2018年10月26日

株式会社Doctor Web Pacific

Doctor Webでは、VPNクライアント、すなわち仮想プライベートネットワークに接続することを可能にするソフトウェアとして拡散されていた、ダウンローダ型トロイの木馬 Android.DownLoader.818.origin について、以前に記事を掲載しています。マルウェアアナリストはこの悪意のあるアプリケーションに関する調査を続け、この度、新たな亜種を発見しました。 Android.DownLoader.819.origin と名付けられたこの亜種は Android.DownLoader.818.origin と同様Google Playから拡散されており、少なくとも51,100人のユーザーによってインストールされています。

Android.DownLoader.819.origin は他の悪意のあるアプリケーションをAndroidデバイス上にインストールして起動させるダウンローダです。開発者Quoacによってゲームを装って拡散されています。 Android.DownLoader.819.origin の14のコピーが少なくとも51,100人のAndroidモバイルデバイスユーザーによってインストールされているということが、Doctor Webのエキスパートによって明らかになっています。Doctor Webは特定されたソフトウェアに関するデータをGoogle社に送り、本記事掲載時点で、該当するソフトウェアはGoogle Playから削除されています。

以下の表は検出された悪意のあるアプリケーションに関する情報です。

Android.DownLoader.819.origin は Android.DownLoader.818.origin の亜種で、同じ機能を備えています。起動されると、SDカードへの読み書きアクセスを要求し、モバイルデバイス管理者として設定するようユーザーに促します。アクセスを取得すると、自身のアイコンをメインメニューから削除し、デバイス上で存在を隠します。その後、ユーザーは「ゲーム」を起動することはできず、悪意のあるアプリケーションはシステム設定のインストールされたプログラムのリスト内でしか見つかりません。

必要な権限が与えられると、このトロイの木馬はリモートサーバーに接続し、APKファイルをバックグラウンドでダウンロードします。次に、それをインストールするようユーザーに要求しします。ユーザーが拒否した場合は、インストールに同意するまで20秒ごとに同じダイアログを表示させます。トロイの木馬によってダウンロード・インストールされるファイルは、感染したスマートフォンやタブレットの画面がオンになる度に広告を表示させる Android.HiddenAds.728 というマルウェアです。

ダウンローダ型トロイの木馬 Android.DownLoader.819.origin のすべての既知の亜種と、それらによってダウンロードされるマルウェアはAndroid向けのDr.Web製品によって検出・駆除されます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

• Android.DownLoader.819.originの詳細(英語)
• Android.HiddenAds.728の詳細(英語)