Trapdoor Ad Fraud
サイバーセキュリティ研究者らは、Trapdoorと呼ばれる高度な広告詐欺および悪質な広告配信活動を発見した。この活動は、大規模な悪意のあるアプリケーションネットワークと攻撃者が制御するインフラストラクチャを通じて、Androidユーザーを標的にしている。このキャンペーンには、455個の悪意のあるAndroidアプリと183個のコマンド＆コントロール（C2）ドメインが関与しており、多段階の詐欺活動を支援するために設計された広範なエコシステムが構築されていた。
この攻撃は、ユーザーが知らず知らずのうちに攻撃者が制御するアプリケーションをインストールしてしまうことから始まります。これらのアプリケーションは、PDFリーダー、電話クリーナー、デバイス最適化アプリなど、無害なユーティリティツールを装っていることがよくあります。そして、これらの一見正規のアプリケーションが、被害者に追加の悪意のあるソフトウェアをダウンロードさせるよう圧力をかける悪質な広告キャンペーンを開始します。
目次
多段階感染連鎖が隠れた広告詐欺を引き起こす
二次段階のアプリケーションは、不正行為の中核を成す役割を果たします。インストールされると、これらのアプリケーションは密かに隠しWebViewを起動し、攻撃者が操作するHTML5ドメインに接続し、バックグラウンドで継続的に広告を要求します。また、これらのアプリは、ユーザーに知られることなく偽の広告インタラクションを生成する、自動化されたタッチ詐欺も可能です。
Trapdoorの重要な特徴は、自己持続的なビジネスモデルです。一見合法に見えるアプリのインストールが、継続的な収益を生み出すサイクルへと発展し、さらなる悪質な広告キャンペーンの資金源となります。研究者らはまた、HTML5ベースのキャッシュアウトインフラストラクチャの使用も確認しました。これは、以前SlopAds、Low5、BADBOX 2.0といった脅威グループに関連付けられていた手法です。
ピーク時には、Trapdoorのインフラストラクチャは1日あたり約6億5900万件の入札リクエストを生成しました。この作戦に接続されたアプリケーションは2400万回以上ダウンロードされ、トラフィックの大部分は米国からのもので、キャンペーン活動の4分の3以上を占めていました。
選択的活性化により検出を回避
Trapdoorの背後にいる攻撃者は、正規のマーケティング担当者がユーザーによるアプリケーション発見方法を追跡するために一般的に使用するインストールアトリビューションツールを悪用しました。これらのシステムを操作することで、攻撃者は、悪意のある機能が攻撃者が制御する広告キャンペーンを通じて獲得したユーザーに対してのみ有効になるようにしました。
この選択的なアクティベーションメカニズムは、検出作業を著しく困難にした。Google Playストアから直接アプリケーションをダウンロードしたユーザーや、サイドローディング方式でインストールしたユーザーは、悪意のある動作に遭遇することはほとんどなかった。代わりに、被害者がキャンペーンを通じて配信された欺瞞的な広告や偽のアップデート通知に反応した後にのみ、ペイロードが作動した。
初期のユーティリティアプリケーションは、ソフトウェアアップデートの通知を模倣した不正なポップアップ通知を表示し、ユーザーに広告詐欺行為を担う第2段階のマルウェアをインストールさせるように仕向けていた。
分析やセキュリティ調査をさらに回避するため、Trapdoorは複数の解析回避および難読化技術を採用した。この攻撃では、正規のSDKを装ったり、悪意のあるコンポーネントを正常に動作するソフトウェアに混入させたりすることが頻繁に行われ、研究者や自動セキュリティシステムによるインフラストラクチャの特定がより困難になった。
Googleが事業運営を妨害するも、脅威の状況は変化し続ける
研究者による責任ある情報開示を受け、Googleは特定された悪意のあるアプリケーションをGoogle Playストアから削除し、事実上、このキャンペーンの基盤を破壊した。
Trapdoor作戦は、サイバー犯罪者がいかにして、アトリビューションプラットフォームや広告エコシステムといった正規のテクノロジーを悪用し、拡張性と回復力に優れた不正ネットワークを構築しているかを如実に示している。この作戦の背後にいる者たちは、ユーティリティアプリ、隠しWebView、HTML5キャッシュアウトドメイン、そして選択的なアクティベーション戦略を組み合わせることで、悪質な広告と大規模な広告詐欺の両方に対応できる、高度に適応性の高いフレームワークを確立した。
研究者らは、Trapdoorのような攻撃は、モバイル脅威が急速に進化していることを浮き彫りにしていると強調した。詐欺師は、検出を回避し、長期的な収益化のパイプラインを維持するために、ステルス性、段階的なペイロード配信、正規に見えるソフトウェアにますます依存するようになっている。
