「Google Play」上で複数のAndroid向けワンクリック詐欺アプリ（ワンクリックウェア）の公開を確認

トレンドマイクロでは複数のワンクリック詐欺ソフト（ワンクリウェア）が、Android向け正規マーケットである「Google Play」上で公開されていることを確認しました。「ワンクリック詐欺」は、特に日本で多く見られるWeb上の不正請求詐欺手法です。「ワンクリウェア」とは、ユーザーをワンクリック詐欺サイトへ誘導すると共に、金銭の請求メッセージを継続して表示するなどの迷惑な活動を行う不正プログラムです。

今回確認した Android向けワンクリウェアは、アダルト系無償アプリとして公開されていました。トレンドマイクロの調査時点では 3種類のアプリの公開を確認していますが、すべて同一の開発者によるアプリでした。

図1：問題のワンクリウェアは正規Androidアプリ配布サイトであるGoogle Play上で配布されていた

これらのアプリはどれも 2013年3月24日の公開となっており、現時点では 100 ～ 500件のダウンロード数であることが確認できました。また、「メディア＆動画」カテゴリでは 3月26日前後からダウンロードランキングに登場し、現在まで着実にランキングを上げていることも確認できました。

ユーザーがこれらのアプリをインストールすると、アプリ上でアダルトサイトが表示されます。このアダルトサイトは年齢認証のあと、不正請求の画面を表示する、典型的なワンクリック詐欺サイトです。

図2：アプリ上で表示されるワンクリック詐欺サイトの表示。一般のアダルトサイト同様に年齢認証が求められる

図3：アプリ上で表示されるワンクリック詐欺サイトの表示。ユーザーの個人情報を把握したかのようにユーザーに誤解させる表示になっている

図4：アプリ上で表示されるワンクリック詐欺サイトの表示。利用料金の名目で 99,500円が請求される。また、3日を過ぎると請求金額が 180,000円に増額される旨の記載は、ユーザーを急かせて判断を鈍らせるソーシャルエンジニアニング手法を狙ったもの

スマートフォンの普及に従って、スマートフォン向けに特化したワンクリック詐欺サイトが確認されるようになってきています。実際に今回のケースで表示されるワンクリック詐欺サイトは、スマートフォンからのアクセス時のみ表示される設定になっていました。また、今回確認されたワンクリウェアの活動について、これまでの不正アプリとは大きく異なる点がありました。これまで確認されてきた不正アプリは連絡帳などの端末内に保存されている個人情報を外部に送信する活動がメインでした。しかし今回のワンクリウェアでは、単純にワンクリック詐欺サイトへ誘導するだけの活動を行い、端末内に保存された個人情報の外部送信を行いません。

図5：今回のワンクリウェアの解析画面。基本的な機能はワンクリック詐欺サイトの表示のみとなっているため、サイト側の調査を合わせて行わないと不正アプリの判断は難しい

Androidアプリについては、インストール時に不要なパーミッションが求められていないか確認する、というセキュリティ上の心がけがよく言われています。しかし、今回のケースでは「ネットワーク通信」のパーミッションしか求められないため、事前の判断は難しいと言えます。

図6：アプリの求めるパーミッションは「ネットワーク通信」だけであり、インストール時点で不審なものとは気づきにくい

現状として「Google Play」上では、特にアダルト系アプリに偽装して不正アプリが公開されているケースが見られます。先日、IPA が発表した 50万回以上ダウンロードされていた不正アプリ（トレンドマイクロ製品では「ANDROIDOS_AIRPUSH」もしくは「ANDROIDOS_LEADBLT」ファミリとして検出対応済み）も、「ポルノセクシーなモデルの壁紙」というアダルト系アプリを偽装する手口で公開されていました。アプリ利用者はこのような攻撃者の手口をよく理解し、アプリの入手時に注意してください。また、スマートフォン向けを含むワンクリック詐欺への注意点と対策ポイントは、以下の Webサイトにわかりやすくまとめられております。是非ご参照ください。

インターネット・セキュリティ・ナレッジ
　・「あなたを狙うワンクリック詐欺にご注意」
　　http://is702.jp/special/1119/partner/12_t/

■トレンドマイクロの対策
トレンドマイクロではAndroid端末向けセキュリティ対策ソフトとして、「ウイルスバスターモバイル for Android」を提供しています。

図7：「ウイルスバスターモバイル for Android」での検出表示

今回のAndroid向け不正アプリは、「ANDROIDOS_ONECLICKFRAUD.A」として検出対応しています。「プライバシースキャン」機能にても、端末に保存されている個人情報が漏洩される危険性を持つアプリとして警告可能です。

また、ワンクリック詐欺サイトのような不正サイトへのアクセスを遮断する対策を、トレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network」の Webサイトの危険性評価技術である「Webレピュテーション」技術により実現しています。

これらの製品や機能を有効にして対策を強化することを、トレンドマイクロでは推奨します。

※解析およびリサーチ：吉川孝志（Regional Trend Labs）