ロシアのドライバーの燃料価格やドローン攻撃への不安につけ込む悪質アプリ

サイバー犯罪者が、ロシアで起きている燃料不足やドローン攻撃への恐怖を悪用し、個人情報や金融情報を盗む悪質なAndroidアプリをユーザーにダウンロードさせようとしています。新たな報告書で明らかになりました。

今回のキャンペーンは、ロシアのドライバーを狙っています。交通警察の巡回位置、速度取締カメラ、燃料の在庫があるガソリンスタンドの場所を表示すると称するアプリを使います。しかし実際には、Androidトロイの木馬「ZloyRAT」に感染させます。ZloyRATは機密情報を収集し、感染した端末の各種機能にアクセスできます。ロシアのセキュリティ企業F6の研究者が明らかにしました。

このマルウェアは、ほかに2つの偽アプリでも配布されています。1つは「GosuVPN」で、制限のないインターネットに接続できる政府支援の無料サービスをうたっています。もう1つは「Drone Radar」で、ドローン攻撃をインタラクティブな地図上にリアルタイムで表示すると宣伝しています。

3つのアプリはいずれも、10月上旬に登録されたウェブサイトで宣伝されていました。研究者らは、このサイトをロシア国内でブロックするよう要請したと述べています。

このキャンペーンの背景には、ロシアで燃料不足が広がり、ガソリン価格が上昇している状況があります。ウクライナによる長距離ドローンやミサイルでのロシアの製油所への攻撃が繰り返されていることも一因です。キャンペーンの背後にいる攻撃者も、依然として分かっていません。

F6によると、ドライバーを狙う悪質なアプリは、トラック運転手やタクシー事業者、配達員のオンラインコミュニティで宣伝されるのが一般的です。

情報窃取型マルウェア

ZloyRATは、F6が今年初めに初めて確認しました。

インストールされると、正規のアプリに偽装し、SMS、連絡先、通話へのアクセス権限を要求します。受信したSMSやプッシュ通知を収集できるほか、感染した端末からメッセージの送信や通話の発信も可能です。

このトロイの木馬は、60以上のロシアの銀行・金融アプリのほか、オンラインマーケットプレイス、行政サービス、メッセージングプラットフォームのTelegramに関する情報も狙います。

活動を隠すため、ZloyRATは、ユーザーが悪質なアプリを操作した際に正規のウェブサイトを表示することがあります。これにより、ユーザーは端末が侵害されたことに気づきにくくなります。研究者らは、感染した端末では動作が遅くなる場合もあるとしています。

F6は、アプリのダウンロード数や、このキャンペーンによる金銭的被害が確認されたかどうかについては明らかにしていません。

拡大する詐欺市場

今回のキャンペーンは、ロシアの戦時下の混乱、とりわけドローン攻撃や燃料の入手難への不安につけ込む、より広範なサイバー犯罪の一環です。

F6は今年初め、「RadarTrevog」という別のAndroidアプリを確認しました。このアプリはドローン警報サービスを装い、感染した端末から情報を盗むマルウェア「RedWing Stealer」を配布していました。研究者らは、ドローン警報サービス、燃料の在庫マップ、VPNなどのモバイルツールとして宣伝されたアプリの中から、このマルウェアのサンプルを800件以上発見しました。

燃料不足は、オンライン詐欺の温床にもなっています。

秋には、詐欺グループが「FuelDrive」ブランドで少なくとも17のウェブサイトを開設し、ロシア全土への燃料の大口配送を宣伝していました。8月に発覚した別の詐欺では、架空の企業「Toplivo24」を使い、ガソリン、軽油、天然ガスを市場価格より最大30%安く提供すると持ちかけていました。

7月にF6は、Telegramアカウントの乗っ取りを狙った60以上の不正なウェブサイトを確認しました。なかにはガソリンスタンドの地図を装うサイトもありました。また別のキャンペーンでは、ガソリン20リットルを事前に予約できると持ちかけ、燃料不足や長い行列を避けられるかのように装っていました。