マルウェア

大変ご無沙汰しておりました。Blog移行後最初のエントリはとりあえず12/19までに公開されたマルウェアです。

• Android.Fakelemon (Symantec.: 12/4) SMSメッセージを傍受しリモートサーバに送信するTrojan
• Android.Maxit (Symantec.: 12/4) バックドアを開きSMSのブロック及び送信をするTrojan
• Android.Tascudap (Symantec.: 12/12) SMSでコマンドを受け取り、リモートノードを介してDoSを試みるBot
• Android.Pikspam (Symantec.: 12/18) SMSでスパムメッセージを配信するBot
• Android.Smsbomber (Symantec.: 11/27) 端末上の特定のアドレスにSMSを送信する

ここしばらく海外のマルウェア情報は(新種が少ないという意味で)比較的おとなしい状況でしたが、年末も近くなり増加傾向にあるようです。
過去のマルウェアの傾向ではSMSというとプレミアムSMS送信による不正請求が多かったのですが、今回挙げたマルウェアはTrojanの動作トリガや、端末内部情報の送信に用いられているケースが多いようです。

今回の注目はAndroid.Pikspam(a.k.a. SpamSoilder)とAndroid.Tascudapでしょうか。

Android.Pikspamはインストールした端末からSMSでSpamを配信するBotプログラムになっています。
また、このapkのアーカイブを調べるとAssetsに別のapkが配置されていました。中身は簡単なWebViewアプリでアダルトサイトでアメリカの某女優の名称を検索するURLをロードするようになっていました。
これはマルウェア開発者のジョークと捉えるべきでしょうか。こういう手口を見るとこの開発者がこのようなツールを作りなれているかのような印象を感じます。

もう一つはAndroid.Tascudapです。こちらはSMSメッセージをトリガにDoSを仕掛けるプログラムです。過去にもDoSToolとしてAndroidプラットフォームをターゲットにしたマルウェアが出ましたが、SMSによってPushでコマンドを受け取れるというのはこういったToolにとって都合の良い機能なのかもしれません。

訂正

(2012/12/19)上記の記事にTascudapとPikspamを混同した記載がありました。取り急ぎ事実確認をしておりますがその間一部記載を取り消しさせていただきます。ご迷惑おかけします。
(23:59)修正いたしました。お騒がしました。m(__)m

Bloggerに移行してみました

突然ではありますが、FC2Blog「とある技術屋の日記」改めBloggerにて「Ayaseのセキュリティメモ」として続けることにしました。

FC2BlogがGoogle八部になったりとか、やっぱり広告がうっとおしいとか、まぁ細かいことが積み重なりましていろいろ悩んだ挙句Bloggerに移行してみることにしました。
広告も無いですし、徳丸先生の「徳丸浩の日記」を見ていてデザイン的にもいいかなと思い実際に触って3ヶ月。エントリ移行の目処も立ち今回公開に至った次第です。

しばらくBlogの更新が滞っておりましたのもこの辺の移行作業に手間取っていたためであります。ご迷惑おかけしました。

ちなみに当Blogですが、以前のBlogと方向性とか内容とかその辺は変わりません。今後はこちらのBlogを更新していくことになりますので、皆様今後ともご贔屓に。

マルウェア

またまたご無沙汰しておりました。本日までのMalware情報です。

• Android.Finfish (Symantec.: 08/30)
• Android.Backscript (Symantec.: 09/04)
• Android.Enesoluty (Symantec.: 09/05)
• Android.Lotoor (Symantec.: 09/05)
• Android.Temai (Symantec.: 09/17)
• Android.Backapp (Symantec.: 09/27)
• Android.Aplog (Symantec.: 10/09)
• Android.FakeLookout (Symantec.: 10/19)

過去の情報収集系Malwareは端末の識別情報やアドレス情報、SMS/MMSメッセージなどを収集するものが多く見られましたが、最近のMalwareは端末内のファイルや写真も収集するようです。

FinFishは端末の情報を搾取するMalwareです。端末の識別情報からSMSやMMSメッセージといった情報以外に端末内のファイル、写真を収集するようです。
BackappはSMSを用いてコマンドを送信し.3gp .amr .jpg ファイル、GPS ロケーション、SMS メッセージを収集します。
Aplogは端末でアプリケーションのインストール/アンインストールを記録してデータベースに保存し情報収集サーバに送信します。

今回はDropperも2件公開されました。
BackScriptは悪質なスクリプトをダウンロードするDropperです。TemaiはPUPをダウンロードしインストールを試みるDropperです。

最後のFakeLookoutは実在のアンチマルウェアベンダの名を語る情報収集Malwareです。過去にも偽アンチマルウェアツールが発見されていますが、今回は実在する製品名称を用いてGooglePlayで配布されたことから今後の影響が心配されます(Bouncer先生働いてください)。 FakeLookoutはSMS/MMSメッセージ、圧縮した端末内のファイル、端末内のファイル一覧をFTPサーバに送信します。
このMalwareの特異な点はなんと言ってもManifestファイルです。505もの端末のアクション(ほぼ全てのアクション)をトリガにアプリケーションのサービスが起動するつくりになっています。パーミッションが並ぶManifestファイルは良く見かけますが、Intentが並ぶManifestはこれが始めてです。

ちなみにFakeLookoutについてはAndroidMalwareResearchProjectでも公開されていますので興味のある方はこちらもどうぞ。

Android Malware Research Project なるものを始めました

今までAndroidをターゲットにしたMalwareの情報をこのBlogで書いてきましたが、いろいろあってこんなものを始めました。→ Android Malware Research Project

Blogで公開してきたMalwareの解析情報を集約し、一元管理することでAndroidMalwareの独自データベースを構築すると共に、Androidユーザへの注意喚起や情報提供を行うことを目的としています。
現段階ではBlogで公開してきた延長でひたすらMalwareのサンプル解析情報を公開しています。過去Blogで扱わなかったMalware(約200サンプル)についても解析結果も順次公開して行きます。
一般ユーザ向けの注意喚起や情報公開も準備整い次第行う予定です。(すいません今はそこまで手が回っていません)

本Blogの方は引き続きベンダやニュース関連の情報をまとめて記載したいと思います。
Android Malware Research Projectと合わせて今後も本Blogをよろしくお願いいたします。

マルウェアはどのような権限を要求するのか?

Androidアプリケーションをインストールする際に大量の権限を要求されると怪しいアプリではないかと警戒するものですが、実際のところ世に出回っているマルウェアはどのような権限を要求してくるのでしょうか。
以下の表は実際のマルウェアが要求してくる権限をまとめたものです。

全てのマルウェアファミリを網羅すると膨大な数になる為いくつか抽出しています。

これを見ると大量の権限を要求してくるものから少ないものまで様々です。

この中で特に注目していただきたいのは赤で示しているマルウェアです。赤で示しているのは日本をターゲットにしたマルウェアになります。ご覧のとおり一般のアプリケーションと同様せいぜい5つ程度の権限しか要求されません。
このことから権限の数だけで判断するのは困難であることはお分かりいただけると思います。

では他に特徴はあるでしょうか。
INTERNET(インターネット接続)は全てのアプリに入っていますね。ただ、作り方によってはINTERNETの権限を使わずに別の権限を用いて同様の仕組みを実現することも可能ですので、この権限がないからと言って100%安全であることを保証するものではありません。
また、日本をターゲットにしたマルウェアは今のところそのほとんどがアドレス帳データの搾取にあるのでREAD_CONTACT(アドレス帳を読み取る権限)がついています。AckpostがINTERNETとREAD_CONTACTの2つの権限しか要求していないことからわかるように、アドレス帳の情報を抜き取るにはこの2つの権限があれば十分ということになります。

一方でFaceDocあたりは大量の権限を要求してきます。
端末のあらゆる情報を手当たりしだい搾取したりリモートで端末を操作したりするタイプのマルウェアは大量の権限を要求するケースがあります。

このように、マルウェアは収集する情報や目的によって権限が大きく変わりますので、権限の数が多いものや特定の権限をもったアプリがマルウェアであると判定するのは難しいと言えます。

大量に権限を要求するアプリケーションに注目が集まりすぎて上記のような少ない権限で目的の情報にポイントを絞ったマルウェアが見過ごされてしまう懸念を覚え今回このようなエントリを書きました。
アプリケーションが要求する権限はその組み合わせがポイントです。
tSpyCheckerのような権限の組み合わせを考慮した権限チェッカを用いたり、他の情報(開発者の提供する情報や、他のアプリ利用者の感想等)を含めて多角的に判断することが肝要です。

マルウェア

8/24までに公開されたマルウェアです。

• Android.Smszombie (Symatenc: 8/19)
• Android.Loozfon (Symantec: 8/19)
  • Loozfon Malware Targets Female Android Users (SymantecBlog: 8/24)
• Android.Adwlauncher (Symantec: 8/20)

SmszombieはプレミアムSMS送信型のマルウェア、Adwlauncherは端末の情報をSMSで送信するスパイウェアです。 いずれも中国をターゲットにしている模様です。

また、相変わらず日本をターゲットにしたマルウェアも出ています。
Loozfonは、日本の女性をターゲットにしています。
女性向け高収入バイト紹介サイトと称するページのリンクからアプリをダウンロードさせる方法と、Spamメールのリンクを介する方法の2つの手段を用いて拡散しているようです。※
このLoozfonもまた最近の情報収集型マルウェア同様、アドレス帳の情報を収集するマルウェアのようです。

本Blogでは引き続きアドレス帳の情報収集マルウェアに対する注意を継続して呼びかけていきます。

---

※8/24 16:10現在該当のマルウェアへのリンクは削除されています

[注意喚起] 迷惑メールを介して拡散するアドレス帳情報収集マルウェア

ここしばらく携帯メールを介して広がる日本をターゲットにしたマルウェアについて触れてまいりました。 これだけ話題に上がりながらマルウェアの勢いは衰えるどころかパッケージ名を変えながらさらに増えている状況です。

ここでは注意喚起のために、実際に確認したマルウェアの調査状況と被害にあわないための対策をまとめておきます。

現時点で確認しているマルウェア

移動機のメールを介する手口で拡散している一連のマルウェアのうち存在が明らかになっているのは以下のアプリです。

Android.Ackposts
	電池長持ち※1
	電波改善
Android.Ecobatry
	電池長持ちアプリ エコ電
Android.Sumzand
	沢○エ○カ!※2
	スマソーラー
	PowerCherger

上記は当方が確認できたもの、セキュリティベンダが公開した情報に基づいています。これ以外にもアプリ名やパッケージ名を変えて配布されている可能性がありますのでご注意ください。

(2012/08/24 追記)Yomiuri Onlineの記事によるとSymantec社は10種類の類似するマルウェアを確認しているようです。未確認ではありますが、上記7種類のアプリに加え、本ブログ8/24の記事にあるAndroid.Loozfonの2種類、それからSymantecBlogのSumzandの記事中にある「App電話帳リ(以下不明)」の10種類と思われます。

今回のマルウェアの被害に至るまでの手口

一連のマルウェアはアプリ紹介と称する携帯のSpamメールを介して広がっています。Spamメールにはアプリをダウンロードないしは紹介するサイトへのリンクが張られており、このリンクを踏むとアプリがダウンロードされるかアプリの紹介サイトへジャンプします。
アプリの紹介サイトは一見普通のサードパーティマーケットのようなこうせいになっており、アプリの詳しい説明(もちろん内容は虚偽のものです)や、利用者の評価コメント(これも虚偽のコメントです)が書かれており、ユーザの警戒心を解こうとする意図が見えます。

(マルウェアを配布するアプリ紹介サイト風ページ)

ここでダウンロードボタンを押下するとマルウェアがダウンロードされる仕組みになっています。
ダウンロードされたマルウェアはユーザが意図的にインストールしない限り動作することはありません。 しかし、一旦起動すると以下の動作をします。

• 端末のアドレス帳から氏名、メールアドレス、電話番号を収集する
• 端末の電話番号を収集する
• 収集した情報を外部のサーバに送信する

これは先に挙げた3種類のマルウェアで共通するところです。名称こそ異なりますが機能自体はほとんど変わらないのが今回のマルウェアの特徴ともいえます。
以前大きな話題となったDougaLeaker("The Movie"マルウェア)同様アドレス帳の情報が収集されるということは、ユーザ自身のみならずユーザのアドレス帳に記録された他者の情報を盗まれるという非常に大きな問題になります。

今回のマルウェアの脅威と今後の対策

現状を見る限り、同様の手口は今後も続くと予想されます。
これらの手口にひかっかり、被害を受けない為に以下の点を守りましょう。

1.覚えのないメールのリンクを押さない

メール本文中のリンクを押すだけでマルウェアをダウンロードするケースがあります。身に覚えのないメールのリンクは不用意に押さないでください。

2."「提供元不明のアプリ」のインストールを許可する"のチェックを入れない

端末の「設定」→「アプリケーション」の項目にある「提供元不明のアプリ」のインストールを許可するにチェックが入っていないことを確認してください。
今回のケースではGooglePlayを介さず外部のサーバに置かれたアプリ(いわゆる野良アプリ)です。GooglePlay以外のサイトからインストールする場合、この設定にチェックが入っている(ON)の場合しかインストールできません。 (そもそも野良アプリは原則入れるべきではありません。)

3.マルウェアを起動した後のウィルス対策ソフトは意味がありません

今回のマルウェアは起動と共に収集した情報を外部に送信します。起動したあとでウィルス対策ソフトが検知してもすでにマルウェアは自身の仕事をやり終えた後になります。対策ソフトを過度に信頼しすぎてはいけません。

4.すでにマルウェアを起動してしまった方は警察や公的機関へ相談を

マルウェアを起動してしまった場合はすでにアドレス帳や端末の電話番号が外部に漏洩している可能性が極めて高いです。
警察(都道府県警察本部のサイバー犯罪相談窓口等一覧 http://www.npa.go.jp/cyber/soudan.htm)やIPA(情報セキュリティ安心相談窓口 http://www.ipa.go.jp/security/anshin/)へ問い合わせしてください。

追記

2012/08/22 21:38 実際にマルウェアを配布しているサイトの画面を追加
2012/08/24 16:48 確認されているマルウェアについてシマンテックの情報を追加

---

※1「電池長持ち」という名称のアプリは2種類存在していることが明らかになっています。1つはアイコンに「電池長持ち」と記載されたもの、もう一つはヘッドフォンの絵が描かれたものです。当方では前者の存在を確認しておりますが、後者は確認できていません

※2「沢○エ○カ!」については当方で確認できませんでしたが、Symantecの情報から該当アプリの存在は間違いないものと見ています