ホーム » Android端末向け不正アプリ

有料定期購読に無断で申し込むAndroid向け不正アプリ「Joker」の攻撃手口を解説

投稿日:2021年6月14日
脅威カテゴリ:モバイル, 攻撃手法
執筆:Trend Micro

Joker（別名：Bread）は、Android端末を継続的に狙う最も古くから存在するマルウェアファミリの1つです。Jokerが登場した2017年から2020年初頭にかけて、Googleは1,700個以上の感染アプリをPlay storeから削除しています。またJokerを背後で操る攻撃者は2020年後半に、セキュリティ企業「Zscaler」社が発見したような検体をGoogle Play ストアに追加でアップロードしていたことがわかっています。

トレンドマイクロが実施した以前の調査では、GitHubを利用してペイロードを隠蔽するJokerの亜種を発見しました。このときに変更されたマルウェア内のコードは回避技術として機能します。攻撃者はGitHubやリポジトリを悪用することで、Googleが不正アプリの取り締まりを一貫して実施しているにもかかわらず、Jokerの新たな亜種をGoogle Play ストアに忍び込ませることに成功しています。

これらの不正アプリは以前の検体と類似していることから、単独の攻撃活動だけでなく攻撃キャンペーン全体の一部としても利用されているとトレンドマイクロは推測しています。

(さらに…)

「Earth Empusa」の標的型攻撃で使用されたAndroid向け不正アプリ「ActionSpy」

トレンドマイクロは、サイバー攻撃グループ「Earth Empusa（別名POISON CARPあるいはEvil Eye）」の追跡調査中、新しいAndroid端末向け不正アプリ（スパイウェア）「ActionSpy」（「AndroidOS_ActionSpy.HRX」として検出）を確認しました。Earth Empusa は、2020年第1四半期にはチベットとトルコのユーザをターゲットとして活動し、その後、攻撃対象に台湾を加えたものとされています。また、Earth Empusaによる攻撃キャンペーンは、AndroidとiOS双方のモバイル端末を攻撃対象とし、ウイグル語を使用するユーザを狙うことが報告されています。この攻撃グループは水飲み場攻撃を利用することで知られていましたが、トレンドマイクロでは、フィッシング攻撃の誘導によってマルウェアを配信する攻撃手法も確認しました。 (さらに…)

モバイル広告詐欺を実行する偽クリーナーアプリ、累計47万ダウンロードを確認

トレンドマイクロは、クリーナーやブースターなどAndroid向けユーティリティアプリとしてGoogle Play上で配信されていた不正アプリ（AndroidOS_BadBooster.HRXとして検出）を多数確認しました。これらのアプリは、不正な目的のために、デバイスに表示させる広告の設定を管理するサーバへアクセスして、モバイル広告詐欺（Mobile Ad Fraud）を実行すると共に、感染デバイスへさらに別の不正アプリをダウンロードし感染させます。「ファイルの整理や削除によってデバイスのパフォーマンスを向上させるアプリ」に偽装したこれらの不正アプリは、合計で47万回以上ダウンロードされていました。弊社の調査から、同種の不正活動は2017年から開始されていたことが判明しています。なお、本記事執筆時点においてこれらの不正アプリはGoogle Playストアから削除されています。

(さらに…)

AndroidのUAF脆弱性を利用する不正アプリを初確認、サイバー犯罪集団「SideWinder」が関与か

投稿日:2020年1月20日
脅威カテゴリ:モバイル, 脆弱性, 攻撃手法
執筆:Trend Micro

トレンドマイクロではGoogle Playストアで3つの不正アプリを確認しました。これらのアプリは、連携することでAndroidデバイスを侵害し、個人情報を窃取します。3つのアプリの1つは「Camero」と呼ばれ、Android端末の主要なプロセス間通信システム上に存在する脆弱性「CVE-2019-2215」を悪用し、開放されたメモリへの再アクセスを可能にする「UAF（Use After Free）脆弱性」を悪用した最初の攻撃事例と言えます。しかもさらなる調査の結果、これら3つのアプリは、サイバー犯罪集団「SideWinder」の攻撃ツールの一部である可能性が高いことも判明しました。このサイバー犯罪集団は2012年から活動しており、軍事関係機関で使用されているWindowsベースのシステムを標的にしていることでも知られています。

(さらに…)

標的型攻撃キャンペーンでの使用が推測される偽装スパイアプリ「CallerSpy」を確認

トレンドマイクロでは、不正サイト上で「Apex App」という名称のチャットアプリを偽装した新たな不正アプリを確認しました。この偽装アプリは、諜報活動に関する様々な動作を示すことから、標的型攻撃キャンペーンに使用される目的で作成されたものと推測されます。トレンドマイクロでは、2019年5月にこの不正サイト上で当時は「Chatrious」という名称のチャットアプリとして説明されていた偽装アプリを確認しています。サイト上のダウンロードボタンを利用者がクリックすることで、不正な「Androidアプリケーションパッケージ（APK）」のファイルがダウンロードされます。

(さらに…)

新しい検出回避機能を備えたAndroid向けアドウェアがGoogle Playから拡散

投稿日:2019年11月27日
脅威カテゴリ:モバイル, 攻撃手法
執筆:Trend Micro

トレンドマイクロは、Android向けの正規アプリマーケットである「Google Play」上で新たに、ゲームアプリやカメラアプリを偽装した49個の不正アプリを確認しました。これらは、モバイルデバイス内に隠れて広告を表示させる典型的なアドウェアですが、同時にアンインストールおよび検出を回避する機能も備えていました。これらのアドウェアはすでにGoogleによってGoogle Playから削除されています。ただし、削除される前には合わせて300万を超えるダウンロード回数を確認しており、多くの利用者が被害に遭ったものと考えられます。

(さらに…)

Android端末向けバンキングトロジャン「Anubis」が再登場、17,000個以上の検体を確認

トレンドマイクロは、2018年のモバイルの脅威動向において、オンライン銀行詐欺ツール（バンキングトロジャン）が検出回避とさらなる収益化を目的として戦略と手法を多様化していることを報告しました。Android端末向け不正アプリ「Anubis」の場合、通常のバンキングトロジャンでは見られないようなその他の不正活動のための機能も備えています。初めてAnubisが確認されて以来、サイバー諜報活動を目的とした使用から、情報窃取とランサムウェアのような機能を組み合わせたバンキングマルウェアへの変化まで、Anubisにはいくつかの変更が施されました。2019年1月中旬には、サンドボックス解析を回避するためのモーションセンサの利用や個人情報（Personally Identifiable Information、PII）を窃取するオーバーレイ画面など、Anubisが多数の手法を使用したことが確認されました。
(さらに…)

宅配偽装SMSによるスマートフォンへの攻撃でまた新たな手口

宅配荷物の不在通知を偽装するSMSの攻撃は継続してその手口を変化させています。前回3月の記事では新たに携帯電話事業者Webページを偽装した手口をお伝えしましたが、この4月にはまた別の事業者のWebページを偽装する手口にシフトしてきました。この不正アプリ拡散をねらう偽装SMSの攻撃では、去年前半にも活発に詐称する業者を変えていましたが今後も同様の変化に注意が必要です。

(さらに…)

国内スマートフォン利用者を狙う新たな動きを詳細解説

投稿日:2019年4月3日
脅威カテゴリ:不正プログラム, モバイル
執筆:Trend Micro

偽装SMSを発端とする国内スマートフォン利用者を狙った攻撃の継続と新たな変化については3月15日の記事にてお知らせしました。本記事ではその新たな変化についてより詳細な解析をお伝えします。この攻撃で使用されるAndroid向け不正アプリとして、トレンドマイクロは「XLoader」の新しい亜種（「AndroidOS_XLoader.HRXD」として検出）の拡散を確認しました。2018年12月11日の記事で報告した以前のバージョンは、FacebookやChromeのような正規アプリに偽装して情報を窃取するAndroid端末向け不正アプリでした。今回確認された亜種は、Android端末に対しては正規セキュリティアプリに偽装して端末に侵入します。また、iPhoneなどのiOS端末に対してはiOSの構成プロファイルをインストールさせることで端末情報を窃取します。このようなデプロイ手法に加えて、コマンドや、コマンド&コントロール（C&C）サーバのアドレスを隠ぺいするSNSの種類にも変化が確認されました。新しい亜種は、前回の調査における最新バージョンに続けて6.0とラベル付けされています。

■感染の流れ

図1：XLoaderの感染の流れ

(さらに…)

継続する偽装SMS：今度は携帯電話事業者サイトの偽装とiOSを狙う不正プロファイル

昨年2018年を通じ拡大した宅配業者の偽装SMSを発端としたAndroid不正アプリ拡散を狙う攻撃は、現在も続いています。またAndroid端末だけでなく、iPhoneなどiOS端末でアクセスした場合にもフィッシングサイトへ誘導する動きも確認されており、スマートフォンを中心としたモバイル機器全体を狙う攻撃となっていることはこれまでも報告してまいりました。この国内のモバイル機器全体を狙う継続した攻撃の中で、新たな動きが２つ確認されました。1つは誘導先の不正サイトが詐称する企業の変化です。これまでの宅配業者から新たに、携帯電話事業者Webページの偽装が確認されました。もう１つは、誘導先の不正サイト上でiOS端末の固有情報を窃取するために不正な構成プロファイルを使用する手口です。

(さらに…)

Page 1 of 312 3