保護された設定の変更ができてしまいます。

隠された機能はネイティブライブラリ「libeasy.so」に存在し、RC4で暗号化された組み込みのJavaフレームワークを復号します。

このフレームワークはリモートの設定情報を取得し、DEX/JARプラグインをダウンロードします。これにより、攻撃者はファームウェアに仕込んだ元のインプラントを入れ替えることなく、機能を変更できます。

コマンドインフラにはapi.weatherlive.worldが含まれ、追加モジュールはoss.showtimetool.comなどのインフラから取得されます。

天気をテーマにした名称は、悪意ある通信を通常のアプリの通信に見せかける効果があります。

ペイロードを展開する前に、この感染の起点はGoogle Playストアのパッケージを一時的に無効化し、その後で元に戻します。Bitdefenderは、この挙動をPlay Protectによる検知を回避する試みと分析しています。

機密性の高いアクセス機構も存在しますが、研究者らは、関連する権限が悪用された形跡は確認していません。

プラグインのcom.wz.sdk.DxFactoryは不正な広告活動を担います。com.earnsdk.lib.DxFactoryとcom.gogo.third.lib.DxFactoryは、アプリのサイレントインストールと削除を支援します。

隠しウィンドウと自動化された操作によって、インプレッション、クリック、コンバージョンのイベントが捏造され、一見正規のユーティリティアプリによるものとして計上されます。

Androidマルウェアキャンペーン

研究者らは、ペイロード全体で少なくとも32個の偽装アプリを特定しました。天気ツール、アプリロッカー、OCRユーティリティ、ファイルマネージャーなどです。

Polyswarmの研究者らも指摘しているように、Google Playからインストールされたと主張しながら、Playが付与する対応する署名ブロックを持たないアプリも見つかっています。

これとは別に、Google Play経由で配布されていた関連アプリ13個にも、同じ広告詐欺の痕跡と共通のインフラが確認されました。ただし、ファームウェア側の感染の起点が持つシステムレベルの権限は備えていませんでした。

展開されたパッケージの一つ、com.mobile.applock.enには、プロキシウェアのEnLoaderLibが含まれています。端末を登録し、双方向のTCPトンネルによるアクセスを確立する機能を備えています。

この機能を使えば、第三者が被害者のインターネット回線経由で通信を中継し、発信元のインフラを住宅用アドレスの裏に隠すことが可能になります。

ただし、機能があることと、実際に悪用が確認されたことは区別する必要があります。Bitdefenderが文書化した動的テストでは、実際の通信中継は確認されていません。当初特定された制御用エンドポイントも、その後シンクホールであると判明しました。

StudySecurity

確認された感染の集中度が最も高かったのはメキシコ、フランス、イタリアで、米国、ドイツ、ブラジル、スペインが続きます。これらはテレメトリ上の分布を示すもので、特定地域を狙った攻撃だと確認されたわけではありません。

一部のファームウェア証明書には、Shenzhen Zediel Co., Ltd.に関連する識別子が含まれていました。しかし研究者らは、サプライチェーンのどの段階で侵害が入り込んだのかを特定できておらず、証明書の所有者の関与も示せていません。

Android.Joker、Android.Phantom、Android.Clickとのコードやインフラの重複も確認されていますが、同一の運営者によるものだとは言えません。

このキャンペーンは、FBIがBADBOX 2.0の警告で取り上げた、より広範なプリインストール型マルウェアの脅威と類似しています。ただし、両者の直接的な運用上の関係は確認されていません。

企業にとっては、低価格な調達や管理されていない私物端末（BYOD）の利用が、不正なネットワーク活動にさらされる要因になります。

ファームウェアレベルで居座られるため、目に見えるペイロードを削除するだけでは不十分です。特権を持つ感染の起点が残り続け、代わりのペイロードをインストールしたり、リモートから提供される新たなコードを取得したりできます。

したがって、信頼できるファームウェアによる修復やハードウェアの交換は、通常のアンインストール手順に頼るだけでなく、慎重に検討する必要があります。

IOC（侵害指標）

注記: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例: [.]）されています。元の形式に戻す作業は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

被害が出る前にサイバー脅威を阻止し、MTTRを21分短縮。ANYRUNのサンドボックスをSOCに統合しましょう。

Cybersecuritynews subscription