FjordPhantom モバイルマルウェアは仮想化の背後に隠れている

セキュリティ研究者らは、最近特定された、FjordPhantom として知られる非常に洗練された Android マルウェアの存在を明らかにしました。このマルウェアは、2023 年 9 月初め以来、インドネシア、タイ、ベトナムなどの東南アジア諸国の個人を積極的に標的にしています。

スウェーデンに本拠を置くモバイルアプリセキュリティ会社 Promon が発表した分析によると、このマルウェアは主にメッセージングサービスを通じて拡散し、アプリベースのマルウェアとソーシャルエンジニアリング技術を組み合わせてユーザーを騙し、不正なバンキングアプリケーションをダウンロードさせます。攻撃ベクトルには電子メール、SMS、メッセージングアプリが含まれており、被害者は正規のバンキングアプリのように見えるアプリをダウンロードするよう誘導されますが、実際には悪意のあるコンポーネントが含まれています。

FjordPhantom は仮想化により検出を回避

このマルウェアの特徴は、他のバンキング型トロイの木馬とは異なり、仮想化を利用してコンテナ内で悪意のあるコードを実行し、検出を回避できることです。この方法は、複数のアプリを同じサンドボックスで実行できるようにすることで Android のサンドボックス保護を回避し、root アクセスを必要とせずに機密データへのアクセスを容易にします。

Promon 氏は、FjordPhantom で使用されている仮想化技術では、ホストされているアプリケーションのコードをロードする前に、独自のコードを新しいプロセスにロードすることで、アプリケーションにコードを挿入できると説明しています。 FjordPhantom の場合、ホストアプリは仮想化要素とともに悪意のあるモジュールをダウンロードし、これを使用して仮想コンテナにターゲットの銀行の組み込みアプリをインストールして起動します。

さらに説明すると、この不正アプリは、主要な API の動作を変更するフックフレームワークを採用しながら、仮想コンテナ内に正規のバンキングアプリをロードするように設計されています。これにより、マルウェアはプログラムによってアプリケーションの画面から機密情報をキャプチャし、ユーザーのデバイス上での悪意のあるアクティビティを警告するダイアログボックスを閉じることができます。