Android や iOS のスマートフォンやタブレットに感染してデータを吸い取る、悪質な FinSpy スヌープウェア ツールの新しい亜種が出回っているという。
カスペルスキー社は今週、ガンマ・グループが開発し、その子会社であるガンマ・インターナショナルが名ばかりの政府に販売している悪名高い商用スパイウェアが昨年末から出回っており、最近では今年6月にミャンマーにある一群のデバイスに発見されたと発表した。
FinSpy（別名FinFisher）は、2012年からモバイルデバイス監視ソフトウェアとして宣伝されてきましたが、カスペルスキーの研究チームによると、この最新バージョンは、ユーザーのチャット、物理的な動き、そして幅広いアプリケーションから保存されたファイルを収集する能力において、特に侵入性が高いとのことです。この新しいコードは20カ国で確認されており、実際の影響範囲ははるかに広範囲に及ぶ可能性があるとされています。
このソフトウェアは通常、外国のエージェント、ジャーナリスト、活動家など、特定のターゲットに対して展開されるものであり、一般に公開されるものではないことに留意してください。
カスペルスキー社はこの件に関する報告書の中で、「iOS と Android 向けのモバイルインプラントはほぼ同じ機能を備えている」と述べている。
「連絡先、SMS/MMS メッセージ、電子メール、カレンダー、GPS 位置情報、写真、メモリ内のファイル、通話録音、最も人気のあるメッセンジャーからのデータなどの個人情報を収集できます。」
抑圧的な政府政権の長年のお気に入りのツールであった FinSpy は、ほとんどのセキュリティ企業によってマルウェアに分類されており、人権侵害に関与している疑いがある。
しかし、マルウェアを標的のデバイスに侵入させるかどうかは、FinSpyの購入者次第です。カスペルスキー社は、FinSpyはインストール後に権限を昇格させる様々なトリックを駆使しますが、実際にマルウェアをモバイルデバイスに侵入させるには、スパイが携帯端末に直接アクセスするか（ほとんどの独裁国家にとってそれほど難しいことではありません）、サードパーティ製のエクスプロイトを利用する必要があると指摘しています。
iOSデバイスの場合、攻撃者はまずAppleのスマートフォンまたはタブレットを脱獄するという追加の手順を踏む必要があります。これは、FinSpyのスヌーピング機能がiOSのCydiaパッケージマネージャーに依存しているためです。Androidの場合、マルウェアはパッチ未適用の端末にDirtyCowエクスプロイトを展開することでルート権限に昇格し、完全なアクセスを取得しようとします。
研究者は、ISPが最新のFinSpyスヌーピングに「加担」していると主張している
続きを読む
「Android版インプラントには、既知の脆弱性を悪用することで、ルート化されていないデバイスでルート権限を取得する機能があります。iOS版に関しては、Gammaのソリューションは、公開されている脱獄ツールの痕跡を消去するように微調整されているため、顧客に感染のエクスプロイトを提供していないようです」とカスペルスキーは説明しています。
「これは、デバイスがまだジェイルブレイクされていない場合、被害者への物理的なアクセスを示唆している可能性があります。同時に、このプラットフォーム向けに設計されたマルウェアにはこれまで見られなかった複数の機能が実装されています。」
マルウェアが携帯端末に侵入すると、ローカルに保存されたメディアやSMSメッセージを探すだけでなく、WhatsApp、Skype、BlackBerry Messenger、Signalといった人気メッセージングアプリにも探りを入れます。スパイウェアはこれらのアプリからの通信を収集し、ソフトウェアを購入・不正にインストールした人物のサーバーに流そうとします。
スパイウェアの顧客には、感染ごとにコードを微調整するためのツールセットも提供され、標的とするアプリケーションと収集する必要がある情報を正確に定義できます。これにより、特定のメッセージングアプリや通信手段が他のものよりも普及している地域の政府にとって、FinSpyはより実用的になります。
このマルウェアは、携帯電話ネットワークと VoIP 通話サービスの両方でキーストロークを記録し、音声通話を録音できるほか、GPS 追跡機能にアクセスしたり、デバイス上の特定のファイルやユーティリティを非表示にしたりすることもできます。
つまり、カスペルスキーチームは、10 年近く前から存在しているにもかかわらず、FinSpy はこれまでと同様に侵入性と能力を保っていると述べている。
「2014年の漏洩以来、ガンマグループはインプラントの重要な部分を再現し、サポート機能を拡張し（例えば、サポートされるインスタントメッセンジャーのリストが大幅に拡大された）、同時に暗号化と難読化を改善し（インプラントの分析と検出を困難にし）、市場での地位を維持することを可能にした」と彼らは指摘している。®
