MMRat モバイル マルウェア
MMRat と呼ばれる新興の Android バンキング マルウェアは、protobuf データ シリアル化として知られる珍しい通信技術を採用しています。このアプローチにより、マルウェアが侵害されたデバイスから情報を抽出する効率が向上します。
2023 年 6 月にサイバーセキュリティ専門家によって発見された MMRat は、主に東南アジアにいるユーザーをターゲットにしています。このマルウェアが潜在的な被害者に最初に拡散した正確な方法は依然として不明ですが、研究者らは、MMRat が正規のアプリ ストアを装った Web サイトを通じて拡散することを特定しました。
MMRat マルウェアを運ぶ不正なアプリケーションは、何も知らない被害者によってダウンロードされ、インストールされます。多くの場合、これらのアプリケーションは政府のアプリケーションや出会い系プラットフォームになりすましています。その後、インストール中に、アプリケーションは Android のアクセシビリティ サービスへのアクセスを含む、重要な権限の受け取りを要求します。
アクセシビリティ機能を利用することで、マルウェアはそれ自体に追加のアクセス許可を自動的に確保します。これにより、MMRat は侵害されたデバイス上でさまざまな有害なアクティビティを実行できるようになります。
MMRat によりサイバー犯罪者は多数のデバイス機能を制御できるようになる
MMRat が Android デバイスにアクセスできるようになると、C2 サーバーとの通信を確立し、アイドル期間中のデバイスのアクティビティを監視します。これらの間隔中に、攻撃者はアクセシビリティ サービスを悪用して、リモートでデバイスを起動し、ロックを解除し、リアルタイムの銀行詐欺を実行します。
MMRat の主な機能には、ネットワーク、画面、バッテリー データの収集、ユーザーの連絡先とアプリケーション リストの抽出、キーロギングによるユーザー入力のキャプチャ、MediaProjection API を介したリアルタイム画面コンテンツの取得、カメラ データの記録とライブ ストリーミング、テキストでの画面データのダンプなどが含まれます。フォームを C2 サーバーに送信し、最終的にはそれ自体をアンインストールして感染の痕跡を消去します。
MMRat の効率的なデータ送信は、リアルタイムの画面コンテンツをキャプチャし、「ユーザー端末の状態」からテキスト データを抽出する機能にとって不可欠です。効果的な銀行詐欺を可能にするために、マルウェアの作成者はデータ漏洩用のカスタム Protobuf プロトコルを設計しました。
MMRat は異常な通信技術を利用して攻撃者のサーバーにアクセスします
MMRat は、プロトコル バッファー (Protobuf) として知られるものを利用する独自のコマンド アンド コントロール (C2) サーバー プロトコルを採用し、Android トロイの木馬の分野では珍しい、合理化されたデータ転送を促進します。 Google が開発したデータシリアル化技術である Protobuf は、XML や JSON と同様に機能しますが、フットプリントがより小さく、より高速です。
MMRat は、C2 との通信にさまざまなポートとプロトコルを使用します。これらには、データ抽出用のポート 8080 での HTTP、ビデオ ストリーミング用の RTSP およびポート 8554、コマンド アンド コントロール用のポート 8887 でのパーソナライズされた Protobuf 実装が含まれます。
C&C プロトコルの独自性は、Netty、ネットワーク アプリケーション フレームワーク、および前述の Protobuf を使用するように調整されていることです。これには、適切に構造化されたメッセージも組み込まれています。 C&C 通信内で、脅威アクターは、すべてのメッセージ タイプと、個別のデータ カテゴリを示す「oneof」キーワードを具体化する包括的な構造を採用します。
Protobuf の効率性を超えて、カスタム プロトコルの利用により、通常、既知の脅威の認識可能なパターンを識別するネットワーク セキュリティ ツールに対する回避が強化されます。 Protobuf の多用途性のおかげで、MMRat の作成者はメッセージ構造を定義し、データ送信方法を規制することができます。一方、その体系的な設計により、ディスパッチされたデータが事前定義された設計に準拠していることが保証され、受信時のデータ破損の可能性が軽減されます。
MMRat モバイルの脅威は、サイバー犯罪者が慎重な作戦と効果的なデータ取得技術を巧みに組み合わせていることにより、Android バンキング型トロイの木馬の複雑さが進化していることを示しています。
