ToxicPanda 2.0 はあなたのAndroid 電話アプリと銀行アプリ

研究者たちは、ToxicPanda 2.0を発見しました。 Android アカウント乗っ取りや「デバイス上での不正行為」を目的とした、銀行型トロイの木馬およびリモートアクセスツール。

ToxicPanda 2.0は、銀行や電子ウォレットのターゲットリストが大幅に拡大しただけでなく、銀行オーバーレイ、リモートアクセス、PINキャプチャ、 Android アクセシビリティの悪用や、ワイヤレスデバッグの自動化の試みなど。これらの機能を組み合わせることで、通信事業者は侵害された電話を、アカウント乗っ取り、金融詐欺、そして長期的なデバイス制御のためのプラットフォームに変えてしまう可能性があります。

主な目的は、デバイス上での不正行為です。つまり、攻撃者が制御するマシンからログインするのではなく、感染した被害者のスマートフォンから操作を実行し、デバイス、IPアドレス、アプリセッション、および銀行が取引が不正かどうかを判断する際に使用する行動コンテキストを乗っ取ることができるのです。

ToxicPanda 2.0は、 Androidのアクセシビリティサービスは、ユーザーがデバイスを操作するのに役立つことを目的とした正当な機能です。被害者が悪意のあるアプリにこの権限を付与すると、マルウェアはインターフェース要素を検査したり、アプリのアクティビティを監視したり、操作を自動化したり、オーバーレイと呼ばれる正当なアプリの上に偽のコンテンツを配置したりすることができます。

ToxicPandaはこれまで、ユーザーに悪意のあるプログラムをサイドロードさせるためにソーシャルエンジニアリングを利用してきた。 Android Google Play 経由でインストールするのではなく、アプリを使用する。最新のキャンペーンでは、 Amazon AWSでホストされているバケットを使用して、ToxicPanda 2.0のサンプルを配信します。

インストール後、ドロッパーは偽のインストールフローを表示し、要求しますVPN 権限を付与し、特定の Google Play および Google Play サービスのネットワーク通信をブロックし、埋め込まれたペイロードを復号化し、インストールされたペイロードに対するアクセシビリティサービスの許可を求めます。

その結果、銀行口座のユーザー名とパスワードの盗難、PINコードの傍受または取得、不正取引、デバイスへのアクセス権の喪失、スマートフォンの画面ロック情報の漏洩などが発生する可能性があります。被害者のデバイスからアクティブな銀行セッション内で操作できる攻撃者は、見慣れないデバイスや通常とは異なるログイン場所を識別するために設計された制御を回避できる可能性が高くなります。

安全に過ごすには

ToxicPanda 2.0は、どれほど高度な技術であっても、標的に悪意のあるアプリをインストールさせ、必要な権限を与えるために、依然としてソーシャルエンジニアリングに大きく依存しています。そのため、主な推奨事項は以下のとおりです。

アプリのサイドローディングは避けてください。特に、迷惑メール、広告、またはサポートを装った連絡に含まれるリンクからのアプリのインストールは絶対に避けてください。
アクセシビリティアクセス、デバイス管理者権限、開発者設定、およびVPN 特に、アプリがなぜその権限を必要とするのかが明確でない場合や、アプリを完全に信頼できない場合は、権限の付与には細心の注意を払ってください。
お使いのデバイスには、悪意のあるペイロードを検出してブロックできる最新のリアルタイムマルウェア対策ソリューションを使用してください。Malwarebytes for Android Malwarebytes ToxicPanda 2.0 キャンペーンのアプリを次のように検出します。 Android /Trojan.Dropper.agent およびAndroid /Trojan.FakeApp.ACR2401245FC11。

お使いのデバイスが感染している場合

感染したデバイスの制御を取り戻すには工場出荷時設定へのリセットが必要になる場合もありますが、その前に試せることがいくつかあります。

まず、スマートフォンを機内モードにして、Wi-FiとBluetoothをオフにしてください。これにより、調査中にコマンド＆コントロール通信や継続的な認証情報窃盗を遮断できます。
別のデバイスを使用して、取引を凍結または詳細に監視したり、アクティブなセッションを取り消したり、銀行口座の認証情報をリセットしたりできます。
偽の「システムアップデート」画面やアクセシビリティに関する予期しないプロンプトには反応しないでください。 VPNデバイス管理者、開発者向けオプション、またはワイヤレスデバッグ。
始めるAndroid セーフモード。Googleは、ダウンロードしたアプリが原因で発生する問題を特定するために、セーフモードの使用を推奨しています。最近インストールしたアプリや疑わしいアプリを一つずつ削除し、通常どおり再起動して、問題が再発するかどうかを確認してください。
まず、アクセシビリティへのアクセスを削除してください。設定>アクセシビリティ>インストール済みアプリ/ダウンロード済みアプリで、認識できないサービスをすべて無効にします。最近インストールされたアプリや、アップデート、システムコンポーネント、セキュリティツール、ドキュメントビューア、銀行ヘルパーなどを装っているアプリに注目してください。
次に、デバイス管理者権限を確認してください。 [セキュリティとプライバシー] > [その他のセキュリティ設定] > [デバイス管理者アプリ]に移動し、削除を試みる前に、認識されていない管理者をすべて無効にしてください。デバイス管理者権限を持つアプリは、アンインストール操作を無効にしてしまう可能性があります。
次に、VPN を確認します。設定>ネットワークとインターネット> VPNに移動するか、設定で「 VPN 」を削除VPN 意図的にインストールしていないプロファイル。ToxicPanda ドロッパーはVPN 報告されているGoogle PlayおよびGoogle Play開発者サービスのブロックプロセスの一環として許可を求めている。
危険な開発者向け機能を無効にしてください。設定で「開発者向けオプション」を検索し、完全にオフにしてください。また、ワイヤレスデバッグとUSBデバッグもオフになっていることを確認してください。
見つかった不審なアプリはすべて削除してください。設定>アプリ>すべてのアプリを表示に移動し、必要に応じてシステムアプリを表示を有効にしてから、最近インストールされたアプリや見慣れないアプリを探します。不審なアプリを強制停止し、ストレージをクリアしてから、アンインストールを選択します。アプリの名前が一般的、アイコンが空白、インストール日が不自然、またはGoogle Play以外からインストールされた場合は、不審なアプリとして扱ってください。
取り外し後に通常どおり再起動し、アクセシビリティ、デバイス管理者、 VPNおよび開発者向けオプションを確認してください。また、報告されているキャンペーンではドロッパーを使用してペイロードを復号化してインストールするため、インストール済みアプリのリストに不審なパッケージがないか確認してください。