Androidの銀行アプリを標的にする新たなマルウェアが登場。生体認証をオフにしてPINコードを盗み出す手口

2023年12月26日 11時30分

Androidユーザーの銀行アプリや暗号通貨アプリを狙うマルウェアの新種が発見され、生体認証をブロックしてパスワードを盗み出そうとするなど、驚くべき進化を遂げていることが明らかになりました。

このマルウェア「Chameleon」は、2023年初めに初めて発見されました。Google Playストアではなくフィッシングサイト（実在のサービスや企業を騙った偽サイト）など様々な手口で、正規のアプリに偽装して配布。主に金融アプリを対象とするため、「バンキング型トロイの木馬」と呼ばれます。

その特徴は、被害者のデバイスを操作することで、アカウント乗っ取り（ATO）やデバイス乗っ取り（DTO）攻撃をすること。これらの機能は、アクセシビリティ（ユーザー補助）サービスの悪用に依存しています。

さて、最新のChameleon亜種（すでに出回ったマルウェアの一部改変版）は、Chromeブラウザを装っている場合もあるとのこと。元々がオーストラリアとポーランドに限定されていたものの、こちらはイギリスとイタリアで発見。犯罪者が狙う地域が広がっているわけです。

インストールすると、Chameleonは「アクセシビリティ・サービスを有効」にしつつ「生体認証プロンプト（指紋認証などを促すメッセージ）をオフ」にします。

まずAndroid 13以降であれば、アクセシビリティ・サービスを有効にする案内ページを表示。1つ1つ手順を教えて親切なフリをして、ユーザー自らにスマホのガードを解かせ、PINコードも盗み出すというわけです。

そしてKeyguardManager APIとアクセシビリティイベントを使い、ロック画面ににつき生体認証やパターン、パスワードなどの保護状態を評価。そこで一定の条件を満たすと、生体認証からPIN認証に移行。これにより生体認証がバイパスされ、トロイの木馬が自由にデバイスのロックを解除できるようになります。