LianSpy モバイルスパイウェア
少なくとも2021年以来、ロシアのユーザーは、これまで文書化されていなかったLianSpyと呼ばれるAndroidの侵害後スパイウェアの標的になっています。サイバーセキュリティ研究者は2024年3月にこのマルウェアを発見しました。専門家は、このマルウェアがコマンドアンドコントロール（C2）通信にロシアのクラウドサービスであるYandex Cloudを使用していることを強調しました。これにより、専用インフラストラクチャを回避して検出を回避できます。LianSpyは、スクリーンキャストをキャプチャし、ユーザーファイルを抽出し、通話ログとアプリリストを収集できます。
このスパイウェアの配布方法は不明だが、研究者らは、未知のセキュリティ上の欠陥か、標的の携帯電話への直接的な物理的アクセスを通じて配布される可能性が高いと示唆している。マルウェアが組み込まれたアプリケーションは、Alipay または Android システム サービスに偽装されている。
目次
LianSpy スパイウェアはどのように動作するのでしょうか?
LianSpy は起動すると、管理者権限でバックグラウンドで動作するシステム アプリとして実行されているかどうかを判断します。そうでない場合は、連絡先、通話履歴、通知にアクセスしたり、画面にオーバーレイを描画したりするためのさまざまな権限を要求します。
また、スパイウェアはデバッグ環境で実行されているかどうかをチェックし、再起動後も維持される構成を設定します。その後、ランチャーからアイコンを隠し、スクリーンショットの撮影、データの抽出、キャプチャする情報の種類を指定するための構成の更新などのアクティビティを開始します。
LianSpy のいくつかの亜種には、ロシアで人気のインスタント メッセージング アプリケーションからデータを収集するオプションや、マルウェアが Wi-Fi またはモバイル ネットワークに接続されている場合にのみ実行されるかどうかを制御するオプションなどが含まれています。
LianSpy は設定を更新するために、脅威アクターの Yandex ディスク上で正規表現「^frame_.+.png$」に一致するファイルを 30 秒ごとに検索します。見つかった場合、そのファイルはアプリケーションの内部データ ディレクトリにダウンロードされます。
LianSpyスパイウェアのステルス機能
収集されたデータは暗号化され、SQL データベース テーブルに保存されます。このテーブルには、データの種類と SHA-256 ハッシュが記録されます。この盗まれた情報を復号化できるのは、対応する RSA 秘密キーを持つ脅威アクターだけです。
LianSpy は、Android 12 で導入されたプライバシー インジケーター機能を回避することでそのステルス性を実証しています。この機能では、ステータス バー アイコンを表示するために、マイクとカメラのアクセス許可を要求するアプリケーションが必要です。
LianSpy の開発者は、Android のセキュリティ設定パラメータ「icon_blacklist」にキャスト値を追加することでこの保護を回避し、通知アイコンがステータス バーに表示されないようにしました。さらに、LianSpy は「NotificationListenerService」を使用してステータス バー通知を処理および抑制することで、呼び出されるバックグラウンド サービスからの通知を非表示にします。
脅威アクターが合法的なサービスを悪用するケースが増えている
LianSpy の高度な機能には、ルート アクセスを取得するために「su」バイナリ (名前を「mu」に変更) を使用するというものがあります。これは、マルウェアが未知のエクスプロイトまたはデバイスへの物理的アクセスを通じて配信される可能性が高いことを示しています。
LianSpy は、一方向のコマンド アンド コントロール (C2) 通信を実装することでステルス性も重視しており、マルウェアは受信コマンドを受信しません。収集したデータの送信と設定コマンドの保存の両方に Yandex Disk を使用します。
Yandex Disk の認証情報は、マルウェアの亜種ごとに異なるハードコードされた Pastebin URL を介して更新されます。正規のサービスを利用すると、難読化の層がさらに追加され、帰属が複雑になります。
スパイウェア ツールの最新版である LianSpy は、ゼロデイ脆弱性を悪用して Android と iOS の両方のモバイル デバイスをターゲットにします。通話ログやアプリケーション リストの収集などの標準的なスパイ活動の戦術に加えて、画面の録画と回避を秘密裏に行うためにルート権限を使用します。名前が変更された「su」バイナリを使用していることから、最初の侵害の後に二次感染が発生する可能性があることが示唆されます。
