BingoMod バンキング型トロイの木馬が Android デバイスに侵入してデータを盗む可能性

サイバーセキュリティの専門家は、BingoMod という新しい Android リモートアクセストロイの木馬 (RAT) を特定しました。この高度なマルウェアは、侵入したデバイスから不正な送金を行うだけでなく、デバイスを消去して活動の痕跡を消そうとします。2024 年 5 月下旬に BingoMod を発見したイタリアのサイバーセキュリティ企業 Cleafy は、このマルウェアが現在も活発に開発中であることを明らかにしました。ソースコードにルーマニア語のコメントがあることから、ルーマニア語を話す脅威アクターが背後にいることが示唆されます。

Table of Contents

自己破壊メカニズム

BRATA マルウェアと同様に、BingoMod は不正な転送の証拠を消去することでフォレンジック分析を妨害するように設計された自己破壊メカニズムを特徴としています。この機能は現在デバイスの外部ストレージのみを対象としていますが、リモートアクセス機能によって完全な工場出荷時設定へのリセットが可能になるのではないかとの疑惑があります。

戦術とテクニック

このマルウェアは、ウイルス対策ツールや Google Chrome のアップデートを装い、スミッシング手法でインストールされることが多く、ユーザーにアクセシビリティサービスの許可を促します。許可されると、BingoMod はペイロードを実行し、ユーザーをメイン画面から締め出し、デバイス情報を攻撃者が管理するサーバーに流出させます。また、アクセシビリティサービス API を悪用して、認証情報や銀行口座の残高など、画面に表示される機密情報を盗み、SMS メッセージを傍受します。

リアルタイムの不正行為の検出

BingoMod は送金を実行するために、コマンドアンドコントロール (C2) インフラストラクチャとのソケットベースの接続を確立し、リモートで最大 40 個のコマンドを受信します。これらのコマンドにより、マルウェアは Android のメディアプロジェクション API を使用してスクリーンショットを撮り、デバイスとリアルタイムでやり取りできるようになります。大規模な金融詐欺を実行する自動送金システム (ATS) とは異なり、BingoMod が使用する ODF 手法では、ライブオペレーターが関与して、1 回の取引あたり最大 15,000 ユーロ (約 16,100 ドル) の送金を実行します。

回避技術とフィッシング機能

BingoMod の背後にいる脅威アクターは、コードの難読化や、侵害されたデバイスから任意のアプリをアンインストールする機能など、さまざまな回避手法を採用しており、高度な機能よりもシンプルさを優先していることがわかります。さらに、BingoMod はオーバーレイ攻撃や偽の通知を通じてフィッシング機能を発揮します。特定のターゲットアプリが開かれたときにトリガーされる従来のオーバーレイ攻撃とは異なり、BingoMod のオーバーレイ攻撃はマルウェアオペレーターによって直接開始されます。

要約すると、BingoMod は高度なリモートアクセス機能と洗練された回避および自己破壊メカニズムを組み合わせた Android RAT の大きな進化を表しています。サイバーセキュリティ研究者が開発を監視し続ける中、ユーザーは警戒を怠らず、信頼できるソースからのみアプリをダウンロードし、デバイスのセキュリティ設定を定期的に更新して、このような脅威から保護することが重要です。

Zane

August 2, 2024

Android Malware