XploitSpy モバイル マルウェア
「eXotic Visit」と呼ばれる新しい Android マルウェア キャンペーンが、南アジア、特にインドとパキスタンのユーザーを積極的にターゲットにしています。このキャンペーンは、専門の Web サイトと Google Play ストアを通じてマルウェアを配布しています。
研究者らは2021年11月からこのキャンペーンを監視していますが、既知の脅威アクターやグループとの関連は見つかりませんでした。彼らはその背後にいるグループをVirtual Invadersと名付けました。
これらのソースからダウンロードされた脅威的なアプリケーションは、正当な機能を提供しますが、オープンソースの Android XploitSPY RAT のコードも含まれています。このキャンペーンは非常に集中しているようで、Google Play のアプリケーションのインストール数は 0 から 45 と非常に少ないです。調査結果の結果、これらのアプリケーションはプラットフォームから削除されました。
目次
攻撃活動では多数の偽のアプリケーションが利用された
詐欺的なアプリケーションは依然として機能しており、主に Alpha Chat、ChitChat、Defcom、Dink Messenger、Signal Lite、TalkU、WeTalk、Wicker Messenger、Zaangi Chat などのメッセージング プラットフォームを装っていました。約 380 人がこれらのアプリケーションをダウンロードしてアカウントを作成し、メッセージングに使用する目的で被害に遭ったと報告されています。
さらに、eXotic Visit キャンペーンの一環として、Sim Info や Telco DB などのアプリケーションが利用されています。これらのアプリケーションは、パキスタンの電話番号を入力するだけで SIM カード所有者に関する情報を提供すると主張しています。さらに、他のアプリケーションは、パキスタンの食品配達サービスや、Specialist Hospital (現在は Trilife Hospital に改名) として知られるインドの合法的な病院を装っています。
XploitSpy モバイルマルウェアは、さまざまな侵入機能を備えています
XploitSPY は、RaoMK というユーザーによって 2020 年 4 月に GitHub に最初にアップロードされましたが、インドのサイバーセキュリティ ソリューション企業 XploitWizer と関係があります。これは、AhMyth に触発された別のオープンソース Android トロイの木馬 L3MON の派生であると特定されています。
このマルウェアは、侵入したデバイスから機密データを収集できる幅広い機能を誇っています。GPS 位置の収集、マイクからの音声の録音、連絡先、SMS メッセージ、通話履歴、クリップボードの内容へのアクセスが可能です。また、WhatsApp、Facebook、Instagram、Gmail などの人気アプリから通知の詳細を抽出したり、ファイルのダウンロードやアップロード、インストールされたアプリケーションの表示、キューに入れられたコマンドの実行も可能です。
さらに、有害なアプリケーションは、スクリーンショット、WhatsApp、WhatsApp Business、Telegram、GBWhatsApp として知られる WhatsApp の改変版に関連付けられた特定のディレクトリから写真を撮影し、ファイルを列挙するようにプログラムされています。
攻撃者はステルス性を重視する傾向が強まっている
長年にわたり、これらの脅威アクターは難読化、エミュレータ検出、C2 アドレスの非表示、ネイティブ ライブラリの使用などを追加して、有害なコードをカスタマイズしてきました。ネイティブ ライブラリ「defcome-lib.so」の主な目的は、C2 サーバー情報を暗号化し、静的分析ツールから隠すことです。エミュレータが検出されると、アプリは偽の C2 サーバーを使用して検出を回避します。
アプリケーションの一部は、この目的のために特別に作成された Web サイト「chitchat.ngrok.io」を通じて拡散されており、この Web サイトは GitHub でホストされている Android パッケージ ファイル「ChitChat.apk」へのリンクを提供しています。被害者がどのようにしてこれらのアプリケーションに誘導されるのかは、現時点では明らかではありません。
研究者らは、配布は専用ウェブサイトから始まり、その後公式の Google Play ストアにまで移行したと述べています。このキャンペーンの目的はスパイ活動であり、おそらくパキスタンとインドの被害者をターゲットにしていると思われます。
