カメラアプリに偽装した不正アプリをGoogle Playで確認、ポップアップ広告を介してフィッシングサイトやポルノアプリに誘導

トレンドマイクロは、カメラアプリに偽装した複数のAndroid端末向け不正アプリ（「AndroidOS_BadCamera.HRX」として検出）)をGoogle Playで確認しました。これらの不正アプリは、遠隔サーバから設定をダウンロードしてポップアップ広告を表示し、クリックしたユーザをフィッシングサイトやポルノアプリに誘導します。他にも、ユーザがアップロードした画像を窃取する、画像加工アプリに偽装した不正アプリも確認されています。これらの中にはすでに百万回以上ダウンロードされている不正アプリもありました。カメラアプリや画像加工アプリの人気を考えると、このようなダウンロード数は驚くべきことではありません。ダウンロードの大半はインドを中心としたアジアからのものでした。

本記事執筆時点（2019年1月30日）でGoogle はすでにこれらの不正アプリをGoogle Playから削除しています。

図 1：Google Playで確認された不正なカメラアプリ

■技術的な解析

自身を隠ぺい

今回確認された不正アプリは自身を隠ぺいすることでアンインストールを困難にします。例えば、「com.beauty.camera.project.cloud」というパッケージ名の不正なカメラアプリは、アプリ一覧から自身のアイコンを隠ぺいしドラッグアンドドロップによる削除ができないようにします。さらに、この不正アプリは解析を防ぐためにパッカーを使用していました。

図 2：アプリ一覧から自身を隠ぺいするコード

ポップアップ広告の表示

この不正アプリは画面ロック解除時に、詐欺コンテンツやポルノアプリに誘導するポップアップ広告をブラウザで表示します。このポップアップ広告の1つは、ユーザがクリックすると有料のポルノ再生アプリ（「AndroidOS_PornPlayer.UHRXA」として検出）をダウンロードします。しかし、このアプリはユーザが料金を支払って実行してもコンテンツを再生しないものでした。また、ポップアップ広告の内容はアプリのダウンロードを示唆するものではないため、ユーザはこのような不正アプリがどこからダウンロードされたのか判断できないかもしれません。

他にも、ユーザに住所や電話番号のような個人情報の入力を要求するフィッシングサイトに誘導するポップアップ広告も確認されました。例えば、図3中央のポップアップ広告で「OK」ボタンをクリックすると、iPhoneXを獲得するために3度挑戦できるというWebページが開きます。実は3度目の挑戦で必ず当選するようになっており、当選後、詳細情報の入力を求めるフォームが表示されます。

図 3：賞品の当選を伝えるポップアップ広告（左、中央）
「OK」をクリックするとフィッシングサイト（右）に誘導

この不正アプリは以下のURLから広告設定をダウンロードし、対象デバイスを分析して広告の挙動を決定します。

• hxxps://d3pukqxlxhielm.cloudfront.net/congfig[.]json
• hxxps://dgld3i8oh1hf6.cloudfront.net/congfig[.]json

次に、ダウンロードした広告設定を構文解析しブラウザを呼び出すバックグラウンドプロセスがスケジュールに登録されます。

図4：迷惑広告をブラウザでポップアップさせるネットワークトラフィック

図5：迷惑広告をブラウザでポップアップさせるコード

■その他の不正な画像加工アプリ

調査を進める中で、類似した挙動を示す一連の画像加工アプリをGoogle Playで確認することができました。これらのアプリはアップロードした画像を加工するアプリに偽装していました。しかし、ユーザが指定されたサーバに画像をアップロードすると、加工された写真を取得できる代わりに、異なる9つの言語でアプリの更新を促す偽の案内画面が表示されます。アップロードされた画像は、ソーシャルメディアアカウントの偽のプロフィール画像のような用途に不正利用される恐れがあります。

図6：不正アプリ「Fill ART Photo Editor」の画面（左）
加工中画面（中央）、偽の更新プロンプト（右）

これらの不正アプリが利用する遠隔サーバの情報は、Base64方式で2度エンコードされていました。さらに、これらの不正アプリのいくつかは上述した不正なカメラアプリと同様の手口で自身を隠ぺいする機能を備えていました。

図7：Google Playで確認された不正な画像加工アプリ

■被害に遭わないためには

不正アプリの多くは、可能な限り正規アプリに見えるように偽装されています。ユーザは常に、インストールしようとしているアプリの正当性を確認する必要があります。良い方法の1つとして、他のユーザからのレビューを確認することが挙げられます。不審な挙動に関して言及されている場合、インストールするのは控えておいた方が安全でしょう。

図8は本記事で解説した不正アプリの1つのレビューです。評価が星5つと星1つに偏ったU字型になっていることが分かります。これは、低い評価を付けた正規のレビューと高い評価を付けた偽のレビューが合わさった結果だと考えられます。

図8：不正アプリのレビュー

■侵入の痕跡（Indicators of Compromise、IoCs）

参考記事：

• 「Various Google Play ‘Beauty Camera’ Apps Send Users Pornographic Content, Redirect Them to Phishing Websites and Collect Their Pictures」
  by Lorin Wu (Mobile Threats Analyst)

翻訳： 澤山　高士（Core Technology Marketing, TrendLabs）