Android 端末向け不正アプリ「GNATSPY」、標的型サイバー攻撃に利用か？

中東のさまざまな業界に標的型サイバー攻撃を仕掛ける攻撃者集団「APT-C-23（別名：Two-tailed Scorpion）」に関するリサーチャの報告が 2017 年の初めに公開されました。その後、この攻撃者集団が利用する Android 端末向け不正アプリ「VAMP（ヴァンプ）」が確認されました。さらに 2017 年 10 月には新しい亜種「FrozenCell（フローズンセル）」（「ANDROIDOS_STEALERC32」として検出）も確認されています。

VAMP は、画像、テキストメッセージ、連絡先、通話履歴のようなさまざまな情報を携帯電話から窃取します。確認された数十のコマンド&コントロール（C&C）サーバはすぐに無効となり、検体は検出対応されました。

2017 年 12 月、トレンドマイクロは VAMP の新しい亜種と考えられる不正アプリのファミリ「GNATSPY（ナットスパイ）」（「ANDROIDOS_GNATSPY」として検出）を確認しました。GNATSPY が VAMP の C&C サーバのいくつかを再利用していることから、これらの不正アプリの間に関連があることが分かります。つまり、APT-C-23 は、不正アプリを改良しながら依然として活動を続けているということです。

GNATSPY を拡散する方法については確かなことは分かっていません。「Android Setting」や「Facebook Update」のように、正規アプリを装った名前が付けられていることから、ユーザに直接送信してダウンロードおよびインストールさせようとしている可能性があります。VAMP や GNATSPY はインターネット上でそれほど多く検出されていません。おそらく特定の法人組織や個人を標的として利用されていると考えられます。

■GNATSPY の新しい機能

GNATSPY の機能は VAMP の初期のバージョンに類似しています。しかし、攻撃者集団 APT-C-23 の巧妙さを示す挙動の変化がいくつか確認されました。

フォルダ構成の変更

GNATSPY のフォルダ構成は以前の亜種から大きく変わっています。多くのレシーバとサービスが追加されて機能が増え、各機能がモジュール化されました。これは、以前のバージョンの開発者と比べて、よりソフトウェア設計に詳しい開発者によって作成されたためだと考えられます。

図 1：フォルダ構成の変化（左→右）

他にも、新しい亜種のコードでは Java のアノテーションやリフレクションメソッドが多用されています。これは不正アプリとして検出されることを回避するためだと考えられます。

図 2：アノテーション


図 3：リフレクションメソッド

C&C サーバの URL を難読化

初期バージョンの VAMP では C&C サーバの URL が平文で記述されていました。そのため、静的解析ツールによる検出は非常に容易でした。

図 4：平文で記述された C&C サーバの URL

GNATSPY では、不正アプリのコードの中にハードコードされている点は変わらないものの、検出を困難にするために難読化が施されています。

図 5：難読化された C&C サーバの URL

難読化された URL は、図 6 の関数で元の URL に変換します。

図 6：C&C サーバの URL を取得するコード

不正アプリのコードにハードコードされた URL は最終的な C&C サーバではありません。上記 URL からのレスポンスに実際の C&C サーバの URL が含まれています。

図 7：不正アプリ内の URL へのリクエスト


図 8：不正アプリ内の URL からのレスポンス

C&Cサーバのドメイン名

GNATSPY が利用している C&C サーバのドメインは、ドメイン名登録者の連絡先情報を隠ぺいするために WHOIS 情報のプライバシー設定を有効にしています。

図 9：C&C サーバのドメインの WHOIS 情報

これらのドメインの中には新しく登録されたものも確認されています。つまり、APT-C-23 はリサーチャによって報告された後にも活動を継続しているということです。

図 10：新しく登録された C&C サーバのドメイン

ドメイン名には人名が使われているという特徴があります。そのいくつかは実在の人物、あるいは実在の人物と思われる名前です。他には、テレビ番組から取ったと思われる名前も確認されています。このようなドメイン名を使用する理由は定かではありません。

GNATSPY の C&C サーバの中で、「cecilia-gilbert[.]com」と「lagertha-lothbrok[.]info」の 2 つは、それぞれ VAMP と FrozenCell が接続する C&C サーバとして報告されていたものです。このことからも、GNATSPY の背後にいる攻撃者と以前の攻撃との関連が確認できます。

C&C サーバの Apache のバージョン

C&C サーバが使用する Apache のバージョンは 2.4.7 から 2.4.18 に更新されました。以前は、少なくとも 1 つの C&C サーバでディレクトリのファイル一覧表示が有効でしたが、現在ではすべてのサーバで無効化されています。

図 11：ディレクトリのファイル一覧表示が無効化されている

対応端末／Android バージョンの追加

古い検体は自身に権限を許可するために、Huawei 製端末上で System Manager を呼び出します。

図 12：Huawei 製端末上でアプリを呼び出すコード

同様に、Xiaomi 製端末のためのコードも追加されています。

図 13：Xiaomi 製端末上でアプリを呼び出すコード

また、比較的新しい Android のバージョンに対応し、Android 6.X（Marshmallow）と Android 7.X（Nougat）のためのコードが追加されました。

図14：Nougat に対応するためのコード


図 15：Marshmallow に対応するためのコード

窃取する情報

電池、メモリとストレージの使用状況、SIM カードの状態のように、より多くの情報を端末から窃取するようになりました。理由は不明ですが、以前の検体では基地局を識別する OpenCellID を介してユーザの位置情報を収集していましたが、GNATSPY では確認されていません。

■トレンドマイクロの対策

本記事で解説したように、リサーチャによって報告された後でも持続的な攻撃が続けられる場合があります。GNATSPY の背後にいる攻撃者は、利用する不正アプリに技術的な改良を加えながら違法行為を継続しています。

トレンドマイクロでは、モバイル環境での総合セキュリティ対策として、個人利用者向けには「ウイルスバスターモバイル」、法人利用者向けには「Trend Micro Mobile Security」を提供しています。これらの製品ではトレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」の機能である「モバイルアプリケーションレピュテーション（MAR）」技術や「Web レピュテーション（WRS）」技術により、不正アプリや不正 Web サイトのブロックに対応しています。

■侵入の痕跡（Indicators of Compromise、IOC）

GNATSPY に関連するハッシュ値、パッケージ名、ラベルは以下の通りです。

表 1：GNATSPY に関連するハッシュ値、パッケージ名、ラベル

C&C サーバが利用するドメイン名は以下の通りです。

• aryastark[.]info
• cecilia-gilbert[.]com
• cerseilannister[.]info
• claire-browne[.]info
• daario-naharis[.]info
• harvey-ross[.]info
• jorah-mormont[.]info
• kaniel-outis[.]info
• kristy-milligan[.]website
• lagertha-lothbrok[.]info
• max-eleanor[.]info
• olivia-hartman[.]info
• ragnar-lothbrok[.]info
• rose-sturat[.]info
• saratancredi[.]info
• useraccount[.]website
• victor-stewart[.]info

参考記事：

• 「New GnatSpy Mobile Malware Family Discovered」
  
  by Ecular Xu (Mobile Threat Response Engineer

翻訳：澤山 高士（Core Technology Marketing, TrendLabs）