月に確認された「SLocker」の亜種は、感染端末のファイルを暗号化するランサムウェアでした。端末向けランサムウェア「LeakerLocker(リーカーロッカー)」(「ANDROIDOS_LEAKERLOCKER.HRX」として検出)は、遠隔サーバに送信した個人情報を連絡先に登録されたすべての宛先に転送すると脅すことによってユーザの恐怖心をあおります。Recorder」です。含んでいたことを考えると、その可能性は極めて高いと言えます。上で確認できますが、今回確認された不正アプリとの関連は分かっていません。これは、正規アプリに紛れ込ませるために、攻撃者が一般的なアプリを模倣して不正アプリを作成したと考えるのが自然です。Recorder」を取り上げ、詳細に解説します。ような手順で感染することが判明しました。ダウンロードされます。ダウンロードされると、この不正アプリは、まず、連絡先の件数、写真の枚数、および最近の通話履歴の件数を取得し、あらかじめ定義してある数値と比較します。十分な件数の連絡先、写真、および最近の通話履歴が無かった場合、不正コードは実行されません。分待機してから不正なコードを実行します。このような遅延実行は、セキュリティ対策製品による振る舞い検知を回避するためによく使われる手法です。利用しているかどうかを確認し、接続していた場合は切断します。次に、モバイルデータ接続状況を確認し、利用不可能な場合はそれ以上の動作を行いません。「リファラ」を利用するために最後の確認を行います。当該アプリに送信する情報で、通常は配布元を追跡するために利用されます。遠隔サーバにアクセスする際のパラメータとしてもリファラを利用します。通してインストールされ、その場合にのみ不正活動を行います。「hxxp://updatmaster.top/click[.]php」にリクエストを送信し、この通信が成功すると不正活動を起動するメッセージが送り返されます。この“x.ld.Ld”は「hxxp://176.9.18.91」と通信して、次の指令を受信します。アーカイブファイル(JAR)に関する情報が含まれています。ファイルとその設定情報をダウンロードすることが確認できます。ファイルは、実行後に削除されます。ファイルのうち、“u.jar”は実行されませんでした。ファイルをダウンロードし実行します。ファイルは“Support.jar”として保存され、「hxxp://5.9.65.235:18080」から受信した指示に従って動作します。リクエストの乗っ取り等を実行できることが分かりました。これらの機能は現時点では使われていないようです。その他の個人情報を取得するコードが含まれています。コードは確認されませんでした。他の亜種から取得したものです。脅迫内容を実行するコードは確認されていません。個人情報が公開されるというユーザの恐怖心をあおる手法は効果的です。心理的なレベルでユーザに働きかけます。ランサムウェア自体は何もしないとしても、そうすることができると脅すだけで、実際に何かをするのと同様の効果が得られるということです。コマンド&コントロール(C&C)サーバからコードをダウンロードして実行する機能を備えています。ファイルをダウンロードして実行できるということは、より広範な不正活動を実行する可能性を持っているということを意味します。モバイル端末のユーザは、自身の端末を可能な限り外部の攻撃からも守る必要があります。つの方法は、アプリのレビューをよく読み、疑わしいコメントが無いか確認することです。加えて、端末を常に最新の状態に保ち、必要な修正プログラムがすべて適用されていることを確認してください。Security」を提供しています。サイトのブロックに対応しています。アプリ、データ保護、および環境設定の管理を提供するとともに、脆弱性を利用した攻撃から端末を保護し、不正なアクセスを防止します。アプリの名称の誤字を修正しました。