仮想通貨をめぐる世界的なブームは、イノベーションと悪用の両方を助長しています。多くの人々が合法的にデジタルゴールドを追い求める一方で、サイバー犯罪者はデバイスを乗っ取り、密かにマイニングを行っています。最近、私たちは有名銀行を装ったフィッシングサイトを発見しました。このサイトは偽のAndroidアプリをホストしており、実際の銀行アプリのように機能しませんが、銀行の名前とアイコンを使ってユーザーを欺きます。そして、裏ではユーザーのデバイスを悪用して不正な利益を得るため、密かに仮想通貨のマイニングを行っています。
暗号通貨マイニング（またはクリプトマイニング）は、ブロックチェーンネットワーク上のトランザクションを検証・記録するためにコンピューティングパワーを活用します。その見返りとして、マイナーは新たな暗号通貨コインで報酬を得ます。
このプロセスでは、CPUやGPUのリソースを大量に必要とする複雑な数学パズルを解く必要があります。大規模なマイナーは、効率を最大限に高めるために高性能なGPUやASICを搭載した強力なマイニングリグを使用することが多いですが、個人でもPCやスマートフォンなどのパーソナルデバイスを使って合法的に仮想通貨をマイニングすることができます。
Google Playストアの仮想通貨マイニングに関するポリシーにより、たとえ正規アプリであってもデバイス上でマイニングを行うものはPlayストアへの公開が禁止されています。そのため、ユーザーはサードパーティのソースや非公式アプリストアからマイニングアプリをインストールすることが多く、正規アプリを装った悪意のあるアプリや不正アプリに遭遇するリスクが高まっています。
脅威アクターは、この状況を悪用し、サードパーティのストアやウェブサイトで偽アプリを拡散します。これらの悪意のあるアプリには、暗号通貨マイニングコードが埋め込まれており、攻撃者は被害者のデバイスを密かに利用して暗号通貨をマイニングし、利益を得ようとします。
ここで言う正規の仮想通貨マイニングアプリとは、マイニング活動を開示し、ユーザーの同意を得て、マイニングによる利益がユーザーに直接支払われることを保証するアプリを指します。一方、仮想通貨マイニングマルウェア（クリプトジャッカーとも呼ばれる）は、許可なく密かにマイニングを行い、デバイスのリソースを乗っ取って、攻撃者がすべての利益を得ます。
Android デバイスにインストールされたマイニング マルウェア (クリプトジャッカー) の影響は何ですか?
- バッテリーの消耗: マイニング プロセスでは CPU が継続的に集中的に使用されるため、バッテリーが急速に消耗します。
- 過熱: 継続的な計算により過度の熱が発生し、デバイスの温度が大幅に上昇します。
- 潜在的なハードウェアの損傷: 長時間の過熱やストレスにより、バッテリー、CPU、マザーボードなどの内部コンポーネントに回復不可能な損傷が発生する可能性があります。
- データ使用量の増加: 暗号通貨マイニング アプリケーションはマイニング プールと頻繁に通信するため、予期しないデータ使用量が発生します。
- パフォーマンスの遅れ: アプリが処理能力を消費し、デバイスの動作が遅くなったり、遅れが生じたり、応答しなくなったりします。
最近の事例では、フィッシングサイト（getxapp[.]in）がAxis Bankになりすまし、「 Axis Card 」という偽のアプリケーションをホストしています。マルウェアの作成者は、バックグラウンドで仮想通貨マイニングを実行するためにXMRigを組み込んでいます。XMRigは、Moneroなどの仮想通貨をマイニングするために設計されたオープンソースの仮想通貨マイニングソフトウェアです。
図2は、このキャンペーンの攻撃フローを示しています。ユーザーはまず、フィッシングサイトまたはWhatsAppなどのソーシャルメディアプラットフォームから、マルウェアが仕込まれたアプリケーションをダウンロードします。実行すると、偽の更新画面が表示されますが、実際には機能しないため、ユーザーはそれを無視してしまいます。
しかし、マルウェアはバックグラウンドでデバイスの状態、特にバッテリー残量と画面ロック状態を監視し始めます。デバイスがロックされると、悪意のあるアプリは暗号化された.soペイロードを密かにダウンロードし、復号して暗号通貨マイニング活動を開始します。
ユーザーがデバイスのロックを解除すると、マイニングプロセスは直ちに停止し、マルウェアは監視フェーズに戻り、次のロックイベントを待ちます。このロックとロック解除のループにより、マイナーはステルス性を保ちながら永続的に活動することができます。この長時間のバックグラウンドマイニングは、時間の経過とともに過度の発熱、バッテリーの消耗、そしてデバイスの永続的なハードウェア損傷につながる可能性があります。
テクニカル分析：
図 3 は、この偽の Web サイトでホストされているマルウェア アプリケーションの詳細を示しています。
図4は、アプリケーションのマニフェストファイルで宣言されている権限を示しています。一般的に、Androidマイニングアプリケーションはandroid.permission.INTERNET権限のみを必要とします。この権限により、リモートマイニングサーバーに接続し、ネットワーク経由で操作を実行できます。この権限は危険とは分類されなくなり、ユーザーの明示的な同意を必要とせずにAndroidシステムによって自動的に付与されます。
多くのマイナーアプリは、デバイスのスリープ状態を防ぐためにWAKE_LOCK権限も要求します。これにより、画面がオフの場合でもマイニング活動が中断されることはありません。さらに、マイナーはandroid.intent.action.BOOT_COMPLETEDブロードキャストを使用して、デバイスの再起動後に自動的に再起動することで、マイニングの持続性を維持することがよくあります。
この場合、アプリケーションはインターネットの許可とともに、他のいくつかの疑わしい許可も要求します。
マルウェア実行
このアプリは、まずバックグラウンドで実行する許可を求めます。これは、マイニングにおいてユーザーの操作なしにアクティブ状態を維持するために悪用されることが多い手法です。次に、新機能が追加されたと主張する偽の更新画面と、目立つ「UPDATE」ボタンが表示されます。ボタンをクリックするとインストールプロンプトが表示されますが、実際には何もインストールされず、インストーラーの有効期限が切れたというメッセージが表示されます。興味深いことに、このアプリはREQUEST_INSTALL_PACKAGES権限を宣言しており、別のAPKをインストールしようとしているように見えます。しかし、実際にはインストールは行われないため、更新フロー全体が欺瞞またはリダイレクトを目的として仕組まれたものである可能性が高いと考えられます。
マルウェアはバックグラウンドで、複数のハードコードされたURLのいずれかから悪意のあるバイナリを繰り返しダウンロードしようとします。これらのURLは、GitHub、Cloudflare Pages、カスタムドメイン（uasecurity[.]org）などのプラットフォームを指しており、これらはすべてマイナーのペイロードをホストするために使用されています。図6はこの動作を示しています。
図7は、マイナーのペイロードlibmine-arm32.soとlibmine-arm64.soをホストするために使用されているGitHubリポジトリhxxps[:]//github[.]com/backend-url-provider/accessのスクリーンショットです。両ファイルは、静的検出を回避し、分析を妨害するために暗号化されています。
マルウェアはまず、ダウンロードしたバイナリをAESアルゴリズムを用いて復号します（図8）。次のステップ（図9）では、復号されたバイナリをアプリのプライベートストレージ内のd-minerというファイルに書き込みます。書き込みが完了すると、ファイルは実行可能ファイルとしてマークされます。
暗号化されたペイロードを取得するために、Javaベースのカスタム復号化手法が使用されました。図10は、生成された.soファイルがXMRigのAndroidビルドに基づいているか、直接派生したものであることを示しています。抽出された文字列は、内部設定パス、使用方法、バージョン詳細、マイニング関連のURLを参照しています。これらのアーティファクトは、このネイティブライブラリの主な目的がCPUベースの暗号マイニングであることを明確に示しています。
図11は、XMRigマイナーの実行に必要なコマンドライン引数を構築するメソッドNMuU8KNchX5bP8Oy()を示しています。このメソッドは、moneroマイニングプールpool.uasecurity.org:9000に直接接続するか、pool-proxy.uasecurity.org:9000のプロキシプール（可用性に応じて）に接続しようとします。
作業プールのエンドポイントを決定した後、メソッドは次の構成で XMRig マイナーを起動するために使用されるコマンドライン引数の配列を構築して返します。
- -o : マイニングプールのエンドポイント（直接またはプロキシ）
- -k: キープアライブフラグ
- –tls: TLS暗号化を有効にする
- -u : 採掘されたコインが送られるMoneroウォレットアドレス
- –coin monero: コインを指定する
- -p : 現在の日付とUUIDを使用して生成します
- –nicehash: NiceHashとの互換性のためにマイニング戦略を調整します
図12に示すコードは、d-minerの実行開始方法を示しています。まず、NMuU8KNchX5bP8Oy()を呼び出して引数を取得します。次に、d-minerファイルへのパスを取得します。最後に、取得した引数とファイルパスを使用してd-minerを実行します。
以下のコードスニペットは、マルウェアによって生成されたreport.txtファイルをアップロードする役割を果たします。このファイルは、XMRigマイニングプロセスの標準出力をキャプチャし、マイナーの実行と活動に関する洞察を提供します。
Logcat が全体像を明らかに:
マルウェアの作成者は、アプリケーションが標準出力 (stdout) データをマイニング プールに送信する際に実行するすべてのアクションをログに記録しており、Logcat はマルウェアの完全な動作を理解するための貴重な情報源となっています。
定期的なデバイス監視:
アプリは起動後、5秒ごとにバッテリー残量、充電状況、最近のインストール状況、およびデバイスがロックされているかどうかを確認します。（図14参照）
デバイスロック時にマイニングが開始:
デバイスがロックされると（つまり、isDeviceLockedがtrueになると）、マルウェアはマイニングプロセスを開始します。TLS経由でMoneroマイニングプール（pool.uasecurity.org）に接続し、RandomXアルゴリズムを使用してマイニングジョブを受け取ります。その後、マルウェアは約2.3GBのRAMを割り当て、8つのCPUスレッドを使用してマイニングを開始します。（図15参照）
デバイスのロック解除時にマイニングが停止します。
デバイスのロックが解除されるとすぐに、マルウェアはマイニング活動を停止し、監視状態に移行します。（図16参照）
デバイスロック時にマイニングが再開されます:
デバイスが再びロックされると、マルウェアはマイニング活動を再開します。（図17参照）
デバイスへの影響
マルウェアは、CPU とメモリのリソースを大量に消費してデバイスに大きな負担をかけ、過熱やパフォーマンスの低下を引き起こします。
最上位のコマンド出力には、アプリのユーザー（u0_a606）で実行されているd-minerプロセスが、CPU使用率746%以上、メモリ使用率27.5%以上を消費していることが明確に示されています（図18参照） 。これは、バックグラウンドで継続的な暗号通貨マイニング活動が行われており、デバイスのパフォーマンスに大きな影響を与えていることを裏付けています。
図19は、スマートフォンがロックされた状態で30分間にわたってデバイスの温度が32.0℃から45.0℃まで着実に上昇している様子を示しています。この緩やかな上昇は、マイナーがバックグラウンドで動作し続け、デバイスがアイドル状態の時でもCPU使用率が継続的に上昇し、異常な発熱を引き起こしていることを示しています。
気づかずに長時間操作を続けると、デバイスのハードウェアやバッテリーが損傷し、安全上のリスクが生じる可能性があります。
MITRE ATT&CKの戦術とテクニック:
Androidマルウェアのクイックヒーリング検出
Quick HealはAndroid.Dminer.Aの亜種を含む悪質なアプリケーションを検出します。
すべてのモバイルユーザーは、このような脅威を軽減し、保護を維持するために、「Quick Heal Mobile Security for Android」のような信頼できるウイルス対策ソフトをインストールすることをお勧めします。当社のウイルス対策ソフトは、ユーザーがモバイルデバイスに悪意のあるアプリケーションをダウンロードすることを制限します。Android保護ソフトはこちらからダウンロードしてください。
まとめ：
このキャンペーンは、脅威アクターがAxis Bankのような信頼できる銀行名を悪用し、フィッシングサイトを通じてマルウェアを拡散する手法を浮き彫りにしています。このマルウェアには、バックグラウンドで静かに動作する仮想通貨マイナー「XMRig」が埋め込まれており、CPUの過剰な使用、異常な発熱、そして長期的なハードウェア損傷を引き起こす可能性があります。フィッシングサイト以外にも、このようなマルウェアはソーシャルメディアプラットフォーム経由で拡散する可能性があり、多くの場合、ユーザーを欺くために、よく知られた名前や評判の良い名前を偽装しています。これは、ユーザーの意識向上、慎重なアプリインストール、そして堅牢なモバイルセキュリティソリューションの導入が、このような脅威から身を守る上で重要であることを改めて示しています。
IOC：
URL：
hxxps:// getxapp[.]in
hxxps:// アクセサー.pages[.]dev
hxxps://uasecurity[.]org/
hxxps://github[.]com/backend-url-provider/access/raw/refs/heads/main/
マイニングプールのドメイン:
Pool.uasecurity[.]org
pool-proxy.uasecurity[.]org
ウォレットアドレス：44DhRjPJrQeNDqomajQjBvdD39UiQvoeh67ABYSWMZWEWKCB3Tzhvtw2jB9KC3UARF1gsBuhvEoNEd2qSDz76BYEPYNuPKD
デジタルで安全を保つためのヒント:
- アプリケーションは信頼できるソースからのみダウンロードしてください。 Googleが店を再生します。
- メッセージやその他のソーシャル メディア プラットフォームを通じて受信したリンクは、意図的または不注意により悪意のあるサイトにつながる可能性があるため、クリックしないでください。
- 新しい権限を受け入れたり許可したりする前に、Android システムから表示されるポップアップ メッセージを読んでください。
- マルウェア作成者は元のアプリケーションの名前、アイコン、開発者の詳細を簡単に偽装できるため、携帯電話にダウンロードするアプリケーションには十分注意してください。
- 携帯電話の保護を強化するには、常に優れたウイルス対策ソフトを使用してください。 Android 向け Quick Heal モバイル セキュリティ。
今すぐQuick Heal Total Security for Mobiles & Smartphonesでスマートフォンを保護しましょう！今すぐ購入または更新！
