ERMAC: 野生の新しいケルベロスベースのAndroidバンキング型トロイの木馬

新しいモバイルバンキング型トロイの木馬が登場しました. ERMACと呼ばれる, マルウェアはブラックロックのサイバー犯罪者によって作成されたようで、悪名高いケルベロスのルーツに基づいています.

「ERMACを調査すると, ERMACは、有名なマルウェアCerberusのコードごとの継承者であることがわかります。. C2との通信時にほぼ同じデータ構造を使用します, 同じ文字列データを使用します, 等,」とThreatFabricは述べています. 研究者の第一印象は、新しいトロイの木馬はケルベロスの別の亜種であるということでした. 異なる名前を持ち、異なる難読化手法と新しい文字列暗号化を使用しているにもかかわらず, ERMACは、ケルベロスベースの別のトロイの木馬です。, 研究者は発見した.

ERMACAndroidトロイの木馬: 概要

元のCerberusとの違いは、ERMACがコマンドアンドコントロールサーバーと通信するときに別の暗号化スキームを利用することです。. データはAES-128-CBCで暗号化されています, エンコードされたデータの長さを含むダブルワードが前に付けられます, レポートによると.

ブラックロックのマルウェアオペレーターとの明確なつながりは、コマンドアンドコントロールと同じIPアドレスの使用です。.

新品であるにもかかわらず注目に値する, トロイの木馬はすでにアクティブなキャンペーンとターゲティングで配布されています 378 オーバーレイ付きの銀行およびウォレットアプリ. 最初のキャンペーンはおそらく8月下旬に開始されました 2021. 攻撃が拡大しました, 銀行などの多数のアプリを含む, メディアプレーヤー, 政府のアプリ, ウイルス対策ソリューション.

オランダのサイバーセキュリティ会社によると, 彼らは、DukeEugeneと呼ばれる脅威アクターによるフォーラム投稿でトロイの木馬に最初に気づきました. プレーヤーは、新しいAndroidボットネットを見込み客に宣伝していました。 $3,000 月. 同じ脅威アクターが昨年のブラックロックキャンペーンの背後にいました.

「DukeEugeneは、運用でのBlackRockの使用からERMACに切り替えたと考えています。, ERMACについて最初に言及して以来、新しいBlackRockサンプルは見られなくなったためです。. その背後にある理由の1つは、ブラックロックが信用を失ったことである可能性があります: DukeEugeneはフォーラムで、ボットをテスト用に入手した購入者の1人が、新しいAmplebotバンキング型トロイの木馬としてボットを宣伝する人々を騙し始めたと主張しました。. 名前はブラックロックの管理パネルから取られました, AmpleAdminテンプレートを使用して構築されました, 俳優はロゴと名前を変更しませんでした,」と報告書は述べています.

ケルベロスとブラックロック

去年の夏, ケルベロスがオークションにかけられました その開発者とそれの開始価格によって $50,000 米ドル. 取引の大部分は実際に $100,000 開始価格の2倍のUSD.

Cerberusは非常に人気のあるサービスとしてのマルウェアの例であり、8月によく知られるようになりました。 2019, ライブキャンペーンで検出されたとき. その後、分析では、他の有名な脅威からのソースコードスニペットは表示されませんでした. その時, これは、多くのデバイスの制御を引き継ぐために使用された非常に手ごわい脅威のように見えました. Androidトロイの木馬には、このカテゴリのマルウェアに期待されるすべての機能が含まれていました.

は ブラックロックマルウェア, それはXerxesのコードから派生したと信じられていました, LokiBotのアップグレードバージョン, これは長年、Androidマルウェアの最も危険な例の1つでした.

「ERMACのストーリーは、マルウェアのソースコードの漏洩がマルウェアファミリーの蒸発を遅らせるだけでなく、脅威の状況に新しい脅威/攻撃者をもたらす可能性があることをもう一度示しています。. ケルベロスの地下室に建てられている, ERMACはいくつかの新機能を導入します. RATのようないくつかの強力な機能が欠けていますが, それは世界中のモバイルバンキングユーザーと金融機関にとって依然として脅威です,」ThreatFabric 結論.