Playで確認しました。これらの不正アプリは、偽のアンケート調査ページを自動的にポップアップさせる機能や、広告の自動クリックのような機能を備えています。Playで公開されています。解析した検体のモジュール化された機能には1.0というバージョンが付けられており、サイバー犯罪者は、ボットネットを利用した攻撃のような将来の不正活動に備えて機能を追加している過程にあると考えられます。Playへの公開が進められています。この不正アプリのアップロード数およびダウンロード数の増加は、今後も継続的な監視が必要であることを示しています。Playから削除されています。本記事では偽アプリの1つを例に挙げ、共通する挙動について解説します。トレンドマイクロは、7つのアプリケーションIDを特定し、検体を解析しました。Playへの公開が続くと予想されます。Playにアップロードされた偽アプリ(「ANDROIDOS_FRAUDBOT.OPS」として検出)は、モジュール化された軽量なダウンローダを利用することにより、不正アプリとは気づかれないようにユーザのデバイスを侵害しようとします。複数の偽アプリが公開されていますが、コードが類似していることから、それらは同一の作成者によるものだと考えられます。この偽アプリがダウンロードされると、最初のコンポーネントがコマンド&コントロール(C&C)サーバに接続し、ペイロードを復号して実行します。図3:ペイロードを実行するメソッドこのペイロードは以下のように実行されます。モジュール「Icon」が、ユーザによるアンインストールを防ぐために偽アプリのアイコンを非表示にする。モジュール「Wpp」が、Webブラウザを開き任意のURLにアクセスする。Information、PII)を収集します。このアンケートフォームは、Android端末に設定された既定のWebブラウザを利用して読み込まれます。Mini」、「Puffin」、「UC」のいずれかを利用してアンケートフォームが読み込まれることがC&Cサーバの応答から確認されています。図6:ユーザ情報収集のためのアンケートフォームモジュール「Wpp」は、ランダムなタッチイベントにより広告への不正クリックを生成します。言語ライブラリ「C-Ares」を統合した動的ライブラリとして、名前解決機能を担います。サーバとの通信は確認することができませんでしたが、この機能は現在も開発中だと考えられます。削除されていることを確認しています。検出回避機能を進化させた亜種が、今後も確認されると考えられます。今回の事例は、サイバー犯罪者がどれほど容易に不正アプリの機能を変化させることが可能であるかを示しています。モバイル端末のための包括的なセキュリティ対策により、このような脅威からデバイスを保護してください。Security」を提供しています。サイトのブロックに対応しています。IoCs)「AndroidOS_FraudBot.OPS」として検出される不正アプリのアプリケーションIDおよびSHA256値は以下の通りです。PlayでのURLは以下の通りです。hxxps://play[.]google[.]com/store/apps/details?id=com.bitv.freeaudiomessageshxxps://play[.]google[.]com/store/apps/details?id=com.wififree.messengerhxxps://play[.]google[.]com/store/apps/details?id=com.onlinevoice.playerapphxxps://play[.]google[.]com/store/apps/details?id=com.bestvoice.messengerhxxps://play[.]google[.]com/store/apps/details?id=com.netaudio.vamhxxps://play[.]google[.]com/store/apps/details?id=com.voicedata.justvoicemessengerC&Cサーバは以下の通りです。