2018年4月16日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストは、Google Play上でトロイの木馬 Android.Click.245.origin を検出しました。このトロイの木馬は犯罪者の指示に従ってWebサイトを読み込み、そこでユーザーを騙して有料コンテンツサービスに登録させます。ユーザーが偽の「プログラムをダウンロード」ボタンをクリックすると自動的に登録が行われる場合もあります。

サイバー犯罪者は開発者Roman Zencovを名乗り、人気のアプリケーションを装って Android.Click.245.origin を配布していました。それらの中には、まだAndroid版のリリースされていないゲームMiraculous Ladybug & Cat Noir、春先に有名になった、電話を発信し電話番号を保存するアプリGetContact、Yandexアプリケーションに組み込まれていて個別のアプリとしては提供されていない音声AIアシスタントAliceなどがあります。トロイの木馬を含んだプログラムの1つは、Google Play上の新しい人気アプリ上位30にランクインしています。

Doctor Webは Android.Click.245.origin についてGoogle社に報告を行い、このトロイの木馬はGoogle Playから削除されましたが、2万を超えるユーザーが偽のアプリケーションをダウンロードしています。これらのプログラムはいずれもユーザーの期待する機能を持っていません。その唯一の目的はサイバー犯罪者のコマンドに従ってWebページを読み込むということです。

以下の画像は、Google Play上で発見された悪意のあるアプリケーションのページです。

起動されると、 Android.Click.245.origin はC&Cサーバーとの接続を確立し、サーバーからのタスクを待ちます。次に、感染させたデバイスのIPアドレスに応じて、読み込むべき特定のWebサイトへのリンクを取得します。 Android.Click.245.origin はこのリンクを辿り、WebViewを使用して特定のページを表示させます。デバイスがWi-Fi経由でインターネットに接続している場合、ユーザーは該当するボタンをクリックすることでアプリケーションをダウンロードするよう促されます。例えば、ユーザーが偽の音声AIアシスタントAliceを起動した場合、ダウンロードされるのは「Alice Yandex.apk」ファイルです。

ユーザーがファイルをダウンロードしようとすると、認証目的やダウンロードを確定するためという名目で、電話番号を入力するよう求められます。電話番号を入力したユーザーは、「ダウンロード」を完了するためにWebサイト上で入力しなくてはならない確認コードを受け取ります。ところが、ユーザーは目的のプログラムを入手する代わりに有料サービスに登録されてしまいます。

感染させたデバイスがモバイル通信経由でインターネットに接続している場合、トロイの木馬によって開かれたWebサイトはいくつかのリダイレクトを行い、その後、Google ChromeでWebサイトが表示されます。このページで、ユーザーは「Continue（続ける）」をクリックしてファイルをダウンロードするよう促され、ダウンロードが開始される別のサイトへとリダイレクトされます。「Start download（ダウロードを開始する）」をクリックしたユーザーは、 Wap-Clickテクノロジーを使用して高額なサービスに自動的に登録され、毎日使用料が引き落とされることになります。また、そのようなサービスへは、電話番号やSMSで受け取る確認コードの入力無しにアクセスすることができます。

タスクを受け取らなかった場合、トロイの木馬はインターネットから複数の写真をダウンロードし、それらを画面上に表示させます。

不要なサービスにユーザーを登録させる方法は、サイバー犯罪者にとって最も一般的かつ良く知られた不正な収益源となっています。中でも特に、Wap-Clickを使用したそのような高額サービスへの登録は、登録についてユーザーに知らせることがなく、悪徳なコンテンツプロバイダによって使用されることが多いことから、非常に危険です。

お金を失うことを防ぐため、スマートフォンやタブレットのユーザーはWebサイトを閲覧する際は慎重になり、疑わしいリンクやボタンをクリックしないようにしてください。また、良く知られた信頼できる開発者によって配信されているソフトウェアのみをインストールするようにし、アンチウイルスを使用することをお勧めします。

Dr.Web for Androidは Android.Click.245.origin の既知の亜種をすべて検出します。したがって、Dr.Webのユーザーに危害が及ぶことはありません。

Android.Click.245.originの詳細