.NET MAUI 偽の Android アプリ

サイバーセキュリティの専門家は、Microsoft の .NET マルチプラットフォーム アプリ UI (.NET MAUI) フレームワークを悪用する新しい Android マルウェア キャンペーンを発見しました。銀行やソーシャル メディア アプリケーションを装ったこれらの脅威的なアプリケーションは、主にインドおよび中国語を話すユーザーをターゲットにし、機密情報を収集することを目的としています。

.NET MAUI とは何ですか? また、なぜ使用されるのですか?

.NET MAUI は、C# と XAML を使用してネイティブ アプリケーションを開発するための Microsoft のクロスプラットフォーム フレームワークです。Xamarin から進化したこのフレームワークは、必要に応じてプラットフォーム固有のコードを許可しながら、単一のプロジェクトでマルチプラットフォーム アプリケーションを効率的に作成する方法を開発者に提供します。

注目すべきことに、Microsoft は 2024 年 5 月 1 日に Xamarin のサポートを正式に終了し、開発者に .NET MAUI への移行を推奨しています。脅威アクターはすぐに適応し、このフレームワークを活用して新しい Android マルウェアを開発し、攻撃手法を改良および進化させ続けています。

.NET MAUI がマルウェアの検出回避にどのように役立つか

DEX ファイルとネイティブ ライブラリに依存する従来の Android アプリケーションとは異なり、.NET MAUI ベースのマルウェアは、コア機能を C# BLOB バイナリに保存します。フレームワークがパッカーとして機能し、マルウェアが被害者のデバイス上で検出されずに存続できるようにするため、検出はより困難になります。

.NET MAUI を利用することで、サイバー犯罪者はいくつかの利点を得ることができます。

• ステルス モード: 破損したコードは C# バイナリ内に隠されるため、分析が困難になります。
• 持続期間の延長: マルウェアはセキュリティ警告をトリガーすることなく、感染したデバイス上に長く留まります。
• 回避戦術: 従来とは異なるアーキテクチャにより、従来のセキュリティ スキャンを回避できます。

偽の銀行およびソーシャルメディアアプリケーションが特定される

研究者は、.NET MAUI を使用する複数の不正なアプリを特定しました。これらは総称して FakeApp と呼ばれています。注目すべき偽のアプリケーションには次のようなものがあります。

偽の銀行アプリケーション:

インダス クレジットカード (indus.credit.card)

Indusind カード (com.rewardz.card)

偽のソーシャルメディアとユーティリティアプリケーション:

キューピッド (pommNC.csTgAT)

X•GDN (pgkhe9.ckJo4P)

迷城 (Míchéng) (pCDhCg.cEOngl)

私密相册 (プライベート アルバム) (pBOnCi.cUVNXz)

小宇宙 (p9Z2Ej.cplkQv)

これらのアプリケーションは、ユーザーを騙してインストールさせ、密かに個人データを抽出して、攻撃者が管理するサーバーに送信します。

ユーザーはどのように騙されているのか

Google Play を通じて配布される正規のアプリケーションとは異なり、これらの偽のアプリケーションは、欺瞞的な戦術を利用して配布されます。攻撃者はメッセージング アプリケーションを通じて不正なリンクを送信し、ユーザーを非公式のアプリ ストアに誘導して、知らないうちにマルウェアをダウンロードさせます。

例えば：

• 偽の銀行アプリケーションがインドの金融機関になりすまし、ユーザーの氏名、携帯電話番号、クレジットカードの詳細、政府発行の身分証明書を盗みます。
• 「X」（旧Twitter）を模倣した不正なソーシャルメディアアプリが、中国語圏のユーザーをターゲットに、連絡先、SMSメッセージ、写真を収集している。

使用された高度な回避技術

検出を回避するために、マルウェアは複数の高度な手法を採用しています。

• 暗号化されたデータ転送: 収集されたデータは、暗号化されたソケット通信を使用してコマンドアンドコントロール (C2) サーバーに送信されます。
• 偽の権限: マルウェアは、分析ツールを混乱させるために、意味のない権限 (例: 'android.permission.LhSSzIw6q') を AndroidManifest.xml ファイルに挿入します。
• マルチステージ動的ロード: XOR 暗号化ローダーを使用して AES 暗号化ペイロードを起動し、実際のマルウェアを含む .NET MAUI アセンブリをロードします。
• ユーザーの操作が悪意のあるアクションをトリガー: コア ペイロードは C# コード内に隠されており、ユーザーがアプリを操作したとき (たとえば、ボタンを押すとき) にのみアクティブになります。その時点で、密かにデータを盗み、C2 サーバーに送信します。

安全を保つ方法

こうした攻撃はますます巧妙化しているため、ユーザーは自らを守るために積極的な対策を講じる必要があります。

• サードパーティのアプリ ストアを避ける– Google Play または信頼できるソースからのみアプリケーションをダウンロードします。
• アプリケーションの権限を確認する– 不要な権限を要求するアプリケーションには注意してください。
• フィッシングリンクに注意してください– メッセージ内の疑わしいリンクをクリックしないでください。
• マルウェア対策ソフトウェアを使用する– 信頼性の高いモバイル セキュリティ ソリューションをインストールして、潜在的な脅威を検出し、削除します。

サイバー犯罪者は戦術を絶えず進化させているため、情報を入手し、注意を怠らないことが、これらの新たな脅威に対する最善の防御策となります。