悪意あるSDKが配達アプリを通じてiOS暗号資産ウォレットを標的に
TREE NEWS 報道： SlowMist創業者のYu Xian氏によると、ComeCome（comecome.icu）と呼ばれるフードデリバリーアプリが、iOSカーネルの脆弱性を悪用し暗号資産ウォレットの資産を窃取するために設計された悪意あるSDKを内包していることが確認された。この攻撃は、バージョン1.1～1.2に8種類の異なるiOSカーネルエクスプロイト手法を統合した悪意あるSDKが埋め込まれた、以前のFomoPeekポイズニング事件を彷彿とさせる。マルウェアはデバイスの機種とOSバージョンに基づいて攻撃ベクトルを自動選択し、影響を受ける既知のiOSバージョンはiOS 12.0～18.7および26.0～26.1に及ぶ。エクスプロイトが成功すると、iOSサンドボックスを突破してウォレットデータへのアクセスを獲得する。
攻撃の仕組みと範囲
このツールキットの高度さは、十分なリソースを持つ脅威アクターの存在を示唆している。複数のカーネルエクスプロイトを束ねることで、マルウェアはアプリのインストール以外にユーザーの操作を必要とせず、幅広いデバイスを標的にできる。Yu Xian氏は、脅威がiPhoneにとどまらずiPadやMacデバイスに及ぶ可能性があると警告し、ユーザーに最新のiOSバージョンへのアップデートと、出所不明のアプリに対する極度の警戒を促した。
本件は、一見無害なアプリを通じて暗号資産ユーザーを標的とするサプライチェーン攻撃のより広範なパターンに続くものである。配達、フィットネス、ユーティリティ系のアプリは、広範な権限を要求し、公式アプリストアへのアクセスが制限されている地域ではサードパーティストアからサイドロードまたはダウンロードされることが多いため、特に効果的な攻撃ベクトルとなる。
業界への示唆
- モバイルウォレットのセキュリティ：この攻撃は、サンドボックス化されたモバイルOSであっても高度なカーネルレベルのエクスプロイトに対して無防備ではなく、モバイルウォレットがデスクトップやブラウザベースの代替手段よりも本質的に安全であるという前提に疑問を投げかけている。
- アプリストア審査の隙間：主要アプリストア外で配布されたアプリにこうしたマルウェアが存在することは、サイドローディングのリスクと、サードパーティ配布チャネルの監視の難しさを浮き彫りにしている。
- ユーザー行動：暗号資産保有者は日常的なアプリを通じてますます標的にされており、セキュリティ衛生はウォレット管理にとどまらず、一般的なデバイス利用全般に及ぶ必要がある。
今後の見通し
ComeComeとFomoPeekの事例は、モバイルに焦点を当てた暗号資産犯罪のエスカレーションを示している。iOSとAndroidがサンドボックスを強化するにつれ、攻撃者は従来の防御を回避するカーネルレベルのエクスプロイトに投資している。クロスプラットフォームのエクスプロイトキットの増加と、モバイルOSを標的とするゼロデイ脆弱性市場の拡大が予想される。
ユーザーにとっての実践的な教訓は明白である。デバイスを速やかに更新し、サイドロードされたアプリを避け、多額の保有資産にはハードウェアウォレットの使用を検討すべきだ。業界にとっては、本件はモバイルアプリケーションの継続的なセキュリティ監査の必要性と、これらのサプライチェーンがユーザーに到達する前に断ち切るための、セキュリティ研究者、アプリストア、法執行機関の間のより大きな協力の必要性を強く示している。
