B2-4-1

マルウェア解析者から見た日本をとりまくモバイル脅威の実状2022
株式会社カスペルスキー
Global Research and Analysis Team
シニアセキュリティリサーチャー
石丸 傑

自己紹介

株式会社カスペルスキー
グローバル調査分析チーム
シニアセキュリティリサーチャー
石丸 傑
 カスペルスキー14年勤務

 マルウェア解析 サイバー攻撃の調査・分析
 マルウェア解析トレーニング

GReATグローバル トランスペアレンシー イニシアチブ -透明性への取り組み
データの保存と処理

トランスペアレンシーセンター

外部組織による監査

当社ユーザーの製品から受け取る、悪意/疑いのあるファイルをスイスのデータセンターで処理/保管。
ヨーロッパ、北米、ラテンアメリカ、中東、アジア太平洋地域の各国*対応済み

当社製品のソースコード、ソフトウェアアップデート、脅威検知ルールをレビューできる施設。パートナーや政府機関が利用可能

当社のソリューションや社内プロセスの完全性を確認するアセスメントを実施。
-2019年にSOC2Type1監査完了。4大会計事務所の1社がSSAE18基準に則り実施-当社のデータサービスが、TÜV AUSTRIA
による国際標準規格ISO/IEC 27001:2013の再認証を取得

チューリッヒ、スイス・トランスペアレンシーセンター
・データセンター

バグ報奨金プログラム

マドリード、スペイン

東京

・トランスペアレンシーセンター

・トランスペアレンシーセンター

セキュアな製品を目指し、外部セキュリティリサーチャーによる脆弱性の特定と対応への取り組み。発見に対して報奨金を支払い、動機付けを拡大
当社はDisclose.ioフレームワークに対応し、脆弱性の研究者が発見した事柄によって法的に不利な結果が生じることへの懸念に“セーフハーバー”を提供

シンガポール・トランスペアレンシーセンター

サンパウロ、ブラジル

クアラルンプール、マレーシア

・トランスペアレンシーセンター

・トランスペアレンシーセンター

https://www.kaspersky.co.jp/transparency-center＊日本、オーストラリア、ニュージーランド、バングラデシュ、ブルネイ、カンボジア、インド、 インドネシア、
韓国、ラオス、マレーシア、ネパール、パキスタン、フィリピン、シンガポール、スリランカ、タイ、ベトナム

5$ 統計データから解るモバイル脅威悪性APKファイルの検知数の統計減少傾向にあり、半数以下に！
Adware、RiskToolで45%以上

2021 年第 2 四半期 から 2022 年第 2 四半期

モバイル向けBanking Trojanの検知数

2021年第4四半期から検知数が大幅に増加

2021 年第 2 四半期 から 2022 年第 2 四半期
2022 年第 2 四半期

モバイル向けBanking Trojanの検知数

1年前は検知割合日本が首位
Roaming Mantisの標的地域の変更による影響？
国/地域

検知割合%

1

日本

1.62

2

スペイン

0.76

3

フランス

0.71

4

トルコ

0.64

5

オーストラリア0.58

2021 年第 2 四半期

国/地域

検知割合%

1

スペイン

1.04

2

トルコ

0.71

3

オーストラリア0.67

4

サウジアラビア

0.64

5

スイス

0.38

6

アラブ首長国連邦

0.23

7

日本

0.14

8

コロンビア

0.14

9

イタリア

0.10

10

ポルトガル

0.09

2022 年第 2 四半期

9$ Anubis

2022 年第 2 四半期

バンキングトロージャンAnubis

Anubis は2017年から観測されているモバイルバンキングトロージャン

感染経路はGoogle Play, SMiShing,
Bian malware
攻撃が検知されている地域はロシア, トルコ, インド, 中国, カンボジア,フランス, ドイツ、等Anubisの解析

様々な機能を実装
1.
2.
3.
4.
5.
6.
7.
8.
9.

VNC
Request GPS
Request injection
Recording sounds
Crypto fileKey logger
Spam SMS
Disable play protect
Lock screen
Source: Kaspersky Threat IntelligenceAnubisの解析

Anubisではランサムウェアの機能を実装

標的フォルダー:/mnt/mount/sdcard/storage
バンキングトロージャン+ ランサムウェア

Source: Kaspersky Threat Intelligence13$ Roaming Mantis

2022 年第 2 四半期

RoamingMantis

Roaming Mantis は2018年から観測されているサイバ攻撃ーキャンペー
ンでマルチプラットフォームを標的

感染経路はSMiShingがメイン。過去、
DNS hijacking等も使用
攻撃が観測されている主な地域はドイツ, ロシア, 日本, チェコ, フランス,韓国, インド等

Source: Kaspersky Threat IntelligenceRoaming Mantis: 感染フロー

宅配業者を装ったSMSのURLからランディングページへ誘導Roaming Mantis: ランディングページの推移

Source: @ninosekiWroba.o/Agent.eq: ペイロードのアンパック処理

検知回避のためにパックされている
復号化処理はJava Native Interface（JNI）上でのみ実装¥assets¥emtmxph¥1v7kctk

Dalvikバイトコードの実行ファイル

Wroba.o/Agent.eqの解析

モバイルキャリアとアプリの確認

モバイルキャリアの取得

モバイルキャリアの確認

アプリの取得Wroba.o/Agent.eqの解析
バックドアコマンド
1. sendSms
2. setWifi
3. gcont
4. lock
5. bc
6. setForward
7. getForward
8. hasPkg
9. setRingerMode
10. setRecEnable
11. reqState
12. showHome
13. getnpki
14. http
15. onRecordAction
16. call
17. get_apps
18. ping
19. getPhoneState
20. get_gallery
21. get_photo

クレジットカード、免許証、健康保険証、パスポートのスクリーンショットを標的に？

20$ AbereBot

2022 年第 2 四半期

AbereBot バンキングトロージャン

アンダーグラウンドフォーラムで公開された
バンキングトロージャン

Telegramボットアカウントを指令サーバーとして使用
Play Store上で配信

Source: Kaspersky Threat IntelligenceAbereBotの標的

日本を含む19以上の国/地域が標的に日本の銀行のアプリケーション名がハードコード

Source: Kaspersky Threat IntelligenceAbereBotの解析：ビットコインの強奪とアンインストールの回避

クリップボード上のBitcoinアドレスを攻撃者のBitcoinアドレスに書き換え窃取

GLOBAL_ACTION_BACK「戻るボタン」を2回実行することで、強制的にホーム画面に！

Source: Kaspersky Threat Intelligence24$ まとめと対策

まとめ• 統計データから検知数は全体として減少傾向にある、Banking Trojanはそれに反して増加• ランサムウェア機能、写真やギャラリーの窃取、仮想通貨のアドレスを書き換える等、様々な方法で金銭の得る方法を企てています対策• OS/ソフトウェアのアップデート• Email/SMS/DMは疑う• 複雑なパスワードと二要素認証の使用• DNS設定が正しいか確認• セキュリティ製品のすべての機能を有効化• モバイル端末上のデータもバックアップを行う

ご清聴ありがとうございました
株式会社カスペルスキー
石丸 傑