2011年12月6日掲載

株式会社Doctor Web Pacific

Doctor Webは、Androidマーケットの公式アプリケーション内に悪意のあるプログラムが多数含まれていることを発見しました。これらのプログラムは全て、被害者の承諾無しに有料の番号にSMSを送信する、トロイの木馬Android.SmsSendファミリーに属しています。Doctor Web からの通知を受けてGoogle社は、それら悪意のあるアプリケーションを即座にAndroidマーケットから削除しました。

Doctor Webのアナリストは、ユーザーが気づかぬうちに有料の番号にSMSを送信し、追加の料金を発生させる悪意のあるプログラムを、Androidマーケットのカタログ内に30個以上発見しました。SMSトロイの木馬自体は特に目新しいものではなく、その手口は世界中のWeb上においてハッカー達に古くから用いられています。しかし、メッセージを送信する度にアカウントからお金を引き落とされる被害者にとっては、大きな損害を与えるマルウェアです。

Androidマーケットのアプリケーションがマルウェアの拡散に使用されるのは、今回が初めてではありません。Android.DreamExploid、Android.DDLightなどのトロイの木馬ファミリーが発見されたこともあります。Android.SmsSendファミリーもこれまでにいくつか発見されてはいますが、今回のような大量配信は初めての事例です。

Doctor Webは、2人の異なる開発者によって作成された、このタイプの悪意のあるプログラムをAndroidマーケット内に33個確認しました。脅威を拡散する為に、攻撃者は実に興味深い手口を用いています。マルウェアの大半は、Androidのデスクトップ用壁紙を変更することの出来る画像ディレクトリのアプリケーションとして配信され、そして実際にそのような機能を持っています。画像の種類は、コンピューターゲームから自然写真までと多岐にわたっています。その他の悪意のあるアプリケーションは独創性に溢れるもので、例えば、星占いの作成やダイエットのプログラムなどがあります。それらのインターフェースは非常にシンプルで、実際の機能を持つ事によって、ユーザーに課金されるSMSを送信するというウイルス製作者の真の目的を隠そうとしているという点に注意する必要があります。

さらに攻撃者は、それらのアプリケーションがユーザーの目に留まるよう、シンプル且つ有効な手段を用いています。プログラムの説明に、そのプログラムとは全く関係の無い人気のあるフレーズ、例えばポピュラーなゲームAngry Birdsなどの名前を入れ、その結果、そのプログラムへのリンクがAndroidマーケットでの検索結果の上位に現れるようにしています。

これら悪意のあるアプリケーションの仕組みは非常に標準的なものです。ユーザーがプログラムを起動すると、モバイルデバイスの所有者はある条件に同意します、という内容のテキストが表示されます。しかし通常、それらの条件リスト内には契約事項そのものが含まれていません。実は、リスト上の最後のテキストがライセンス契約ページへのハイパーリンクなのですが、このテキストは周りと同化して全く目立たず、ユーザーがそれを見つけるのは困難を極めるでしょう。ボタンをクリックして同意してしまうと、すぐさまアプリケーションによって有料なSMSが送信されてしまうということは言うまでもありません。

他の開発者によるアプリケーションの機能は、ほんの僅かですが上記のものと異なっています。アプリケーションの起動後、スクリーンにはテキスト、及びライセンス契約に同意するものやクリックすると契約条件が現れるはずの2つのボタンが表示されます。しかし、この契約条件は一時的に使用できなくなっている外部Webサイトにあり、ユーザーは見ることが出来ません。契約に同意するとすぐに、アプリケーションがSMSを送信してしまいます。

Google社は既にAndroidマーケットから上記マルウェアを削除しており、Dr.Webのウィルスデータベースには必要なエントリーが追加されました。