Androidマルウェア「ToxicPanda 2.0」と「GoldDigger」が機能強化、端末上の操作偽装による不正送金手口が巧妙化

要点

• Androidを標的とするバンキングマルウェア「ToxicPanda」の最新版2.0が確認され、標的となる金融機関が16か国の349機関へと急拡大した。

• ToxicPanda 2.0はアクセシビリティサービスを悪用してワイヤレスデバッグを自動有効化し、シェル権限の奪取やロック画面PINの上書きを行う機能を備えている。

• 中国語圏の脅威アクターが関与するマルウェア「GoldDigger」の新たな感染活動が、英国や南アフリカで航空会社や小売店を装って拡大している。

• GoldDiggerはユーザーの画面操作を偽装してバンキングアプリから直接不正送金を行う「端末上詐欺」や、高度な解析妨害技術を実装している。

• サイバーセキュリティ研究者らの報告により、Android端末を標的とするバンキングマルウェア「ToxicPanda」の機能強化版および「GoldDigger」の新たな攻撃キャンペーンの存在が明らかになった。米セキュリティ企業Zimperium zLabsおよび米IBM Trusteerが公開した調査結果によると、両マルウェアはAndroidのアクセシビリティサービス（画面操作の補助や読み上げを行うユーザー補助機能）を悪用し、端末上で不正な操作を自動実行する手口を進化させているという。

標的を大幅に広げた「ToxicPanda 2.0」

「TgToxic」の名でも知られるToxicPandaは、少なくとも2022年7月から活動が確認されているバンキングマルウェアである。Zimperium zLabsが公開したレポートによると、新たに確認されたバージョン2.0では大幅な機能拡張が行われており、遠隔操作用のコマンドが167種類実装されていることが判明した。

標的の規模も大幅に拡大している。以前のバージョンが標的としていた銀行アプリは16件にとどまっていたのに対し、最新バージョンでは16か国にまたがる349の金融機関を対象とした認証情報の窃取機能が組み込まれている。さらに、140以上のバンキングアプリおよび暗号資産（仮想通貨）アプリを対象に、暗証番号（PINコード）を収集するワークフローが用意されているという。

マルウェアの配信手法にも変化が見られ、ToxicPanda 2.0の検体はAmazon Web Services（AWS）がホストするストレージバケット経由で配信されている。攻撃者がマルウェアの配布基盤としてクラウドインフラを活用している実態が明らかになった。

ワイヤレスデバッグの悪用と端末の制御

ToxicPanda 2.0の特徴として、以前のバージョンでは未実装だった機能の具体化や、端末制御機能の強化が挙げられる。同マルウェアはアクセシビリティサービスを悪用して画面上のUI要素をすべて窃取するだけでなく、「開発者向けオプション」および「ワイヤレスデバッグ（Wi-Fi経由で端末を操作する開発機能）」を自動で有効化するクリック機構を備えている。これにより、Android Debug Bridge（ADB）経由で権限昇格を行い、端末のシェルレベルのアクセス権を獲得する。

また、攻撃者の指令サーバー（C2サーバー）に対して初期HTTPSリクエストを送信した後、双方向のWebSocket通信チャネルを確立してコマンドの受信やデータ送信を行う。バックグラウンドでの不正動作を隠蔽するため、画面全体に偽の「システムアップデート」画面を表示する一方で、不可視の透明なオーバーレイを重ねてユーザーのタッチ操作を記録し、PINコードを盗み取る。

さらに、ユーザーを騙して端末管理者権限を付与させるプロンプトを表示したり、端末のロック画面に設定されているPINやパスワードを攻撃者が指定した値に強制的に書き換えたりする機能も確認された。感染端末の製造元（OEMベンダー）を識別し、各メーカーの仕様に合わせてバッテリー最適化機能の対象からマルウェアを除外させることで、バックグラウンドでの継続的な動作を確保する仕組みも備えている。

英国と南アフリカで感染を広げる「GoldDigger」

あわせて警戒が呼びかけられているのが、バンキングマルウェア「GoldDigger」による新たな攻撃キャンペーンである。GoldDiggerは、2023年10月にセキュリティ企業Group-IBによって初めて端末上での不正行為（On-Device Fraud）を実行可能なマルウェアとして報告された。中国語圏の脅威アクター「GoldFactory」による関与が指摘されており、同アクターはAndroidおよびiOSを標的とする「GoldPickaxe」「GoldDiggerPlus」「GoldKefu」といった一連のマルウェアファミリーとの関連も知られている。

IBM Trusteerの報告によると、現在展開されているGoldDiggerのキャンペーンでは、航空会社や大手小売店になりすました偽アプリが使われており、南アフリカや英国において大規模な感染が確認されているという。これらの偽アプリをインストールしたユーザーはアクセシビリティサービスの権限許可を求められ、マルウェアはこれを足がかりに不正行為を開始する。

高度な解析妨害と「端末上詐欺」の手口

GoldDiggerは、解析や検知を回避するために「dpt-shell」と呼ばれる高度なパッカー（プログラムを暗号化・圧縮して解析を困難にするツール）を採用している。ネイティブコードの暗号化に加えて、アプリの動作を動的に追跡する解析ツール「Frida」の接続を検知して強制終了させる機能や、システムコールのPTRACEを利用して自身がデバッグ中であるかのように偽装し、外部デバッガの接続を阻止する回避技術が組み込まれている。

端末に侵入したGoldDiggerは、アクセシビリティサービスを悪用してユーザーの操作を模倣する。文字入力、ボタンのタップ、ジェスチャー操作などを自動的に注入し、被害者の正規バンキングアプリを直接操作して攻撃者の口座へ不正送金を実行する。

さらに、攻撃者が被害者の画面をリアルタイムで遠隔閲覧できるようにする機能や、偽の画面を被せて認証情報を盗み取る機能、標的となるアプリを仮想環境内で実行して実行時の挙動や機密データをリアルタイムに傍受する機能も備えている。C2サーバーとの通信にはWebSocketが用いられており、アクセシビリティや位置情報の権限要求、アプリからの入力傍受といった指令を受け取る設計となっている。