AridSpy モバイルマルウェア

Mobile Malware, Advanced Persistent Threat (APT)年Mezoまで

翻訳内容：

AridViper として知られるサイバー脅威グループは、トロイの木馬化された Android アプリケーションを使用して AridSpy というスパイウェアの亜種を配布する一連のモバイルスパイ活動の背後にいます。これらの脅威的なアプリケーションは、正規のメッセージングアプリ、求人検索プラットフォーム、さらにはパレスチナの市民登録アプリケーションを装った偽の Web サイトでホストされています。多くの場合、正規のアプリケーションは AridSpy の不正なコードを統合することで侵害されます。

AridViperはモバイルマルウェアの脅威として長い歴史を持つ

Arid Viper は、 APT-C-23 、Desert Falcon、Grey Karkadann、Mantis、Two-tailed Scorpion とも呼ばれ、ハマスと関係があると考えられています。2017 年に出現して以来、このグループは一貫してモバイルマルウェアを活動に利用してきました。これまで Arid Viper は中東の軍人、ジャーナリスト、反体制派を標的にしてきました。このグループは引き続き活動を続けており、モバイルマルウェア分野で脅威を与え続けています。

最近の活動は 2022 年から継続しており、最大 5 つのキャンペーンで構成されています。現在、これらのキャンペーンのうち 3 つが引き続きアクティブです。

AridSpy は脅威アクターが作成した偽のモバイルアプリケーションを介して拡散します

AridSpy の最新版を分析すると、最初のトロイの木馬化されたアプリケーションを通じてコマンドアンドコントロール (C2) サーバーから追加のペイロードをダウンロードできる多段階のトロイの木馬に進化していることが明らかになりました。この攻撃は主にパレスチナとエジプトのユーザーをターゲットにしており、偽の Web サイトを侵害されたアプリケーションの配布ポイントとして利用しています。

これらの不正なアプリケーションは、多くの場合、LapizaChat、NortirChat、ReblyChat などの安全なメッセージングサービスになりすまし、StealthChat、Session、Voxer Walkie Talkie Messenger などの正当なプラットフォームを模倣しています。さらに、別のアプリはパレスチナの民事登録簿になりすましています。

これらのウェブサイトの1つであるpalcivilreg.comは、2023年5月30日に登録され、179人のフォロワーがいる専用のFacebookページを通じて宣伝されています。このウェブサイトで提供されているアプリは、Google Playストアにある同様の名前のアプリをモデルにしています。

palcivilreg.com 上の脅威的なアプリケーションは、Google Play ストア版の直接的なコピーではありませんが、正規アプリのサーバーを利用してデータを収集します。これは、Arid Viper が正規アプリの機能からヒントを得て、本物のサーバーとやり取りするために独自のクライアントレイヤーを開発したことを示しています。