高度なビッシング（音声フィッシング）の利用で知られる、FakeCallと呼ばれる新たに進化した形態のマルウェアが、サイバーセキュリティ研究者によって特定されました。
ZimperiumのzLabsチームによって発見されたこのマルウェア亜種は、音声通話を悪用し、しばしば正規の機関を装って、クレジットカード情報や銀行の認証情報などの機微な情報をユーザーに漏えいさせるよう欺きます。
FakeCallの攻撃はモバイル端末を特に標的としており、音声通話やSMS機能といったモバイル固有の機能を悪用します。このマルウェア株は、モバイル端末の機能を制御するために開発されたさまざまな悪意あるツールを含む高度な構造を備えているため、特に懸念されます。
FakeCallは、Android端末の通話機能を乗っ取ることで動作します。攻撃は、ユーザーが一見無害に見えるAPKファイルをダウンロードするところから始まることが多く、このAPKはドロッパーとして機能し、その後、主要な悪意あるソフトウェアをインストールします。
インストールされると、FakeCallは送受信の両方の通話を傍受して操作でき、コマンド＆コントロール（C2）サーバーを用いてコマンドを発行し、端末上で密かにアクションを実行します。このマルウェアは正規の通話インターフェースまで偽装し、ユーザーをさらに欺きます。
「このマルウェアを使用する攻撃者は、防御をすり抜けやすくするために署名鍵を用いることでも知られています」と、SectigoのシニアフェローであるJason Soroko氏は付け加えました。
「正規のインターフェースをシームレスに模倣することで、ユーザーによる検知はほぼ不可能になり、この脅威を検出できる高度なセキュリティソリューションが不可欠であることが浮き彫りになります。これはまた、アプリストアを回避しないことの重要性、そしてAndroidを利用する人は、どこから入手するにせよダウンロードするアプリケーションを精査すべきだという点も示しています。」
FakeCallがモバイル向けフィッシング手口を悪用する方法
FakeCallは、モバイルプラットフォーム向けに明確に調整された複数のフィッシング手口を使用します：
-
ビッシング（音声フィッシング）： 偽の通話を使って、機密情報を共有するようユーザーをだます
-
スミッシング（SMSフィッシング）： 悪意あるリンクをクリックさせるために、欺瞞的なSMSメッセージを送信する
-
クイッシング（QRフィッシング）： QRコードを悪用し、モバイルカメラ経由でマルウェアを配布する
モバイルサイバーセキュリティにおけるフィッシング動向の詳細はこちら：フィッシングサイトの82%が現在モバイル端末を標的に
FakeCallの最新バージョンには、その高度さをさらに高める強化機能が組み込まれています。特に、Bluetoothレシーバーや画面レシーバーといった新要素により、マルウェアは直ちに悪意ある挙動を表示することなく端末の状態を監視でき、これらの機能が将来の機能のためのプレースホルダーとして機能している可能性が示唆されます。
さらに、このマルウェアはAndroidのユーザー補助（Accessibility）サービスを悪用し、端末UIを遠隔操作できるようにします。これにより攻撃者はユーザーの同意なしにユーザー操作を模倣し、セキュリティの確認プロンプトを回避できます。
「この最新のモバイル攻撃手法が懸念されるのは、私たちがフィッシング攻撃の将来だと考える要素、すなわちアドバーサリー・イン・ザ・ミドル（中間者）アプローチと、コマンド＆コントロール型マルウェアを活用してユーザー端末を乗っ取る手法を取り入れているからです」と、Hoxhuntの共同創業者兼CEOであるMika Aalto氏は説明しました。
「近年、私たちの業務やコミュニケーションの多くはモバイルで行われているため、適切なアクセス権限を持つ人物の電話が攻撃者に侵害された場合、壊滅的な侵害へとつながる重大な一歩になり得ます。」
翻訳元: https://www.infosecurity-magazine.com/news/updated-fakecall-malware-targets/
