ハッカーがTelegramメッセンジャーにマルウェアを仕込んでシステム制御を奪う

報告によれば、マルウェアは、正当なデートおよびコミュニケーションプラットフォームを装った、アプリ内広告やサードパーティ製アプリストアを通じてデバイスに送信される。この脅威はモバイルマルウェアの配布における重大なエスカレーションを表しており、58,000台の感染したデバイスに広がっている。

さらに、このマルウェアは3,000台以上のスマートフォン、タブレット、TVボックス、および一部のAndroidベースの車載システムにも拡散しています。

ハッカーがTelegramにマルウェアを仕込んでアクセスを奪う

報告書はバックドアの配布が2024年に開始され、ハッカーが主にポルトガル語およびインドネシア語のテンプレートを使用してブラジルおよびインドネシアのユーザーを対象としたと主張している。被害者はモバイルアプリケーション内の広告に遭遇し、それらは偽のレビューや無料のビデオチャットやデートの機会を宣伝するプロモーションバナーを備えた偽のアプリカタログにリダイレクトする。これらの偽のウェブサイトは、正当なものと見た目が同じマルウェアが注入されたアプリを配信する。

悪意のあるウェブサイトに加え、このバックドアはAPKPure、ApkSum、AndroidPなどの確立されたサードパーティ製リポジトリにも侵入しており、デジタル署名が異なるにもかかわらず、公式メッセンジャー開発者の名前で欺瞞的に投稿されています。

アナリストたちは、このマルウェアがログイン資格情報、パスワード、および完全なチャット履歴を含む機密情報を盗む卓越した能力を持っていることを特定しました。また、このバックドアは、アクティブなTelegramセッションリストからサードパーティ製デバイスの接続を隠すことで、侵害されたアカウントの兆候を隠蔽します。

さらに、このマルウェアは被害者の承認なしにチャンネルやチャットへの追加または削除を行うことができ、これらの行動を完全に偽装し、侵害されたアカウントをTelegramチャンネルの購読者を人為的に増やすためのツールに変えます。

従来のAndroid脅威と異なる点は、コマンド・アンド・コントロール（C2）操作にRedisデータベースを使用していることです。以前のバージョンのマルウェアは従来のC2サーバーに依存していましたが、開発者はRedisベースのコマンドを統合しました。

マルウェアが検知されずに機能を操作する

報告書によると、このバックドアは検知されずにメッセンジャーの機能を操作するために複数の技術を使用しています。コアアプリの機能に影響を与えない操作については、ハッカーはAndroidプログラムアーキテクチャ内の特定のタスクを担当する別個のコードブロックである、すでに準備されたメッセンジャーメソッドのミラーを使用します。

このミラーは、アプリが元のTelegram Xインターフェースを完全に模倣したウィンドウ内でフィッシングメッセージを表示できるようにする。

より深い統合を必要とする他の操作については、マルウェアはXposedフレームワークを使用してアプリメソッドを変更し、特定のチャットの非表示、認証済みデバイスの隠蔽、クリップボードコンテンツの傍受などの機能を実現します。バックドアマルウェアはRedisチャンネルとC2サーバーを使用して、SMS、連絡先、クリップボードコンテンツのアップロードなど、広範なコマンドを受信します。これらはユーザーがメッセンジャーウィンドウを最小化または復元した際に実行されます。

ハッカーたちはクリップボードの監視を利用して、暗号化ウォレットのパスワード、ニーモニックフレーズ、または無意識に晒された機密ビジネスコミュニケーションなどのデータを盗みます。バックドアはデバイス情報、インストール済みアプリケーションデータ、メッセージ履歴、および認証トークンを収集し、通常のTelegramメッセンジャーの操作の外観を維持しながら、3分ごとにハッカーに情報を送信します。