ascii.jp Open in urlscan Pro
13.32.121.23  Public Scan

Form analysis
0 forms found in the DOM

Text Content

このページの本文へ


マカフィー


× ASCII.JP



McAfee Blog


マカフィー、新型コロナウイルス感染症に便乗したメキシコ標的のマルウェアを確認

2021年09月17日 16時30分更新

文● McAfee

 * 
 * シェア
 * 一覧
 * 
 * お気に入り
 * 

　McAfee Mobile Malware Research
Teamは、メキシコを標的としたマルウェアを確認しました。このマルウェアは、セキュリティ・バンキング・ツールや、稼働していないATMを報告するための銀行のアプリケーションを装っています。いずれの場合も、このマルウェアは、不正行為を防止するために開発されたツールで緊迫感を演出して、ターゲットにツールの使用を促します。このマルウェアは、標的となったメキシコの金融機関で、被害者の口座にアクセスする重要な認証情報を盗み出します。

　McAfee Mobile Securityでは、この脅威をAndroid/Banker.BTとその亜種として認識しています。

目次

マルウェアを広める手口
マルウェアから身を守る方法
挙動：被害者に認証情報を提供するよう誘導




マルウェアを広める手口

　このマルウェアは、悪意のあるフィッシングページで配布されます。このページでは、実際の銀行のセキュリティに関する情報（オリジナルの銀行サイトからコピーされたもの）が提供され、セキュリティツールとして、または稼働していないATMを報告するためのアプリとして、悪意のあるアプリのダウンロードを推奨します。この脅威の配布方法は、スミッシングキャンペーンに関連していると思われます。また、ラテンアメリカではよく見られる、犯罪者が詐欺電話を直接被害者にかける可能性もあります。幸い、この脅威はまだGoogle
Playでは確認されていません。




マルウェアから身を守る方法

　パンデミックにおいて、銀行は新しい方法を顧客とのやり取りに採用しました。この急速な変化により、顧客は新しい手続きを受け入れたり、新しいアプリをインストールしたりして、遠隔地とやり取りをすることが「新常識」になっていました。そのためサイバー犯罪者は、これまでよりも信頼しやすい新しい詐欺やフィッシング攻撃を仕掛け、顧客が被害を受けやすくなりました。

　幸い、McAfee Mobile Securityはこの新しい脅威を Android/Banker.BTとして検出できました。

・モバイル機器にセキュリティソフトウェアを導入する

・不審なアプリをダウンロードしたりインストールしたりする前に、特にSMSや通知リスナーの許可を求めている場合は注意する

・公式アプリストアを利用する（公式のアプリストアでマルウェアが配布されている可能性があるため、決して盲目的に信用はしない）

・権限を確認し、レビューを読み、開発者の情報があれば確認する

　マルウェアの詳細

図1-フィッシング・マルウェアの配布サイト
セキュリティに関するヒントを提供しているかのように偽装している






挙動：被害者に認証情報を提供するよう誘導

　悪意のあるアプリをインストールして起動すると、まずアプリの目的を説明する偽のメッセージが表示されます:

　– 緊急性を感じさせるような不正な動きをして、ターゲットから報告させるための偽装ツール:

図2- 銀行口座の承認情報を入力させる悪質なアプリ



　「”The
Bank”は、不審な動きをブロックできるツールを作成しました。このアプリに掲載されている操作はすべて保留されています。認識できない動きを24時間以内にブロックできなかった場合は、自動的に口座に課金されます。ブロック処理の終了時には、ブロックされた操作の詳細がSMSメッセージで届きます。」

　– パンデミックの状況下で、新しいクレジットカードを要求するための「Fake ATM
failure」ツールでも、同様の文章を掲載してユーザーに誤った安心感を与えます:

図3- パンデミックを利用して銀行の認証情報をユーザーに提供させる
ATMに関する報告を行うことができるとして偽のツールを案内する不正なアプリ



　「Covid-19の衛生対策として、この新しいオプションを作成しました。報告用IDがSMSで送られた後、新しいカードをどの支店でも無料で請求可能です。登録した自宅住所で受け取ることができます。注意！NIPやCVVなどのセンシティブなデータを要求することはありません。」　このように、一部のセンシティブなデータを要求しないと明示しているため、このアプリの信憑性は一見すると高いのですが、ウェブバンキングの認証情報を要求してきます。

　被害者が「アクセス」（画像内の”Ingresar”）をタップすると、バンキング型トロイの木馬はSMSの使用許可を求め、ユーザーIDまたは口座番号、そしてパスワードを入力するように促します。バックグラウンドでは、他の多くのバンキング型トロイの木馬のように、提供された認証情報の有効性を検証したり、元の銀行サイトにリダイレクトしたりすることなく、パスワードまたは「clave」が犯人のサーバーに送信されます。

図4-ユーザーが入力したパスワードの流出を示すスニペット



　最後に偽の取引リストが表示され、ユーザーはそのリストをブロックすることができますが、これは詐欺のためのプロセスの一つです。すでにこの時点で、詐欺師は被害者のログインデータとデバイスのSMSメッセージへアクセスして第2の認証要素を盗むことができます。

図5- 偽の不正取引リスト



　新しいカードを要求するための偽のアプリでは、最後に「この Covid-19
衛生的な措置を講じました。お客様のアカウントを保護する方法を学ぶため、不正行為防止のヒントをご覧ください」というメッセージを表示します。

図6- マルウェアが銀行の認証情報を取得した後の最終画面
このアプリケーションがcovid-19に関連して作成されたツールであると信じ込ませる

　マルウェアはバックグラウンドで、配布に使用されたのと同じドメインでホストされているコマンド＆コントロール・サーバに接触し、ユーザー認証情報とすべてのユーザーのSMSメッセージをクエリー・パラメータ（URLの一部）
として
HTTPSで送信します。通常、この種のマルウェアは盗んだデータをうまく処理できないため、この情報が他の犯罪者グループに流出、漏洩することは不思議ではなく、被害者にとってこの種の脅威はさらに危険なものとなります。図8は、盗まれたデータを表示するための構造を含む、公開されたページの一部のスクリーンショットです。

図7 – 被害を受けたデバイスからのすべてのSMSメッセージの流出に関連する悪意のある手法



　テーブルヘッダ:日付、送信元、本文メッセージ、ユーザー、パスワード、ID:

Figure 8 – 感染したデバイスから取得したSMSメッセージを表示するテーブルを含むC2の公開ページ



　このモバイルバンカーは、サイバー犯罪者間のブラックマーケットで商業化されている、よく知られたより強力なバンキング型トロイの木馬フレームワークとはリンクしていない、ゼロから開発された詐欺であることが興味深い点がです。逆コンパイルされたコードを見ると、アクセシビリティサービスクラスは存在するものの、実装されていないことから、マルウェアの制作者は、より成熟したマルウェアファミリーの悪意ある挙動を模倣しようとしていると考えられます。明らかにローカルな開発であり、将来的により深刻な脅威に発展する可能性があります。自己回避の観点から見ると、このマルウェアは解析、検出、逆コンパイルを回避する技術を有していないため開発の初期段階であることが見て取れます。

IoC

SHA256:

・84df7daec93348f66608d6fe2ce262b7130520846da302240665b3b63b9464f9
・b946bc9647ccc3e5cfd88ab41887e58dc40850a6907df6bb81d18ef0cb340997
・3f773e93991c0a4dd3b8af17f653a62f167ebad218ad962b9a4780cb99b1b7e2
・1deedb90ff3756996f14ddf93800cd8c41a927c36ac15fcd186f8952ffd07ee0

Domains:

・https[://]appmx2021.com

※本ページの内容は2021年9月13日（US時間）更新の以下のMcAfee Enterprise Blogの内容です。
原文：Android malware distributed in Mexico uses Covid-19 to steal financial
credentials
著者：Fernando Ruiz

■関連サイト

 * McAfee BLOGのエントリー
 * McAfee BLOG Central（英語）
 * McAfee BLOG（日本語）



カテゴリートップへ





この記事の編集者は以下の記事をオススメしています

 * 大規模接種センターの予約をよそおったサイバー犯罪に注意

 * マカフィー、サイバー攻撃キャンペーン「HARVEST（ハーベスト）」の分析結果を公表

 * MCAFEE、世界の医療現場で使われている輸液ポンプに脆弱性を発見

 * 新型コロナウイルスに関連したサイバー犯罪に注意



マカフィーは大切なものを守ります。




 * TOP
 * AI
 * IoT
 * ビジネス
 * TECH
 * Web Professional
 * デジタル
 * iPhone/Mac
 * ホビー
 * 自作PC
 * AV
 * アキバ
 * スマホ
 * スタートアップ
 * VR
 * ウェアラブル
 * アスキーゲーム
 * ASCII倶楽部

 * Panasonic
 * 富士通
 * DELL
 * マウスコンピューター
 * dynabook
 * マカフィー
 * ELECOM
 * 日本HP
 * iiyama PC
 * ドスパラ
 * AMD
 * Radeon
 * TSUKUMO
 * Sycom
 * ASUS ROG
 * Acer
 * パソコンSEVEN

 * 弥生
 * NETGEAR
 * HUAWEI
 * JAWS-UG
 * さくら
 * Xperia
 * FOSSIL GROUP
 * kintone
 * Acrobat
 * HTC
 * ダイドー
 * Planetway
 * SHARP
 * ESET
 * Azure
 * ひかりTVショッピング
 * arrows
 * Slack

 * LINE Clova
 * DMM GAMES
 * 時短英語（StudyHacker）
 * CITIZEN Smart Watch
 * モダンPC
 * LINE WORKS
 * FRONTIER
 * v6プラス
 * MSI
 * GIGABYTE
 * ston

 * Samsung SSD
 * LAVIE
 * Lenovo
 * まんが王国
 * STORM
 * Autoジョブ名人
 * ASRock
 * Veeam Software
 * Razer
 * XPG
 * Crucial
 * VAIO
 * Google Cloud
 * G123
 * SORACOM
 * Dropbox
 * ASUS

 * アスキーキッズ
 * 格安SIM
 * 電力自由化
 * SAO
 * Windows
 * Steam
 * 家電ASCII
 * アスキーTV
 * アスキーグルメ
 * アスキーストア
 * 倶楽部情報局
 * Team Leaders
 * プログラミング＋
 * HealthTech
 * Sports Business

 * FinTech
 * レジャー＆ショッピング
 * 地域innovation
 * 地方活性
 * SDGs

 * 今日の必読記事
 * 週刊アスキー
 * アスキーストア
 * WPJ
 * デジタル用語辞典
 * mobileASCII
 * MITテクノロジーレビュー
 * サイバーセキュリティ小説コンテスト

 * サイトポリシー
 * プライバシーポリシー
 * 運営会社
 * お問い合わせ
 * 広告掲載

© KADOKAWA ASCII Research Laboratories, Inc. 2021

表示形式: PC ⁄ スマホ

 * お気に入り一覧
 * マイページ