ArcticRAT攻撃グループ、AIで被害者の金融情報を選別

Android向け暗号資産窃取マルウェア「ArcticRAT」が、被害者の端末を乗っ取り、機密情報を収集し、AIで金銭的価値の高いデータを見分ける高度なリモートアクセス型トロイの木馬（RAT）に進化しました。

このマルウェアを追跡しているZimperiumの研究者は、モバイル脅威の状況における「危険なエスカレーション」だと指摘しています。同社によると、新しいバージョンでは、あらかじめ組み込まれた動作だけに頼らず、攻撃者が感染端末をリアルタイムで操作できるようになりました。

AIを活用するモバイルRAT

このマルウェアは複数の手口を使います。その一つが、「完全に真っ暗で閉じることのできない」画面オーバーレイで、被害者に気づかれないよう攻撃者の活動を隠します。さらに注目すべき点として、ArcticRATの運用者は現在、大規模言語モデル（LLM）サービスを利用しています。感染端末から盗んだSMSなどのデータを自動的に調べ、悪用できる金融情報を抽出しているのです。

ZimperiumのチーフサイエンティストであるNico Chiaraviglio氏はDark Readingの取材に対し、次のように語っています。「ArcticRATはAIを使ってSMSなどのユーザー情報を読み取り、不正に利用できる金融情報を選別します。特に対処が難しいのは、隠れたリモート操作と黒い画面のオーバーレイを組み合わせた手口です。攻撃者は正規のAndroid機能を悪用しながら、端末がロックされている、あるいは電源が切れているように見せかけます」

同氏によると、ArcticRATのような脅威に対抗するには、組織が次の対策を講じる必要があります。AIを活用した端末上での脅威検知を導入し、アプリのインストールと権限を管理します。さらに、ランタイムアプリケーション保護を使い、不審な画面共有や悪意あるオーバーレイを検出します。

ArcticRATの初期バージョンは、11種類の特定の暗号資産アプリのユーザーを標的にしていました。主な目的は、感染したAndroid端末から機密情報を収集し、攻撃者が被害者の暗号資産アカウントにアクセスできるようにすることでした。

これに対し、Zimperiumが追跡している新バージョンは、機能が大幅に増えています。端末のリモート操作と監視、認証情報やキー入力の窃取、画面キャプチャ、画面のライブストリーミング、マイクの監視に加え、SMS、連絡先、通話履歴の窃取が可能です。端末のロック画面の認証情報を盗んだり変更したりする機能もあり、被害者が自分の端末から締め出される恐れがあります。

Zimperiumのアナリストは7月以降、78件の固有のマルウェア検体、42件のドロッパー検体、36件のペイロード、そしてマルウェアの運用者がコマンド＆コントロール（C2）通信に使っていた21件のIPアドレスを特定しました。攻撃者が感染端末の遠隔操作、情報窃取、ユーザー活動の監視、端末機能の操作に使える129種類の固有コマンドも確認しています。

ArcticRAT 2.0の運用者は、マルバタイジング、スミッシング、サードパーティのフォーラムを使い、マルウェアを仕込んだ悪意あるWebサイトへ訪問者を誘導しています。Zimperiumによると、「主な攻撃経路は、Google Playを巧妙になりすましたランディングページで、標的をだまして悪意あるアプリをダウンロードさせるものでした」。研究者は、攻撃者がAmazon Web Servicesのストレージバケットを使い、Android端末にペイロードを直接配信していた事例も確認しました。

最新版のArcticRATは、従来のバージョンと同じく、インストールされるとAndroidのユーザー補助サービスの権限を悪用してC2サーバーに接続し、攻撃者に端末の遠隔操作を許します。マルウェアはまず、侵害した端末の位置情報、バッテリー状態、画面の状態、Wi-Fi接続、現在動作中のアプリといった情報を収集します。

収集した情報はサイバー攻撃者に送信されます。攻撃者は、被害者の端末とインストール済みのアプリに応じて、実行する機能を選べます。キー入力の記録、スクリーンショットの取得、画面操作の録画、マイク音声の監視、メッセージやアプリからの機密情報の抽出など、その内容は多岐にわたります。

盗んだデータの自動分析

ArcticRATに加わった機能の中でも特に重大なのが、人工知能（AI）の利用です。侵害した端末から盗んだ情報を分析し、金銭的価値のありそうなデータを特定します。Zimperiumは、このマルウェアにxAIのGrokモデルへのAPI接続機能が組み込まれていることを突き止めました。攻撃者は遠隔からこの機能を有効にして、被害者のインストール済みアプリを調べ、銀行、暗号資産、取引プラットフォームのアプリを見つけ出せます。

Zimperiumによると、この新たなAI機能により、ArcticRATは盗んだSMSメッセージを処理できます。日常的なやり取りや宣伝メッセージを、ワンタイム認証コード、口座残高の変動、取引通知といった情報から切り分けるのです。被害者の資産状況を推定してから、情報をC2インフラに送信することさえ可能だといいます。

同社によると、攻撃者は大量の盗難データを選り分けて金銭的価値のある情報を見つけ出す作業の多くを自動化でき、データを手作業で調べる必要がなくなります。「ArcticRATのようなモバイル型トロイの木馬の脅威が高度化するにつれ、従来のシグネチャベースのセキュリティ層では、企業のモバイルエンドポイントを守りきれなくなっています」

ArcticRATが、特定の暗号資産を狙う窃取マルウェアから高度なRATへ変貌したことは、モバイル脅威がいかに急速に進化しているかを示す一例です。攻撃者はAIを使って、マルウェアをより高機能で危険なものにしています。アナリストは、この傾向から、ユーザーや組織はモバイル端末を二次的なセキュリティ上の懸念として扱うのをやめるべきだと指摘しています。従来のエンドポイントと同水準の脅威監視、アクセス制御、セキュリティ保護を、モバイル端末にも適用する必要があります。