2FAをバイパスしたとされるEventBot Androidトロイの木馬に関する真実

Samuel Bakken, 2020年5月15日

The Truth About the EventBot Android Trojan That Allegedly Bypasses 2FA

4月の終わりに、2要素認証をバイパスできるとされるAndroid向けのモバイルバンキングマルウェアの新種の報告が私の目に留まりました。新しいマルウェアは、米国、イタリア、英国、スペイン、スイス、フランス、ドイツを含む複数の地域のほぼ200のモバイル金融サービスアプリを対象としています。しかし、この株の新機能は何ですか？脅威はどれほど深刻ですか？この脅威および類似の脅威から自分自身とユーザーを保護するために、開発者は何をする必要がありますか？以下は、モバイルアプリのセキュリティ専門家の何人かと相談し、セキュリティ調査とさまざまなメディアレポートを確認した結果、わかったことです。

EventBot Androidマルウェア分析

まず、パニックを起こす必要がないことがわかります。現在、EventBotはアクティブなキャンペーンの一部ではありません。しかし、それはいつでも変わる可能性があり、それは私たち全員が自己満足や怠惰にならないようにするための注意です。EventBotを発見した研究者たちは、EventBotは「初期段階」にあり、活発に開発中であると述べています。EventBotは必ずしも過去のモバイルバンキング型トロイの木馬よりも高度で危険なわけではありませんが、これを発見したセキュリティ研究者は、これが新しい株であり、すでに存在する他のモバイルバンキング型トロイの木馬の単なる複製やコピーではないと信じています。これは、モバイルバンキングマルウェアのイノベーションを作成するために時間、労力、およびお金を投資することに依然として犯罪者が価値を見いだしている証拠として役立ちます。そして、攻撃者がその価値を認めている限り、悪意のある個人が容易に利益を得るために開発者、Apple、Google、および携帯通信会社がアプリにセキュリティギャップを残しているというシグナルです。

Eventbot Androidマルウェアの仕組みとリスクを軽減する方法

EventBotは、SMSメッセージの読み取り、オーバーレイ攻撃の起動、キーロギングなどのその他の悪意のあるアクティビティの実行などの機能を含む、銀行アプリを標的とするほとんどのモバイルマルウェアと同じトリックを使用します。オーバーレイは最近非常に一般的です。a 調査昨年の夏、悪意のあるAndroidアプリの51％がオーバーレイ攻撃を使用していることがわかりました。マルウェアはオーバーレイ画面を使用して、正当なアプリケーションの上に別のウィンドウを表示し、ユーザーをだまして資格情報やその他の情報を漏らします。このマルウェアは、Androidのアクセシビリティ機能を悪用して、ユーザーをだましていくつかの強力な権限を許可するように仕向けることで、その力を獲得します。

これらの権限が付与されると、Androidマルウェアはキーストロークをログに記録して資格情報を盗み、それらを攻撃者に送信するだけでなく、ターゲットアプリによって表示される通知やコンテンツを読み取ることができます。開発者は、いくつかの簡単なサイバーセキュリティのベストプラクティスを使用して、EventBotのリスクを軽減できます。

アプリがマルウェアに感染したAndroidデバイスなどの悪質なモバイル環境で動作する場合があると仮定します。安全にアプリをコーディングするための予防策を講じてください。たとえば、悪意のあるかどうかにかかわらず、すべてのアプリがアクセスできる共有外部ストレージにデータを保存しないでください。
SMSテキストメッセージで送信されたコードを使用してユーザーを認証しないでください。完璧なものはありませんが、プッシュ通知の方が適しています。
マルウェアがモバイルアプリのランタイム環境を改ざんしないようにするには、アプリシールドを使用してモバイルバンキングアプリに保護レイヤーを追加します（ランタイムアプリケーションの自己保護とも呼ばれます）。

EventBotマルウェアの締めくくり

EventBotは新しいマルウェア株であるように見えますが、過去に見た他のマルウェアよりも必ずしも洗練されているとは限りません。EventBotを分析した1人のセキュリティ専門家は、アクセシビリティサービスを悪用する最も危険なマルウェアの上位3つに分類しないで、単に「追加の権限を持つキーロガー」と呼んでいます。モバイルサイバーセキュリティの脅威の幅広いコレクションに対して適切な予防策を講じることで、ユーザーをそのような攻撃から保護することができます。特に、テストの結果、OneSpanのMobile Security Suite内のアプリシールドオプションは、EventBotのスクリーンリーディングアクティビティを検出して阻止できることがわかりました。ユーザーのデバイスがEventBotマルウェアに感染していても、使用したモバイルアプリにOneSpanアプリのシールドが適用されている場合、ユーザーがアプリへのアクセス許可を付与しても、マルウェアは画面のコンテンツを読み取ることができません。