マルウェアを用いて攻撃をたくらむ者は、常にAndroidユーザーの警戒心をチェックしている。彼らはバンキングトロージャンを通常のアプリに偽装させ、Androidの公式アプリストアであるGoogle Playに登録するという手口を使っているのだ。2018年8月から10月初めまでにGoogle Playで発見されたもののうち、ステルス性の高かった29種類についての分析では、ブースター、デバイスクリーナー、バッテリーマネージャーにとどまらず、星占いをテーマとしたアプリにまで偽装していたことが判明している。

近年増殖している正規の金融機関になりすまし、偽のログイン画面を表示するだけの不正アプリと異なり、これらのアプリはより高度で複雑な機能を有している。そして、ユーザーが不正動作に気づきにくいなど、ステルス性も高いモバイルバンキングマルウェアとして分類されている。

このようなリモートで制御されるバンキングトロージャンは、ターゲットとされたユーザーのデバイスにあるすべてのアプリを標的にすることが可能だ。しかも、ターゲットに合わせ動的に内容をアレンジしたフィッシング詐欺を仕掛けることができるのだ。さらに、二段階認証のために送付されたテキストメッセージを傍受/リダイレクトし、記載されたログインコードを利用してログインすることすらできてしまう。他にも、感染したデバイスに対し他のアプリを勝手にダウンロード/インストールすることもできる。これらの不正アプリは、Google Playへアップロードされる際には、別のデベロッパー名や外見（アイコンなど）が使われていた。しかし、いずれのアプリもコードに類似性があることや、同一のC&C（コマンド&コントロール）サーバーと情報が共有されていることから、単一の攻撃者またはグループが作成したアプリであることが明らかになった。

図1 – Google Playで発見されたバンキングトロージャンの例

今回の分析対象となった不正アプリ29種類は、ESETの研究者たちがGoogleに通知した後、公式のAndroidアプリストアからはすべて削除された。しかしながら、このようなアプリはアプリストアから削除される前に、すでに合計3万人近くのユーザーにインストールされてしまっている。

異常に気づかないほど巧妙な不正アプリの挙動とは

これらのアプリを起動すると、「被害者のデバイスと互換性がないためにアプリが削除された」とのエラーメッセージが表示され、アプリは自身の存在をユーザーの目の届かないところに隠ぺいしようと目論む。もしくは、もともと偽装の際に提示していた星占いなどの機能をアプリとして果たすことで、あたかも正常なアプリであるように振る舞うのだ。

図2 – 起動後、バンキングトロージャンによって表示された偽エラーメッセージ

これらのアプリはいずれのものも、不正を働く主な機能は各アプリのデータ保管領域内の暗号化されたペイロード^*1の中に隠れている。そして、このペイロードは、「base64^*2」でエンコードされ、ハードコードされたキーを使用し、「RC4」と呼ばれる暗号アルゴリズムで暗号化されている。マルウェアは活動の第一段階として最初に、「ドロッパー」と呼ばれるプログラムでエミュレーターやサンドボックスの存在をチェックする。このチェックに失敗すると、ローダーや実際のバンキングマルウェアを含むペイロードを解読し、ドロップする。今回、分析をおこなったアプリには、このような暗号化されたペイロードがいくつかの段階に分かれているものもあった。

• ※ 1アプリの場合、ヘッダやトレーラなどの識別情報をのぞく、データ保管領域内に保存されているデータそのもののこと。
• ※ 2データのエンコード方式の一つで、64種類の英数字に限定して通信を行う。

図3 – エミュレーターのチェック

これらのペイロードは、ターゲットとなったユーザーのデバイスにインストールされたバンキングアプリになりすまし、SMSメッセージの傍受/送信をおこなえるようになる。また、別のアプリをダウンロード/インストールさせることができるのだ。そして最たる特徴は、このマルウェアが感染したデバイスにインストールされたアプリに偽装できることである。マルウェアはデバイスにインストールされているアプリのHTMLコードを取得・利用して、正規のアプリ上に偽のフォームを表示させてしまう。このような挙動のため、ほとんどの場合においてターゲットとなったユーザーはアプリに異常が起きていることにまったく気づくことすらできないのだ。

バンキングトロージャンの被害から逃れるために

幸いなことに、このような特定のバンキングトロージャン（全リストは文末の不正アプリの痕跡（IoC/Indicator of Compromise）の項を参照してほしい）には、高度な技術が使用されていないため、感染したデバイスに永久にとどまることはできない。そのため、このようなアプリをインストールしたかもしれないと思ったら、「設定」> 「一般」 > 「アプリケーションマネージャー」/「アプリ」の手順でアンインストールするとよいだろう。

また、銀行口座に疑わしい取引履歴がないかどうか確認し、インターネットバンキングのパスワード/PINコードの変更も必ずしておきたい。

バンキングマルウェアに感染しないために、以下4つの点を対策として心がけてほしい。

• １）基本的にGoogle Playのみからアプリをダウンロードすること。
  しかし、必ずしも不正アプリではないということには注意が必要だ。しかし、今回紹介したような不正アプリはサードパーティーのアプリストアにかなり多くアップロードされており、一度公開されてしまうとGoogle Playのように削除されることはほとんどない。
• ２）Google Playからアプリをダウンロードする場合、ダウンロード数、アプリの評価やレビューの内容に注意を払うこと。
• ３）インストールするアプリにどのような権限を許可するかよく考えること。
• ４）Androidデバイスを常に最新の状態に保ち、信頼できるモバイルセキュリティソリューションを利用すること。
  ESETの製品ならば、「Android/TrojanDropper.Agent.CIQ」という名称のウィルスを検出し、ブロックすることが可能だ。

このような悪意のあるアプリをご紹介いただいたニコラス・クリサイドス (Nikolaos Chrysaidos) 氏には心から感謝を申し上げたい。