新しい Rokarolla の脅威、洗練された Android トロイの木馬、217 の金融機関アプリを標的 著者 Bruna
読了時間 約10分
 |
Rokarolla と呼ばれる新しいタイプの悪意のあるソフトウェアは、Android デバイスのセキュリティに重大な脅威をもたらします。サイバーセキュリティの専門家は、銀行データ、カード、仮想通貨ウォレットへのアクセスを目的とした、スパイ活動、ログイン情報の盗難、デバイスの遠隔操作を利用した複雑なデジタル攻撃を検知しました。
Rokarolla を取り巻く懸念は、金融セクターに関連する 217 のアプリケーションとその高度に開発されたインフラストラクチャを侵害する可能性があるその範囲にあります。研究者の分析によると、このバンキング型トロイの木馬は、スマートフォンのデータ収集から感染デバイスの完全な支配に至るまで、137 の異なるコマンドを使用しています。
ロカロラが被害者に自分自身をカモフラージュする方法によって、危険はさらに増大します。不審なアプリケーションとして現れるのではなく、Google Play プロテクト、Chrome ブラウザ、TikTok などの人気のあるプログラムやプラットフォームの身元を偽り、警戒心のないユーザーを騙す可能性が高くなります。
Rokarolla マルウェアがどのように Android デバイスに侵入し、支配するかを理解する
感染サイクルは、公式の Android ストア環境の外から始まります。詐欺実行者は、本物のソフトウェア アップデートやソフトウェアをシミュレートする詐欺的な Web ページ、ソーシャル エンジニアリング戦術、ポータルを通じて Rokarolla トロイの木馬を拡散させます。
ユーザーがこれらのサイトにアクセスすると、破損した APK ファイルをダウンロードするよう誘導されます。このファイルは、主要な悪意のあるコードの導入条件を設定する予備インストーラーである「ドロッパー」として機能します。
インストールされると、アプリケーションは一連の調査を実行してデバイスの仕様を認識し、汚染が効果的であることを確認します。
セキュリティ リスク: Rokarolla によるアクセシビリティ サービスの悪用方法
Rokarolla が採用する最も危険な戦術の 1 つは、Android システムに存在するアクセシビリティ機能の不当な悪用です。
これらの機能は、視覚、聴覚、または運動障害を持つ個人をサポートするために開発されましたが、悪意のあるアプリケーションにリリースされると、デバイスをほぼ完全に制御できるようになります。
被害者がだまされてこの認証を提供すると、トロイの木馬は次のようないくつかのアクションを実行できるようになります。
- デバイスの画面に表示される内容を読みます。
- タッチやジェスチャーなどのインタラクションをシミュレートします。
- 他のアプリケーション内で自動的に動作します。
- SMS メッセージをログに記録し、キャプチャします。
- 通知を傍受して表示します。
- 所有者の同意なしに権限を付与する。
- 高レベルの管理操作を実行します。
実際には、この権限により、攻撃者はユーザーに気付かれることなく、スマートフォンのさまざまな機能を慎重に操作することができます。
データ収集: Rokarolla は標的型攻撃に備えてユーザー情報をマッピングします。
必須の権限を取得した後、Rokarolla はデバイスからのデータ収集フェーズに進みます。
悪意のあるソフトウェアは、次のようないくつかの技術仕様をまとめます。
- 利用可能な RAM メモリの量。
- 内部ストレージの総容量。
- 現在のバッテリー充電レベル。
- インストールされている Android システムのバージョン。
- モバイルデバイスの特定のモデル。
- インストールされているアプリケーションのリスト。
この情報は、感染したデバイスをリモートで管理するために使用されるサイバー犯罪フレームワークであるコマンド アンド コントロール (C2) サーバーに送信されます。
このデータを利用して、悪意のあるオペレーターは各個人に合わせて攻撃をカスタマイズし、作戦全体の効率を高めることができます。
オーバーレイ攻撃: Rokarolla は画面をシミュレートして銀行データと認証情報を盗みます
Rokarolla バンキング トロイの木馬の中核的な戦術は、「オーバーレイ攻撃」として知られる画面オーバーレイの実装にあります。
マルウェアは、デバイス上でどのアプリケーションがアクセスされているかを常に追跡します。視野内にある 217 個の金融アプリケーションのいずれかの起動を識別すると、欺瞞的なインターフェイスを実際の画面に投影します。
ユーザーにとって、視覚体験はオリジナルと同じままです。
改ざんされたページは、本物のアプリケーションのロゴ、配色、グラフィック コンポーネントを複製します。ユーザーがユーザー名、パスワード、セキュリティ コード、または財務上の詳細を入力すると、すべての情報が即座にサイバー犯罪者に送信されます。
Rokarolla は、銀行の認証情報に加えて、以下の情報も収集することを目的としています。
- クレジットカードの詳細。
- デジタルウォレットのコンテンツ。
- 暗号通貨交換プラットフォームへの情報にアクセスします。
- 本人確認トークン。
- SMS 経由で受信したメッセージとコード。
研究者らはまた、デバイスに入力された各文字を記録できるツールである「キーロガー」機能も検出しました。
もう 1 つの憂慮すべきアクションは、デバイスのロック解除 PIN を傍受しようとする試みです。このデータを使用すると、犯罪者はユーザーに対する制御をさらに拡大し、アカウントを回復する試みを大幅に複雑にすることができます。
隠蔽戦術: Rokarolla トロイの木馬は保護を無効にしてアクティブな状態を維持しようとします
最近のデジタル脅威のパターンに従って、Rokarolla は検出を回避しながら長期間動作するように設計されています。
この目的を達成するために、彼はさまざまな回避戦略を採用します。
最も危険なのは、潜在的に有害なアプリケーションに対する Android の主要な防御システムである Google Play プロテクトを無効にする意図です。
さらに、このマルウェアは次のような機能を備えています。
- 独自のアイコンをアプリケーション トレイから削除します。
- ユーザーの異常な動作を偽装します。
- 電話の着信を停止します。
- セキュリティ通知を変更または抑制します。
- 詐欺行為に関する銀行の警告をブロックします。
- ソフトウェアのアンインストールを妨げる障害を作成します。
このような方法により、侵害されたデバイス内での脅威活動の期間が大幅に延長されます。
オペレーターがリモートで実行できるコマンドが 137 種類存在することから、このキャンペーンは、犯罪者がそれぞれの攻撃に応じて行動を調整できるよう、運用の柔軟性が高いことを念頭に置いて設計されていたことがわかります。
Android をロカロラから守るための重要な対策
ロカロラは非常に複雑ですが、特定の予防措置を講じることで感染の可能性を大幅に減らすことができます。
以下の提案は、Zimperium の専門家や研究者によって広く推奨されているセキュリティ慣行に沿ったものです。
このトロイの木馬が悪用する主なアクセス ルートは、非公式のソースから入手した APK ファイルです。 Google Play ストアまたはデバイスのメーカーが認定したストアから直接アプリケーションをインストールすることを常に優先してください。
アクセシビリティ権限には細心の注意を払う必要があります。一般的なアプリケーションが明確な説明なしにこれらの機能へのアクセスを要求した場合、これは重大な警告サインとして解釈される必要があります。
Google Play プロテクトは、潜在的に有害なソフトウェアに対する重要な防御層を提供します。 Android デバイスの設定でこの機能がアクティブのままかどうかを定期的に確認することが重要です。
セキュリティ更新プログラムは、攻撃者によって悪用された欠陥を修正するために不可欠です。 Android システムとすべてのアプリケーションを常に最新の状態に保つことで、攻撃の可能性が大幅に減少します。
ソーシャル エンジニアリング キャンペーンでは、緊迫感を悪用して、素早い思慮のない決定を強制することがよくあります。 SMS、インスタント メッセンジャー、ソーシャル ネットワーク経由で受信したリンクには注意が必要です。
Rokarolla の出現は、Android をターゲットとするバンキング型トロイの木馬が継続的かつ急速に進化していることを浮き彫りにしています。フィッシング手法、アクセシビリティ サービスの悪用、資格情報の盗難、金融アプリの監視、高度な難読化メカニズムを組み合わせたこの脅威は、日常のユーザーと暗号資産の投資家の両方に多大な危険をもたらします。重要な教訓は変わりません。疑わしいソースからの APK ファイルのインストールを避け、アプリに付与されている機密性の高い権限を慎重に確認してください。犯罪者が正規のサービスを忠実に再現するデジタル環境では、ユーザーの監視が依然として最も重要な防御障壁の 1 つです。
