諜報業界用語: 「Lemon Group」
今回は「Lemon Group」について見ていきましょう。
_*_*_
「Lemon Group」: 主にAndroidデバイスのサプライチェーンを悪用したサイバー犯罪活動を行っているグループです。
活動の概要:
Lemon Groupは、安価なAndroidスマートフォンやその他のIoTデバイス（スマートテレビ、Android TVボックス、子供用スマートウォッチなど）にマルウェアをプリインストールすることで知られています。このプリインストールされたマルウェア「Guerrilla」を利用して、感染したデバイスを悪用し、様々なサイバー犯罪を行っています。
主な活動内容:
アドフラウド（広告詐欺）: 感染デバイス上で不正に広告を表示させ、広告収入を得ています。
SMSインターセプト: SMSメッセージ、特にワンタイムパスワード（OTP）を傍受し、これにより様々なオンラインサービスのアカウント作成や乗っ取りに利用している可能性があります。
モバイルプロキシ: 感染したデバイスをモバイルプロキシとして利用し、不正な通信の中継地点として悪用しています。
情報の窃盗と販売: 感染デバイスからの情報を収集し、他のサイバー犯罪者に販売している可能性も指摘されています。
技術的な特徴:
Lemon Groupは、「Guerrilla」マルウェアのプライマリプラグインを通じて、SMS傍受、プロキシ設定、クッキー窃盗、不正なアプリのインストール・アンインストールなど、特定の機能を持つ追加のプラグインをダウンロード・実行する仕組みを使用しています。
規模と影響:
数百万台におよぶAndroidデバイスがこのマルウェアに感染しているとされており、その影響は広範囲に及んでいます。特に予算の限られたデバイスが主な標的となっているようです。感染は特定の国や地域に集中しているわけではなく、グローバルに分散しています。
名称の変更:
サイバーセキュリティ企業による報告の後、「Lemon Group」から「Durian Cloud SMS」に名称を変更したことが確認されていますが、その活動インフラには重複が見られると報告されています。
Triadaマルウェアとの関連性:
Lemon Groupのインフラの一部が、過去にプリインストールされたマルウェアとして知られる「Triada」のインフラと重複していることが指摘されており、両グループ間での協力関係があった可能性が示唆されています。
注意点:
「Lemon Group」とは別に、イランに関連する国家支援型サイバー攻撃グループの中に「Lemon Sandstorm」と呼ばれるグループが存在しますが、これはLemon Group（Androidデバイスのマルウェアプリインストールを行うグループ）とは別の活動を行っていると考えられています。混同しないように注意が必要です。
このように、Lemon Groupはデバイスの製造・流通段階にマルウェアを忍び込ませるという手口で、世界中の多数のユーザーに影響を与えているサイバー犯罪グループです。
