- 4 つの種類の Android トロイの木馬が、800 件以上の暗号資産、銀行、ソーシャルメディアアプリを対象に活動しています。
- 偽のログインオーバーレイ、認証情報の窃取、検知回避手法を利用します。
- これらのトロイの木馬は、フィッシングサイト、偽の求人情報、またはテキストメッセージによる詐欺を通じて拡散されます。
サイバーセキュリティ研究者は、暗号資産ウォレットや銀行アプリを含む800以上のアプリケーションを対象とする、4つのアクティブなAndroidマルウェアファミリーを発見しました。これらのマルウェアは、従来のセキュリティツールでは検出できない手法を使用しています。
ZimperiumのzLabsチームは、RecruitRat、SaferRat、Astrinox、Massivとして知られるトロイの木馬を追跡した結果を発表しました。
同社の調査によると、各ファミリーはそれぞれ独自のC2（コマンド・アンド・コントロール）ネットワークを持っており、ログイン情報の窃取、金融取引の乗っ取り、感染したデバイスからのユーザーデータ取得に使用しています。
暗号資産および銀行アプリは、複数のマルウェアからの新たな脅威に直面
これらのマルウェアファミリーは、Android上で暗号資産を管理するすべての人にとって直接的な脅威です。
インストール後、トロイの木馬は、実際の暗号通貨や銀行アプリの上に偽のログイン画面を表示し、パスワードやその他の個人情報をリアルタイムで盗み取ります。その後、マルウェアは実際のアプリインターフェースの上に偽のHTMLページを表示し、同社が「非常に説得力のある欺瞞的な外観」と呼ぶものを作り出します。
「アクセシビリティサービスを使用してフォアグラウンドを監視することで、マルウェアは被害者が金融アプリケーションを起動した正確な瞬間を検出します」と、Zimperiumのセキュリティ研究者は記しています。
報告書によると、トロイの木馬は資格情報を盗むだけでなく、ワンタイムパスワードのキャプチャ、攻撃者へのデバイス画面のストリーミング、アプリアイコンの非表示、アンインストールの阻止なども可能です。
各キャンペーンは、人々を騙すために異なる餌を使用しています。
SaferRatは、プレミアムストリーミングサービスへの無料アクセスを約束する偽のウェブサイトを使用して自身を広めました。RecruitRatは、求職プロセスの一部としてペイロードを隠し、標的をフィッシングサイトへ誘導して悪意のあるAPKファイルをダウンロードさせました。
Astrinoxも同じような採用ベースの手法を使用し、ドメイン xhire[.]cc を利用しました。そのサイトを訪れるために使用されたデバイスに応じて、異なるコンテンツが表示されました。
AndroidユーザーにはAPKのダウンロードが促され、iOSユーザーにはApple App Storeに似たページが表示されました。しかし、セキュリティ研究者はiOSが実際にハッキングされたという証拠は見つかりませんでした。
調査期間中にMassivがどのように配布されたかを確認することはできませんでした。
4つのトロイの木馬すべてが、フィッシングインフラストラクチャ、テキストメッセージの詐欺、そして人々が素早く行動する必要や好奇心に付け込むソーシャルエンジニアリングを使用して、有害なアプリのサイドロードを促しました。
暗号通貨マルウェアは検出を回避する
これらのキャンペーンは、セキュリティツールを回避することを目的としています。
研究者らは、マルウェアファミリーが高度な分析回避技術と、Androidアプリケーションパッケージ（APK）の構造的改ざんを使用し、同社が「従来のシグネチャベースのセキュリティメカニズムに対する検出率がほぼゼロ」と呼ぶ状態を維持していることを発見しました。
ネットワーク通信も通常のトラフィックと混在しています。トロイの木馬は、コマンドサーバーと通信するためにHTTPSとWebSocket接続を使用します。一部のバージョンでは、これらの接続の上に追加の暗号化レイヤーが追加されています。
もう一つの重要な点は永続性です。最新のAndroid銀行トロイの木馬は、単純な単一段階の感染を使用しなくなりました。代わりに、Androidの進化し続けるパーミッションモデルを回避するために設計された多段階インストールプロセスを使用しており、これによりユーザーの明示的な許可なしにアプリが操作を行うことが難しくなっています。
報告書では、標的となった800以上のアプリケーション内の特定の暗号資産ウォレットや取引所は特定されていません。しかし、オーバーレイ攻撃、パスコードの傍受、画面ストリーミングのリスクがあるため、ユーザーがGoogle Playストア外の悪意のあるAPKをインストールした場合、Androidベースの暗号資産アプリはすべて危険にさらされる可能性があります。
テキストメッセージ、求人広告、またはプロモーションウェブサイトのリンクからアプリをダウンロードすることは、モバイルマルウェアがスマートフォンに侵入するための確実な方法の一つです。
Androidデバイスで暗号通貨を管理する人は、公式アプリストアのみを使用し、何かをダウンロードするよう求めるポップアップメッセージに注意する必要があります。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
暗号資産アプリを狙う 4 つの Android トロイの木馬ファミリーとは何ですか？
これらトロイの木馬は「RecruitRat」「SaferRat」「Astrinox」「Massiv」と名付けられており、それぞれ独自のコマンド＆コントロールシステムを持ち、800 件以上の暗号資産および銀行アプリからログイン情報を窃取し、金融取引を乗っ取ります。
これらのトロイの木馬はどのようにして暗号資産のログイン認証情報を窃取するのですか？
このマルウェアは、ユーザーが暗号資産や銀行アプリを開いた際に、実際のインターフェースの上に偽のログインページを表示するオーバーレイ攻撃を行います。また、ワンタイムパスワード（OTP）を取得したり、デバイスの画面を攻撃者に送信したり、アンインストールを防いだりすることも可能です。
被害者はどのようにしてこれらの Android 銀行用トロイの木馬に感染するのですか？
攻撃者は、フィッシングウェブサイト、偽の求人採用サイト、偽のストリーミングサイト、そして悪意のある APK ファイルのダウンロードを誘うテキストメッセージ詐欺などを通じてマルウェアを拡散しています。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
