- ハッカー、ブラジルでAndroidマルウェアキャンペーンを広めるためにGoogle Play Storeのページを偽造。
- 有害なアプリは正規のダウンロードのように見えますが、インストールされると感染したスマートフォンを仮想通貨マイニングマシンに変えてしまいます。
- 一部のバージョンでは、BinanceやTrust Walletを対象とする銀行トロイの木馬もインストールされ、特にUSDT送金時に標的にされます。
ハッカーは、新しいフィッシングスキームを通じて被害者を標的にしている。SecureListの投稿によると、ハッカーはブラジルでAndroidマルウェアキャンペーンを広めるために、偽のGoogle Play Storeページを使用している。
有害なアプリは正規のダウンロードのように見えるが、インストールされると、感染した電話を暗号通貨マイニングマシンに変換する。さらに、銀行マルウェアのインストールや、脅威アクターによるリモートアクセスの付与にも使用される。
ハッカー、ブラジルのスマートフォンを暗号通貨マイニングマシンに変える
キャンペーンは、Google Playとほぼ同一に見えるフィッシングウェブサイトから始まる。そのページの1つは、ブラジルの社会保障サービスにリンクされていると主張する「INSS Reembolso」という偽アプリを提供している。UX/UIデザインは信頼できる政府サービスとPlay Storeのレイアウトをコピーし、ダウンロードを安全に見せかける。
偽アプリをインストールした後、マルウェアは複数の段階で隠されたコードを展開する。暗号化されたコンポーネントを使用し、主要な悪意のあるコードを直接メモリに読み込む。デバイス上には目に見えるファイルがないため、ユーザーが不審な活動を検出するのは困難である。
このマルウェアは、セキュリティ研究者による分析も回避する。これは、電話がエミュレートされた環境で実行されているかどうかを確認する。もし検出されると、動作を停止する。
インストールに成功した後、マルウェアはさらに多くの悪意のあるファイルをダウンロードし続ける。それはもう一つのGoogle Play風の画面を表示し、次に偽の更新プロンプトを表示して、ユーザーに更新ボタンをタップさせる。
そのファイルの一つは、ARMデバイス用にコンパイルされたXMRigのバージョンである暗号通貨マイナーである。マルウェアは攻撃者が管理するインフラストラクチャからマイニングペイロードを取得する。その後、それを復号化して電話で実行する。ペイロードは、感染したデバイスを攻撃者が制御するマイニングサーバーに接続し、バックグラウンドで静かに暗号通貨をマイニングする。
このマルウェアは洗練されており、盲目的に暗号通貨をマイニングしない。SecureListの分析によると、マルウェアはバッテリー残量、温度、インストールからの経過時間、および電話がアクティブに使用されているかどうかを監視する。マイニングは監視されたデータに基づいて開始または停止する。目的は隠れ、検出される可能性を最小限に抑えることである。
Androidはバッテリーを節約するためにバックグラウンドアプリを終了させるが、マルウェアはほぼ無音のオーディオファイルをループさせることでこれを回避する。Androidの自動非アクティブ化を回避するために、アクティブな使用を偽装する。
コマンドの送信を継続するために、マルウェアは正規のGoogleサービスであるFirebase Cloud Messagingを使用する。これにより、攻撃者は新しい指示を送信し、感染したデバイス上のアクティビティを管理するのが容易になる。
銀行トロイの木馬、USDT送金を標的に
マルウェアはコインのマイニングだけでなく、いくつかのバージョンはBinanceとTrust Walletを標的にする銀行トロイの木馬もインストールする。特にUSDT送金時に。それは偽の画面を実際のアプリの上に重ね、その後、ウォレットアドレスを攻撃者が制御するアドレスに静かに置き換える。
銀行モジュールは、ChromeやBraveなどのブラウザも監視し、広範なリモートコマンドをサポートする。これらには、音声の録音、画面のキャプチャ、SMSメッセージの送信、デバイスのロック、データの消去、およびキーロギングが含まれる。
他の最近のサンプルは、同じ偽アプリの配信方法を維持しつつ、異なるペイロードに切り替える。それらはBTMOB RATをインストールする。これは、地下市場で販売されているリモートアクセスツールである。
BTMOBは、マルウェア・アズ・ア・サービス（MaaS）エコシステムの一部である。攻撃者はそれを買ったりレンタルしたりでき、ハッキングや窃盗の障壁を低くする。このツールは、画面録画、カメラアクセス、GPS追跡、および資格情報の盗難を含む、より深いアクセスを攻撃者に提供する。
BTMOBはオンラインで積極的に宣伝されている。ある脅威アクターは、YouTubeでマルウェアのデモを共有し、感染したデバイスの制御方法を示した。販売とサポートはTelegramアカウントを通じて行われる。
SecureListは、既知の被害者はすべてブラジルにいると述べた。いくつかの新しい変種も、WhatsAppや他のフィッシングページを通じて拡散している。
このような洗練されたハッキングキャンペーンは、すべてを検証し、何も信じないよう reminder（思い出させる）ものである。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
