ハッカーがGoogle Playを模倣して仮想通貨マイニングマルウェアを拡散
ハッカーたちは新たなフィッシング詐欺の手口で被害者を狙っている。SecureListの投稿によると、ハッカーたちは偽のGoogle Playストアページを利用して、ブラジルでAndroidマルウェアの拡散キャンペーンを行っているという。.
この悪質なアプリは正規のダウンロードのように見えますが、インストールされると感染したスマートフォンを仮想通貨マイニングマシンに変えてしまいます。さらに、銀行マルウェアをインストールしたり、攻撃者にリモートアクセスを許可したりするためにも利用されます。.
ハッカーがブラジルのスマートフォンを仮想通貨マイニングマシンに改造
このキャンペーンは、Google Playとほぼ同じdentに見えるフィッシングサイトから始まります。サイト内のページの一つには、ブラジルの社会保障サービスと関連があると偽る「INSS Reembolso」という偽アプリが掲載されています。ユーザーインターフェース（UX/UI）のデザインは、信頼できる政府機関のサービスやPlayストアのレイアウトを模倣しており、ダウンロードが安全に見えるように工夫されています。.
偽アプリをインストールすると、マルウェアは複数の段階を経て隠されたコードを解凍します。暗号化されたコンポーネントを使用し、主要な悪意のあるコードを直接メモリにロードします。デバイス上に目に見えるファイルは存在しないため、ユーザーは不審な活動を検出することが困難です。.
このマルウェアは、セキュリティ研究者による分析も回避する。スマートフォンがエミュレーション環境で動作しているかどうかをチェックし、それを検出した場合は動作を停止する。
インストールが成功すると、マルウェアはさらに多くの悪意のあるファイルをダウンロードし続けます。そして、偽のGoogle Play風画面を表示し、偽のアップデートプロンプトを表示して、ユーザーにアップデートボタンをタップするように促します。.
これらのファイルの一つは、ARMデバイス向けにコンパイルされたXMRigのバージョンである暗号通貨マイナーです。このマルウェアは、攻撃者が制御するインフラストラクチャからマイニングペイロードを取得します。そして、それを復号化してスマートフォン上で実行します。ペイロードは、感染したデバイスを攻撃者が制御するマイニングサーバーに接続し、バックグラウンドで密かに暗号通貨をマイニングします。.
このマルウェアは高度な技術を用いており、闇雲に仮想通貨をマイニングするわけではありません。SecureListの分析によると、このマルウェアはバッテリー残量、温度、インストールからの経過時間、そしてスマートフォンの使用状況などを監視しています。マイニングは監視データに基づいて開始または停止されます。その目的は、身を隠し、検出される可能性を最小限に抑えることです。.
Androidはバッテリー消費を抑えるためにバックグラウンドアプリを強制終了するが、このマルウェアはほぼ無音の音声ファイルをループ再生することでこれを回避している。これにより、Androidの自動無効化を回避し、あたかもアプリがアクティブに使用されているかのように見せかけるのだ。.
マルウェアはコマンドの送信を継続するために、正規のGoogleサービスであるFirebase Cloud Messagingを使用します。これにより、攻撃者は新しい指示を容易に送信し、感染したデバイス上のアクティビティを管理できます。.
銀行トロイの木馬がUSDT送金を標的に
このマルウェアは、単に仮想通貨をマイニングするだけではありません。一部のバージョンでは、 Binance やTrust Walletを標的としたバンキング型トロイの木馬もインストールします。特にUSDT送金時に悪用され、偽の画面を実際のアプリの上に重ねて表示した後、攻撃者が管理するウォレットアドレスに密かに置き換えます。.
銀行モジュールは、ChromeやBraveなどのブラウザを監視し、幅広いリモートコマンドをサポートしています。これには、音声録音、画面キャプチャ、SMSメッセージ送信、デバイスのロック、データ消去、キーストロークの記録などが含まれます。.
他の最近のサンプルでは、偽アプリの配信方法は同じだが、ペイロードが異なっている。それらは、闇市場で販売されているリモートアクセスツールであるBTMOB RATをインストールする。.
BTMOBは、マルウェア・アズ・ア・サービス（MaaS）エコシステムの一部です。攻撃者はこれを購入またはレンタルできるため、ハッキングや窃盗のハードルが低くなります。このツールは、画面録画、カメラアクセス、GPS trac、dent情報窃盗など、攻撃者に高度なアクセス権限を与えます。.
BTMOBはオンラインで積極的に宣伝されている。攻撃者はYouTubeでマルウェアのデモを公開し、感染したデバイスの制御方法を示した。販売とサポートはTelegramアカウントを通じて行われている。.
SecureListによると、既知の被害者は全員ブラジル在住である。また、WhatsAppやその他のフィッシングページ。
このような高度なハッキング攻撃は、あらゆることを検証し、何も信用してはならないということを改めて思い起こさせる。.
まだ銀行に一番大事な部分を預けていますか？自分の銀行になる方法。
