カスペルスキーは8月1日、同社のグローバル調査分析チーム（GReAT）のリサーチャーが、Google Playストアでファイル共有や暗号資産、ゲームなどのアプリに偽装し、高度なスパイウェア「Mandrake」を配布する新たな攻撃活動を発見したと発表した。その概要は以下のとおり。
2020年5月に初めてBitdefender社によって特定されたスパイウェアMandrakeは、Androidを対象とした高度なスパイプラットフォームで、少なくとも2016年から使用されている。2024年4月、GReATのリサーチャーが、より高度な機能を備えた新しいバージョンのMandrakeと思われる不審なマルウェアサンプルを発見した。
これらのサンプルは、ソフトウェア難読化ツールであるoLLVMを使用して悪意のある機能を難読化されたネイティブライブラリに移行したり、指令サーバー（C2）とのセキュアな通信のために証明書のピン留めを実装したり、広範なチェックを実施して、Mandrakeがルート権限取得済みデバイスで動作しているのかエミュレート環境で動作しているのかをテストするなど、高度な難読化と検知回避の技術を備えている。
今回発見したMandrakeの亜種の特徴は、Google Playのセキュリティチェックをかいくぐって解析を阻止するための高度な難読化技術が追加されている点。リサーチャーが特定した5つのアプリは2022年にGoogle Playで公開されたもので、少なくとも1年間はダウンロード可能な状態にあり、合計で3万2000回以上ダウンロードされていた。
アプリは、それぞれWi-Fi経由のファイル共有アプリ（AirFS）、暗号資産アプリ（CryptoPulsing）、天文学サービスアプリ（Astro Explorer）、ゲームアプリ（Amber for Genshin）、論理パズルアプリ（Brain Matrix）として提供されていた。これらのアプリはすでにGoogle Playから削除されている。
Mandrakeの主な目的は、標的になると判断したAndroidデバイスにインストールされているアプリの情報、ユーザーの認証情報などを窃取し、次の段階の悪意のあるアプリケーションをダウンロードして実行することである。
疑わしいファイルやURLを分析し、マルウェアや悪意のあるコンテンツの種類を検出するオンラインサービスVirusTotalによると、2024年7月の時点でこれらのアプリはいずれも、どのベンダーにもマルウェアとして検知されていない。
現在の活動と前回Bitdefender社による検知レポートで報告された活動は、両方ともロシアで登録されたC2ドメインに類似性があることから、今回の脅威アクターは前回と同一である可能性が非常に高いとみられている。
関連リンク