「Android」デバイスの間で広く拡散している強力なマルウェアがその矛先を転じ、オンラインバンキングアプリケーションを狙うようになった。このマルウェアには、銀行口座のユーザー名とパスワードや、ソーシャルメディアのプロフィールなどを盗むためのキーロガーも搭載されているという。
提供：Getty Images/Crispin la valiente
サイバーセキュリティ企業ThreatFabricの研究者らの説明によると、このマルウェアは「SpyNote」ファミリーに属しているという。SpyNoteは2016年から活動が確認されているトロイの木馬型のスパイウェアであり、Androidスマートフォン上でのユーザーのアクティビティーをひそかに監視したり、デバイスのリソースや設定を改変する能力を有している。
SpyNoteの最新亜種である今回のマルウェアは2021年8月から「CypherRat」という名称でサイバー犯罪者らに販売されていたという。その後、2022年10月に同マルウェアのソースコードがインターネット上で公開された。それ以来、同マルウェアのサンプルやキャンペーンの急増が確認されている。
ソースコードがオンライン上で公開されたことで、SpyNote攻撃は劇的に増加した。そしてその攻撃は、オンラインバンキングアプリケーションや金融関連の情報に的を絞っているように見受けられる。
これらSpyNoteのキャンペーンでは、「HSBC UK Mobile Banking」や「Deutsche Bank Mobile」「Kotak Bank」「BurlaNubank」といった正規のバンキングアプリケーションのほか、「WhatsApp」や「Facebook」「Google Play」といった一般的なAndroidアプリケーションを装うマルウェアが用いられている。
このような偽のアプリケーションは多くの場合、標的としたユーザーを悪質なウェブサイトへと誘導し、AndroidスマートフォンにSpyNoteマルウェアをダウンロードさせるように仕向けることで感染を拡大していくというフィッシングキャンペーンを通じて配布されていると考えられている。
同マルウェアはインストールされると、アクセシビリティーサービスの利用許可とデバイス管理権限を取得する。これにより最終的に、デバイスをひそかに制御できるようにするとともに、ユーザーによるアンインストールを難しいものにする。
SpyNoteのこの亜種の主な目的は、銀行のログイン画面を装った偽の画面を表示し、入力されたユーザー名とパスワードをキーロガーによってひそかに盗み出すことで、銀行口座の認証情報を窃取するというものだ。また同マルウェアは、多要素認証（MFA）コードを窃取するためにアクセシビリティー機能を悪用してもいる。
さらに同マルウェアは、デバイスの位置情報を取得できるほか、自らをバージョンアップしたり、新たなアプリケーションをインストールすることさえ可能になっている上、SMSメッセージや通話、動画、音声の記録を追跡するためにも使用できるようになっている。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
