DocSwapモバイルマルウェア
国家とつながりのある攻撃者がソーシャルエンジニアリングやマルウェア配信の手法を洗練させ続けているため、進化するモバイル脅威への警戒を怠らないことが不可欠です。北朝鮮のグループ「Kimsuky」によるものとされる最近の攻撃キャンペーンは、攻撃者がフィッシング、QRコード、トロイの木馬化されたAndroidアプリを巧みに組み合わせて被害者のデバイスに侵入していることを浮き彫りにしています。
目次
キムスキーの最新Androidキャンペーンが発覚
セキュリティ研究者は、KimsukyがDocSwapと呼ばれるAndroidマルウェアの新たな亜種を拡散する新たな活動に関与していると指摘しています。この活動は、ソウルに拠点を置く有名物流会社CJ Logistics（旧CJ Korea Express）を装ったフィッシングサイトを悪用しています。これらの偽サイトは、信頼できるサイトを装い、配送関連の通知を期待するユーザーを狙っています。
QRコードと偽アラートが感染経路となる
攻撃者は、QRコードや偽の通知ポップアップを巧みに利用して、ユーザーを悪意のあるアプリケーションのインストールに誘導します。デスクトップシステムからアクセスすると、フィッシングページにQRコードが表示され、Androidデバイスでスキャンするよう促されます。このリダイレクト手法により、ユーザーは配送追跡アプリやセキュリティ検証アプリを装ったアプリのインストールへと誘導されます。
フィッシングページは、ブラウザのユーザーエージェントを検査する追跡用PHPスクリプトを実行し、欺瞞をさらに深めます。この検査結果に基づき、ユーザーには「国際税関セキュリティポリシー」に準拠するために必要なセキュリティモジュールと称するインストールを促すメッセージが表示されます。この説明は、インストール要求を正当化し、ユーザーの疑念を薄めることを目的としています。
Androidのセキュリティ警告を回避する
Androidは不明なソースからのインストールを制限し、目立つ警告を表示するため、脅威アクターはアプリが公式リリースで安全であると偽って主張します。このソーシャルエンジニアリングの戦術は、被害者に組み込みの保護機能を無視させ、警告にもかかわらずインストールを続行するよう圧力をかけます。
悪意のあるAPKの配信と実行チェーン
被害者が同意すると、27.102.137.181 のサーバーから SecDelivery.apk という APK がダウンロードされます。起動すると、このパッケージは自身のリソース内に埋め込まれた暗号化された APK を復号します。ペイロードを起動する前に、外部ストレージの管理、インターネットへのアクセス、追加パッケージのインストールに必要な権限を取得していることを確認します。
権限が確認されると、マルウェアはcom.delivery.security.MainServiceというサービスを登録し、OTPベースの本人確認を装ったアクティビティを直ちに開始します。この偽の認証画面では配送番号の入力が求められますが、この配送番号はAPKに742938128549としてハードコードされており、フィッシングの初期段階で被害者に提供された可能性があります。
偽装認証とサイレントコンプロマイズ
配送番号を入力すると、アプリはランダムな6桁の確認コードを生成し、通知として表示します。その後、ユーザーにこのコードを入力するよう促すことで、正規のセキュリティプロセスが実行されているという錯覚を強めます。入力が完了すると、アプリはCJ Logisticsの正規の追跡ページへのリンクを持つWebViewを開き、アクティビティが本物であるかのように見せかけます。
一方、悪意のあるコンポーネントは、攻撃者が制御するコマンド アンド コントロール サーバー (27.102.137.181、ポート 50005) に密かに接続します。この時点で、新たに展開された DocSwap の亜種は、フル機能を備えたリモート アクセス型トロイの木馬として動作します。
リモートアクセス機能とデータ盗難
このマルウェアは、攻撃者から数十ものコマンドを受信することができ、感染したデバイスを広範囲に監視・制御することが可能です。その機能には、ユーザー入力のログ記録、通信の監視、機密性の高い個人情報の抽出などがあり、感染したスマートフォンを強力なスパイツールへと変貌させます。
トロイの木馬化されたアプリと配布の拡大
偽の配送アプリに加え、研究者らはP2Bエアドロップアプリを装った悪意のあるサンプルと、正規VPN製品BYCOM VPNの侵害版を特定しました。正規のVPNアプリはGoogle Playで入手可能で、インド企業Bycom Solutionsによって開発されています。分析によると、Kimsukyは正規のAPKに悪意のあるコードを注入し、キャンペーンで使用するために再パッケージ化しました。
フィッシングインフラと認証情報収集
支援インフラの調査により、NAVERやKakaoといった韓国の人気プラットフォームを模倣したフィッシングサイトが発見されました。これらのサイトはユーザーの認証情報を窃取することを目的としており、NAVERユーザーを特に標的とした以前のKimsukyの活動と重複する点が見られ、既存のインフラの再利用と拡張が示唆されています。
進化するマルウェア設計
展開されたマルウェアは、以前のKimsukyツールと同様のRATサービスを起動しますが、顕著な進化が見られます。埋め込まれたAPKに新しいネイティブ復号機能を使用し、複数のデコイ動作を組み込んでいることは、継続的な開発と、検出を回避しながら効果を高めようとする取り組みを示しています。
