Android RATがHugging Faceを利用してマルウェアをホスト

新しいAndroidリモートアクセストロイの木馬（RAT）が、人気のあるAIプラットフォームHugging Faceを利用して悪意のあるペイロードをホストおよび配布していることがBitdefenderにより明らかにされました。

セキュリティベンダーは、AIツール、モデル、データセット、その他のアセットをホストするために設計されたHugging Faceが、ユーザーがアップロードするコンテンツを十分に精査するためのチェックを実施していないと主張しました。

すべてのアップロードはオープンソースアンチウイルスエンジンClamAVでスキャンされることになっていました。

Bitdefenderによると、感染チェーンはユーザーがTrustBastion という悪意のあるAndroidアプリをダウンロードしたときに始まります。これはデバイスがマルウェアに感染していると主張するポップアップを介してユーザーに強制されるスケアウェアのようです。

実は、このアプリはドロッパーであり、インストール時にユーザーに対して使用するための更新を実行するようにすぐに促します。この更新は正当なGoogle PlayおよびAndroidシステム更新ダイアログボックスのように見えるように設計されており、被害者が指示に従う可能性を高めています。

ドロッパーはtrustbastion[.]comでホストされている暗号化されたエンドポイントに接続し、悪意のあるAPKファイルではなくHTMLファイルを返します。これにはマルウェアをホストするHugging Faceリポジトリを指すリダイレクトリンクが含まれています。

その後、悪意のあるAPKが被害者のデバイスにダウンロードされます。このようにHugging Faceを使用することで、マルウェアキャンペーンの背後にある者は被害者のデバイスでアラームを発動するのを回避することができます。

「通常、信頼度の低いドメインからのトラフィックはすぐにフラグが付けられるため、攻撃者は疑惑を招かない確立されたドメインを使用しようとすることがよくあります」とBitdefenderは述べました。

自動化された継続的なキャンペーン

Bitdefenderは研究を公表する前にHugging Faceに連絡し、マルウェアを含むデータセットを迅速に削除したと述べました。しかし、キャンペーン自体はすでに数千の被害者に感染しているようです。

「Hugging Faceリポジトリの分析により、短期間に大量のコミットが明らかになりました」とBitdefenderは述べました。「新しいペイロードはおよそ15分ごとに生成されました。調査時点では、リポジトリは約29日前のもので、6000を超えるコミットが蓄積されていました。」

また、継続的であるようです：1つのリポジトリがオフラインになりましたが、操作全体は単に別のリダイレクトリンクに移動し、「プロジェクトは異なるアイコンと軽微な調整を使用」していますが、同じコードを使用しています。

成功の可能性をさらに高めるために、キャンペーンの背後にある脅威行為者は多形的技法を使用しています。

「各新しいファイルアップロードは、実際には同じ悪意のある機能を持ちながら軽微な変更を導入した新たに構築されたAPKです」とBitdefenderは説明しました。「これらはハッシュベースの検出を回避することを目的としています。」

ただし、様々なペイロードが一般的な動作特性、許可要求、通信パターンを共有しているという事実により、行動分析技術を使用した検出がより容易になると、レポートは指摘しました。

ペイロードがインストールされると、マルウェアは「Phone Security」機能になりすまし、ユーザーにアクセシビリティサービスを有効にするプロセスをガイドします。これは実際にはRATに「デバイス全体のユーザーインタラクションへの幅広い可視性」を与えるとBitdefenderは述べました。

また、スクリーン記録、スクリーンキャスト、オーバーレイディスプレイを有効にする権限を要求し、すべてのユーザーアクティビティを監視し、スクリーンコンテンツをキャプチャしてコマンドアンドコントロールサーバーに送信します。

マルウェアはまた、Alipayやウィーチャットなどの人気のある金融・決済サービスになりすまして、機密認証情報を収集します。

これらのアプリのセキュリティ検証のためのロック画面情報もキャプチャできます。