ネクロトロイの木馬
2019 年、サイバーセキュリティ研究者は厄介な問題を発見しました。Google Play ストアの正規の Android アプリケーションが、開発者が広告収入を得るために使用するサードパーティ ライブラリによって侵害されていたのです。この変更により、1 億台のデバイスが攻撃者が管理するサーバーに接続され、隠されたペイロードが展開されました。
同様の状況が再び浮上しました。情報セキュリティの専門家は、Google Play から 1,100 万回ダウンロードされた 2 つの新しいアプリケーションが同じマルウェア ファミリーに感染していることを確認しました。広告機能を統合するために使用された安全でないソフトウェア開発キットが再び原因であるようです。
目次
SDK とは何ですか?
ソフトウェア開発キット (SDK) は、開発者に、定型的なタスクを処理することでアプリケーション作成プロセスを簡素化および加速する、事前に構築されたフレームワークを提供します。このケースでは、広告表示をサポートするように設計されたように見える未検証の SDK モジュールがアプリケーションに統合されていました。しかし、その裏では、侵害されたサーバーと密かに通信するための高度な方法が有効になっていました。これにより、アプリケーションはユーザー データをアップロードし、いつでも実行または更新できる有害なコードをダウンロードできました。
Necro Trojans はどのようにしてデバイスに感染するのか?
両方のキャンペーンの背後にあるマルウェア ファミリーは Necro と呼ばれ、この例では、一部の亜種がステガノグラフィーなどの高度な技術を採用しています。これは、モバイル脅威では珍しい難読化手法です。一部の亜種は、高度な手法を使用して、昇格したシステム権限で動作できる不正なコードを配信します。デバイスが感染すると、攻撃者が制御するコマンド アンド コントロール サーバーと通信します。このサーバーは、侵害されたデバイスと不正なモジュールをホストしているアプリケーションに関する詳細を報告する暗号化された JSON データを送信します。
その後、サーバーは、PNG 画像へのリンクと画像のハッシュを含むメタデータを含む JSON メッセージで応答します。感染したデバイス上のモジュールがハッシュを検証すると、画像のダウンロードに進みます。
研究者らは、SDK モジュールはシンプルなステガノグラフィ アルゴリズムを使用していると説明しています。MD5 チェックに合格すると、標準の Android ツールを使用して PNG ファイルの内容、具体的には ARGB チャネルのピクセル値を抽出します。getPixel メソッドは、最下位バイトに画像の青チャネルが含まれる値を取得し、マルウェアはそこから処理を開始します。
ネクロトロイの木馬は深刻な結果をもたらす可能性がある
マルウェアによってインストールされた後続のペイロードは、感染したデバイスごとにカスタマイズしてさまざまなアクションを実行できる不正なプラグインをダウンロードします。このようなプラグインの 1 つは、昇格されたシステム権限でコードを実行できるようにします。通常、Android は特権プロセスによる WebView (アプリケーション内で Web ページを表示するためのコンポーネント) の使用を制限します。この制限を克服するために、Necro はリフレクション攻撃と呼ばれる手法を使用して、WebView ファクトリの別の発生を作成します。
さらに、このプラグインは、WebView を通じて表示されるリンクを変更する他のファイルをダウンロードして実行できます。システム権限が昇格されると、これらの実行ファイルは URL を変更して有料サブスクリプションの確認コードを挿入したり、攻撃者が制御するリンクからコードをダウンロードして実行したりできます。研究者は、Necro の分析中に 5 つの異なるペイロードを特定しました。さらに、Necro のモジュール構造により、マルウェアはさまざまな方法で動作します。
ネクロトロイの木馬は2つのアプリケーションで発見されました
研究者は、Google Play の 2 つのアプリケーションで Necro を特定しました。そのうちの 1 つである Wuta Camera は、1,000 万回ダウンロードされています。Wuta Camera のバージョン 6.3.2.148 から 6.3.6.148 には、感染の原因となる悪質な SDK が含まれていましたが、その後、アプリケーションは更新され、有害なコンポーネントが削除されました。もう 1 つのアプリケーションである Max Browser も感染していましたが、ダウンロード数は約 100 万回でした。ただし、このアプリケーションは Google Play では入手できなくなりました。
さらに、研究者らは、代替マーケットプレイスで提供されているさまざまな Android アプリケーションが Necro に感染していることを発見しました。これらのアプリケーションは通常、Spotify、Minecraft、WhatsApp、Stumble Guys、Car Parking Multiplayer、Melon Sandbox などの正規アプリケーションの修正版として提供されています。
