Nexusバンキング型トロイの木馬
Nexus バンキング型トロイの木馬は、Android オペレーティング システムを標的とする一種のモバイル マルウェアです。この脅威は、基本的に、以前に特定および追跡された SOVA バンキング型トロイの木馬の再ブランド化されたバージョンです。その主な目的は、被害者の感染したデバイスから銀行および金融情報を盗むことです。ただし、さまざまな悪意のある機能も備えているため、より重大な脅威になります。
Nexus は、他のアプリケーションのログイン認証情報を盗んだり、音声を録音したり、スクリーンショットを撮ったりするなどのアクションを実行できます。このタイプのマルウェアは、デバイスに保存されている連絡先、メッセージ、その他の機密情報へのアクセスなど、スパイウェア機能も実行できます。そのため、個人のプライバシーとサイバーセキュリティの両方に重大な脅威をもたらします。 Nexus Android バンキング型トロイの木馬に関する詳細は、Cyble の研究者によって公開されました。
Nexus バンキング型トロイの木馬が感染したデバイスから機密情報を収集
Nexus マルウェアは、Android アクセシビリティ サービスを悪用して、ユーザーのデバイスを制御します。この正当な機能は、クリックをシミュレートしたり、表示されたテキストを読んだりすることで、ユーザーがデバイスをより簡単に操作できるようにすることを目的としています。マルウェアがデバイスに侵入すると (通常は正当なアプリを装います)、アクセシビリティ サービスを有効にするようユーザーに要求します。さまざまな方法でマシンと対話できます。
アクセシビリティ サービスを制御できるようになると、Nexus はその権限をエスカレートし、ユーザーがアクセシビリティ サービスを無効にできないようにしたり、Google Play プロテクトやその他のパスワード セキュリティ対策を無効にしたりする機能を含む、追加の権限を自身に付与することができます。
Nexus は、電話のモデル、OS バージョン、IMEI、電池の状態、IP アドレス（位置情報）、SIM カード ID、電話番号、モバイル ネットワーク データなど、さまざまなデバイス情報を収集します。このマルウェアは、特に 40 を超える一般的なバンキング アプリケーションを標的とし、デバイスにインストールされているアプリケーションのリストをチェックして、各バンキング アプリに適切な HTML インジェクション コードをダウンロードします。このコードは偽のオーバーレイを作成します。これは、ユーザーが正規のバンキング アプリを操作したときにトリガーされ、ユーザーにログイン資格情報の入力を求めます。
ユーザーがログイン資格情報を入力すると、マルウェアはそれを攻撃者に送信し、ユーザーの銀行口座へのアクセスを許可します。マルウェアは、ユーザーがアクセシビリティ サービスを無効にするのを防ぐことができるため、引き続き機密情報を収集し、ユーザーのデバイスを危険にさらす可能性があります。
Nexusバンキング型トロイの木馬が侵害されたデバイスの制御を取得
Nexus トロイの木馬は、機密コンテンツ、特に銀行口座を制御するのに役立つさまざまな機能を備えた悪意のあるソフトウェアです。その重要な機能の 1 つは、ログイン資格情報やその他の機密情報を取得するために使用できるキーストローク (キーロギング) を記録する機能です。
さらに、Nexus は SMS メッセージ、通話、および通知も管理できます。特定の番号またはすべての連絡先にテキスト メッセージを読み取ったり、傍受したり、非表示にしたり、削除したり、送信したりすることもできます。これにより、テキスト メッセージを介して送信された OTP と 2FA/MFA、および Google Authenticator からの情報を取得できます。
Nexus は、連絡先情報を変更するだけでなく、ステルス電話をかけたり転送したりすることもできます。これは、Toll Fraud マルウェアに使用される可能性があることを意味します。すべての連絡先にメッセージを送信できるため、スパム SMS メッセージが拡散する可能性があります。
さらに、このトロイの木馬は、偽の通知を読み取ったり、傍受したり、隠したり、表示したりして、通知を管理できます。また、実行中のプロセスのチェック、プログラムの削除、アプリのオープン、デバイスのロック/ロック解除、サウンドのミュート/ミュート解除、ブラウザー経由での URL のオープン、偽のシステム アラート オーバーレイの表示、ユーザー アカウント リストの取得、暗号通貨ウォレットのログイン資格情報と残高の取得も行うことができます。
Nexus は、接続された外部ストレージからファイルを読み取ったり削除したりすることもできます。これは、追加の悪意のあるコンテンツをデバイスに挿入することによって連鎖感染を引き起こすために使用される可能性があります。現在、主にバンキング アプリの HTML インジェクション パッケージを取得するために使用されているようですが、ランサムウェアなどの追加のマルウェアでデバイスを感染させるように変更される可能性があります。
