Android トロイの木馬「Ghimob」により、ハッカーはリモートで不正取引を実行できる

Ghimob と呼ばれる新たなバンキング トロイの木馬が、銀行、フィンテック、取引所、仮想通貨の金融アプリを標的として、世界中のモバイル デバイスに感染していると報告されています。このリモート アクセス トロイの木馬 (RAT) は、ラテンアメリカの有名な銀行マルウェアである Guildma を運用しているのと同じブラジルのハッキング シンジケートによって展開されたと言われています。

もともとサイバーセキュリティ企業カスペルスキーによって 詳細が 明らかにされていたが、新たに発見されたスパイウェアはブラジル、パラグアイ、ペルー、ポルトガル、ドイツ、アンゴラ、モザンビークのデバイスに感染している。現時点で被害者は全員ブラジルにいるが、マルウェアの背後にいるハッカーたちは活動を世界的に拡大する計画を立てているようだ。

研究者らによると、Ghimob (Trojan-Banker.AndroidOS.Ghimob) は、ハッカーが侵害されたデバイスにリモート アクセスできるようにする本格的な Android スパイウェアで、金融機関が実施するセキュリティ対策を回避しながら、被害者のスマートフォンで不正な取引を行うことを可能にします。 「ユーザーが画面ロック パターンを設定している場合でも、Ghimob はそれを記録し、後でそれを再生してデバイスのロックを解除することができます」と報告書には記載されています 。

報告によると、電子メールで送信された悪意のある URL を何も知らないユーザーがクリックすると、このマルウェアがクライアント デバイスにダウンロードされます。 Android 上で悪意のある APK を配布する URL は、Windows 用のマルウェアを含む ZIP ファイルを提供する URL と明らかに同じです。 「悪意のあるリンクをクリックしたユーザーエージェントが Android ベースのブラウザである場合、ダウンロードされるファイルは (Windows 用の Guildma ZIP ファイルではなく) Ghimob APK インストーラーになります」と Kaspersky は述べています。

レポートによると、このように配布された APK は、Google Defender、Google Docs、WhatsApp Updater などの人気アプリのインストーラーを装っています 。「アプリは、電話機にインストールされると、アクセシビリティ モードを悪用して永続性を獲得し、手動アンインストールを無効にし、バンキング型トロイの木馬がデータをキャプチャし、画面コンテンツを操作し、詐欺師に完全な遠隔制御を提供できるようにします」と 研究者らは述べています。