‘Crocodilus’ がAndroidユーザーに牙をむく

出典: Martin Pelanek via Shutterstock

セキュリティベンダーが「Crocodilus」として追跡している新しいモバイルマルウェアツールが、偽の銀行アプリ、偽のブラウザアップデート、偽の報酬を約束する悪意のある広告を通じて、世界中のAndroidデバイスにひそかに侵入しています。

ThreatFabricのモバイル脅威インテリジェンスチームは、3月にテストキャンペーンでCrocodilusを発見し、その後すぐに主にトルコのAndroidユーザーをターゲットにしたライブキャンペーンで発見しました。それ以来、このマルウェアはポーランド、スペイン、南アメリカ、アジアの一部のデバイスで確認され、その到達範囲と洗練度が急激に高まっていることを示しています。

更新された機能

このマルウェアには、被害者のアドレス帳に新しい連絡先を作成する機能や、感染したAndroidデバイスから暗号通貨ウォレットのシードフレーズを自動的に収集する機能が追加されました。

「Crocodilus Androidバンキングトロイの木馬を含む最新のキャンペーンは、マルウェアの技術的洗練度と運用範囲の両方における懸念すべき進化を示しています」とThreatFabricは今週のブログ投稿で述べました。「新たに追加された機能により、Crocodilusは機密情報の収集と検出回避においてより熟練しています。」特に、このマルウェアは地域的な脅威から真にグローバルな脅威に進化したとセキュリティベンダーは述べています。

関連:Appleが別のWebKitゼロデイバグを公開

Androidエコシステムは、Crocodilusのようなマルウェアの増加に直面しています。多くの場合、脅威アクターは、悪意のあるアプリを通じてAndroidデバイスにそれらを忍び込ませています。Googleの公式Android Playモバイルアプリストアで。昨年10月、Zscalerは、Playで200ものアプリを発見し、世界中で800万回のインストールが行われ、感染したデバイスから金融やその他の機密データを盗んでいることを明らかにしました。感染したデバイス。他のケースでは、Crocodilusのように、攻撃者はユーザーをマルウェア感染サイトに誘導したり、マルウェアを引き起こす添付ファイルやリンクをクリックさせたりしてAndroidマルウェアを落としています。特に安価なAndroidデバイスのベンダーの間では、市場に出す前にマルウェアをプリロードするという戦術もあります。

これに対抗して、GoogleはGoogle Play Protect内蔵のAndroidセキュリティ機能を強化し続けており、アプリをマルウェアや有害な行動からスキャンし、リアルタイムで脅威を検出してブロックすることでデバイスを安全に保つことを目指しています。昨年、Googleによれば、その取り組みにより、Google Playで公開されることを防いだ悪意のあるアプリやその他の潜在的に有害なアプリは約236万件に達し、約158,000の開発者アカウントが禁止されました。

適応と進化

関連:ロシアのグループがスパイキャンペーンでSignal Messengerをターゲットに

それでも、Crocodilusはマルウェア作成者が適応し続け、新しい方法を見つけてGoogleの防御をすり抜け、Androidデバイスに感染させようとしていることを示す最新の例です。活動している数ヶ月の間に、マルウェアの作成者はCrocodilusを検出しにくくするための機能を追加しました。これには、ドロッパーとペイロードの両方のコードパッキング、動作を隠すための追加の暗号化層、およびリバースエンジニアリングの試みを挫折させるために意図的に絡み合った難読化されたコードが含まれます。また、ThreatFabricによれば、最近の新機能として、感染したデバイスのユーザーの連絡先リストを変更し、「銀行サポート」のような説得力のある名前で電話番号を追加する能力があるとセキュリティベンダーは述べています。

インストールされると、Crocodilusは金融アプリを積極的に監視し、偽のログイン画面でオーバーレイして資格情報を収集します。Crocodilusはまた、アクセシビリティとパターンマッチングを使用してユーザーの画面から直接ウォレットキーを抽出するシードフレーズコレクターを含むようになりました。「Crocodilusが進化し続ける中、組織とユーザーは共に警戒を怠らず、このますます洗練されるマルウェアによってもたらされるリスクを軽減するために積極的なセキュリティ対策を採用する必要があります」とThreatFabricは述べました。