「Midnight Mimosa」と呼ばれる大規模なAndroidマルウェアキャンペーンが、MediaTek製チップを搭載した低価格端末のファームウェアにマルウェアをあらかじめ仕込んでいます。
Bitdefenderは、150カ国以上で数千台の端末に感染が確認されたと報告しています。悪意のあるコードは、所有者が端末を初めて起動する前から、システム権限で動作します。
PolySwarmが公開した分析によると、このキャンペーンの中核は、プラットフォーム署名を持つ永続的なシステムアプリケーションです。このアプリは、さらなる悪意あるコンポーネントを呼び込む「イネーブラー」として機能します。
最初に特定されたパッケージ「com.android.system.lite」は、正規のOSコンポーネントを装い、ユーザーの操作なしにアプリを密かにインストールおよび削除します。
Bitdefenderはその後、関連するイネーブラーのパッケージも発見しました。これらはパッケージ名、署名証明書、ネイティブライブラリ名が異なるものの、悪意ある機能とC2インフラは共通しています。
このマルウェアは特権的な立場を利用して、Android標準の保護機能を回避できます。ペイロードをインストールする前にGoogle Playストアのパッケージを一時的に無効化し、完了後に再び有効化します。
Bitdefenderは、これをPlay Protectを回避する試みだと分析しています。一部の悪意あるアプリは、Playが付与する署名ブロックを持たないにもかかわらず、インストーラーとしてGoogle Playを記録していました。これにより、本来の入手経路を偽装しています。
感染の連鎖は、プラットフォーム署名を持つ悪意あるシステムアプリが、端末が所有者に届く前にファームウェアへ組み込まれることから始まります。
続いてイネーブラーがネイティブライブラリ「libeasy.so」を読み込みます。このライブラリはRC4復号を用いて、隠されたJavaフレームワークを取り出します。このフレームワークはC2サーバーに接続して設定の指示を受け取り、DEX/JARプラグインをダウンロードします。プラグインは広告詐欺を実行するほか、提携アプリを密かにインストールまたは削除します。
イネーブラーは、INSTALL_PACKAGES、DELETE_PACKAGES、GRANT_RUNTIME_PERMISSIONS、WRITE_SECURE_SETTINGSの各権限を保持しています。さらに、ユーザー補助機能、通知へのアクセス、SMSアクセスに関連する仕組みも備えており、これらを自動的に有効化する手段も含まれています。
研究者は、これらの権限が悪用されている様子は確認していません。それでも、リモートから読み込まれるコードによって、さらなる機能がいつでも有効化される可能性があります。
広告詐欺コンポーネントは、非表示のウィンドウと自動化された操作を通じて、偽のインプレッション、クリック、コンバージョンを生成します。
この不正トラフィックは、天気ユーティリティ、アプリロック、OCRツール、ファイルマネージャーなど、一見正規に見えるアプリが発生元になっているように装われます。Bitdefenderは、ペイロードのエコシステムの中に、偽装されたアプリを少なくとも32個特定しました。
EnLoaderLibは、感染した端末を登録し、双方向のTCPトンネルを開いて通信を中継できます。これにより、端末は住宅用プロキシのノードにされてしまいます。
研究者はプロキシ機能の存在を確認しました。ただし、動的テストでは実際の中継は観測されず、当初特定された制御用エンドポイントはシンクホールだったことも判明しています。
これとは別に、Bitdefenderは、ファミリーの特徴とインフラを共有する関連の広告詐欺アプリ13個をGoogle Playで発見しました。これらは、ファームウェア側のイネーブラーが持つシステムレベルのアクセス権は備えていません。
感染は約2年にわたって観測されました。最も多かったのはメキシコ、フランス、イタリアで、米国、ドイツ、ブラジル、スペインが続きます。
これは感染が確認された場所を示すものであり、特定の地域が標的にされていると確認されたわけではありません。影響を受けた端末には、低価格のスマートフォンや偽造のフラッグシップモデルのほか、DoogeeやCubotのモデル識別子を報告する端末も含まれていました。
一部のファームウェア署名証明書には、Shenzhen Zediel Co., Ltd.に関連する識別子が含まれていました。ただし、研究者はサプライチェーンのどの段階でマルウェアが仕込まれたのか、また証明書の所有者が関与していたのかを特定できていません。
Android.Joker、Android.Phantom、Android.Clickとのコードやインフラの重複から、より広範なAndroidの収益化エコシステム内に関連がある可能性が示唆されます。ただし、この重複は共通の運営者の存在を証明するものではなく、このキャンペーンの背後にいる主体は特定されていません。
特定の業界を狙った攻撃は確認されていません。とはいえ、管理されていない端末、BYOD環境、安価なモバイル端末の購入は、あらゆる業種の組織にリスクをもたらします。
侵害されたスマートフォンは、本来は正規の家庭用回線や企業の回線を経由して、悪意のあるトラフィックを中継する恐れがあります。個々のアプリを削除しても、ファームウェアレベルの侵害は解消できません。
既知のアプリ名やファイルハッシュのみに頼る検知では、このキャンペーンを見逃してしまいます。運営者が共通のコードとインフラを維持したまま、ペイロードを入れ替えているためです。アナリストには、サンプル、共通のコード特性、ネットワーク上の痕跡、振る舞いを、亜種をまたいで相関分析することが求められます。
PolySwarmは、同社のマルウェアインテリジェンスツールがこの作業を支援できるとしています。組織は、低価格のAndroid端末を導入する前に、端末の出所とファームウェアの完全性も確認すべきです。
翻訳元: https://cyberpress.org/android-phones-preinstalled-malware/
