アンチドット Android マルウェア
サイバーセキュリティ研究者らは、数百件の悪意あるキャンペーンを通じて数千台のデバイスに感染した高度なAndroidマルウェア「AntiDot」の正体を暴きました。LARVA-398として知られる脅威アクターと関連付けられており、ダークウェブ上で提供されるモバイル向けマルウェア・アズ・ア・サービス（MaaS）の危険性が高まっていることを浮き彫りにしています。
目次
増大する脅威：攻撃の規模と範囲
AntiDotは273件のキャンペーンに関与し、3,775台以上のAndroidデバイスが感染しました。これらのキャンペーンは高度に標的を絞っており、多くの場合、言語や地理的な場所に基づいており、標的を選別したプロファイリングが行われていることが示唆されています。このマルウェアは主に、悪意のある広告ネットワークやフィッシングキャンペーン（偽のGoogle Playアップデートを含む）を通じて拡散されています。
モバイル向けMaaS：LARVA-398のビジネスモデル
「3 in 1」ソリューションとして販売されている AntiDot は、地下フォーラムで販売されており、脅威アクターに次のような強力なツールキットを提供しています。
- アクセシビリティの悪用による画面録画
- SMS傍受
- サードパーティアプリからのデータ抽出
この商業化により、より幅広いサイバー犯罪者がアクセスできるようになり、高度なモバイル攻撃を仕掛けるハードルが低くなりました。
高度な機能: AntiDot でできること
AntiDotは、攻撃者が感染デバイスを持続的かつステルス的に制御することを可能にする、幅広い悪意ある機能を備えています。正規アプリを巧妙に模倣した偽のログイン画面を表示することでオーバーレイ攻撃を実行し、ユーザーの認証情報を窃取します。また、キー入力を記録し、画面コンテンツを監視して機密情報を取得します。AndroidのMediaProjection APIを利用することで、WebSocket接続を介してコマンド＆コントロールサーバーとのリアルタイム通信を維持しながら、デバイスをリモート制御することが可能です。
AntiDotは、アクセシビリティサービスを悪用してデバイスから広範なデータを収集し、自身をデフォルトのSMSアプリに設定して送受信メッセージを傍受します。さらに、通話をブロックまたはリダイレクトすることで通話を操作し、通知を抑制してユーザーに不審なアクティビティを知らせないようにします。これらの機能を組み合わせることで、攻撃者は被害者のデバイスに包括的にアクセスし、制御することが可能になります。
デリバリーチェーン：3段階の感染プロセス
マルウェアは多段階形式で配信されます。
初期 APK ファイル- フィッシングや偽のアップデートの一部として配布されます。
動的クラスの読み込み- APK に存在しない難読化されたクラスはインストール中に読み込まれます。
DEX ファイルの実行– アクセス権限を取得した後、マルウェアはボットネット コードを含む悪意のある DEX ファイルを解凍して読み込みます。
AntiDot は商用パッカーと暗号化されたペイロードを使用することで、検出とリバース エンジニアリングを大幅に妨げます。
偽のインターフェースと資格情報の盗難
AntiDotの主要な戦術の一つは、ユーザーが暗号通貨や金融アプリを開いた際に偽のログイン画面を表示することです。これらの画面はコマンドアンドコントロール（C2）サーバーからリアルタイムで取得され、攻撃者はユーザーに疑念を抱かせることなく機密性の高い認証情報を入手することができます。
AntiDotのC2インフラストラクチャ：効率性を重視した構築
マルウェアのリモートコントロールパネルはMeteorJS上に構築されており、感染したデバイスとのシームレスなリアルタイム操作を可能にします。パネルには以下の6つのセクションがあります。
- ボット: 感染したデバイスとそのメタデータを表示します
- 挿入: オーバーレイ攻撃とテンプレートの対象となるアプリをリストします
- 分析: インストールされたアプリを追跡して傾向と将来のターゲットを特定します
- 設定: 注入パラメータとマルウェアの動作を制御します
- ゲート: ボット通信エンドポイントを管理する
- ヘルプ: マルウェア運営者向けのユーザーサポートを提供します
局所的かつ持続的：アンチドットの真の危険性
AntiDotは単なるAndroid向けトロイの木馬ではありません。スケーラブルで回避性の高いMaaSプラットフォームであり、局所的な標的を狙った金融詐欺に特化しています。WebViewインジェクション、オーバーレイベースの認証情報窃取、リアルタイムC2通信といった手法を用いて、ユーザーのプライバシーとモバイルセキュリティに深刻な脅威をもたらします。
研究者らは、AntiDot の採用拡大と戦術の進化により、このようなますますステルス性の高い脅威に対抗するためには、Android のセキュリティ対策の強化、定期的な更新、ユーザーの意識向上が緊急に必要であることが浮き彫りになっていると警告している。
