光クロス」はIPoE方式でのみ提供開始。Player」とボット型マルウェアである「Geinimi」を紹介しました。前回の解説では、Androidを狙うマルウェアは、アプリの一部に混入させる形態が大多数であることを指摘しました。ユーザー自身がマルウェアを含むアプリをダウンロードし、インストールすることで感染する「能動型」が多くの割合を占めるということになります。完全にすべてがこの能動型であるわけではなく、その対義的意味となる「受動型」のマルウェアも存在します。受動型とは、ここではユーザーがアプリなどを意識的にインストールすることなく感染してしまうタイプのマルウェアのことを指します。Dream」と呼ばれるマルウェアが発見されました。Dreamという攻撃の総称と捉えた方がよいのかもしれません。Dreamに感染した際に観測できるマルウェア検体の挙動や機能に応じて、いくつかの名称で区別しています。Dreamという名称を総称として扱うことにします。Dreamの特徴について、感染の流れに沿って解説していきます。Marketにマルウェアを含むアプリが公開される事例は何件かあります。Marketであるとしても、マルウェア感染の危険が100%ないことが担保がされないということを十分に認識しておく必要があるでしょう。Source」)」という項目があります。説明には「サードパーティアプリケーションのインストールを許可する」とありますので、この設定にチェックが入っていない状態(筆者の認識ではこれがデフォルトのはずです)であれば、提供元不明のアプリをダウンロードしてインストールしないことになります。Market経由以外の経路で入手したアプリのことを提供元不明という表現にしていることを、改めて認識しておく必要があると思います。Marketから入手しているからマルウェア感染の危険性はないという考え方は、残念ながら現状のAndroidでは通用しない場合があると言えます(もちろん怪しいアプリ、特に海賊版などを安易にインストールすることは全否定で推奨しません)。Dreamは、音楽などいくつかの種類のアプリを装っていました。2.2以前に存在していたOSの脆弱性を突くコードが実行されます。Labで言うところのExploit.AndroidOS.lotoorになります。OSの脆弱性を突くことでルート権限(管理者権限)を奪取し、ルート権限を持たないと書き込みができないエリア(/system/data)に書き込み(つまりインストール)を行います。インストールを行うコンポーネントの中にもAndroidのインストールパッケージであるapkファイルが含まれており、具体的な挙動の代表例としては、端末IDを窃取する、第三者からの指令を受けるところのバックドア(backdoor)としての動きをする、さらには第2・第3のマルウェアをダウンロードするもの(Trojan-Downloader)が挙げられます。Dreamのマルウェアとしての機能は多岐に渡りますが、マルウェア対策を行う上で厄介なものが、ルート権限奪取の部分でしょう。Android上で動作するマルウェア対策ソフトウェアは、市販されているものに関して言えば、一般ユーザー権限での動作しかできません。これはOSの機構・設計上の制約を受けていると言えますが、一般ユーザー権限でしか動作していない以上、ルート権限でしか読み書きができないエリアには作用することができません。Dreamをインストールする前にマルウェア対策ソフトを導入していれば検知できますが、感染後にマルウェア対策ソフトを導入しても駆除できないことになります。●感染対象OSを広げていった「Zeus」ここで、もう1つ別のマルウェアを紹介します。オンラインバンキングなどへのログイン認証情報を狙う「ZeuS」というマルウェアのモバイル版です。ZeuS自体はもともとWindowsに感染するボット型のマルウェアで、多くの感染端末が観測され巨大なボットネットワークを築き上げているものです。これのモバイル端末版と言えるものの事例が「ZitMo」となります。ZitMoが初めて確認されたのは2010年9月ごろのことで、攻撃対象はSymbianでした。BlackBerryを標的とするZitMoが発見され、徐々に感染対象OSを広げていることが観測されていました。Labでの検知名は「Trojan-Spy.AndroidOS.Zitmo.」)。Number)」というSMSを利用したオンラインバンクサイトへの認証情報を窃取するところにあります。Android用のZitMoの挙動はマルウェアとしては非常に単純で、感染端末に発着信するSMSのメッセージをすべてリモートサーバーに転送してしまいます。mTANでは、SMSの中にいわゆるワンタイム認証に相当する情報が記載されていますので、攻撃者はそれらのSMSを入手することで感染者のオンラインバンクサイトへの認証情報を窃取していきます。マルウェアとしての機能は、技術的には単純といえますが、裏を返せば攻撃者はさほど難解な技術を駆使せずとも機微な情報を窃取できるともいえます。mTANの仕組みとOS・アプリの機構が課題を持っているといえます。mTANではSMSを介して認証情報をやり取りするため、攻撃者が欲する情報はSMSに絞られます。Androidでは、SMSクライアントが他のアプリにSMSをトリガーとするサービスを提供できるように読み取り許可を与えているものがあります。これにより、SMSを介したサービスで円滑に情報をやり取りできるのですが、相手がマルウェアであろうと正当なアプリであろうとその機能は使用できてしまうのです。●ZitMoにみるソーシャルエンジニアリングの一面そもそも、どうしてユーザーはZitMoに感染してしまうのでしょうか。ZitMoも他のAndroidのマルウェアと同じく、マルウェア入りのアプリをインストールすることで感染します。ユーザーがそのようなアプリをインストールしたくなるような「仕掛け」が攻撃者によってなされているのです。過去の連載で紹介したような、いかにも怪しいサイトに置かれているアプリは、人の欲望をくすぐることでインストールさせようとするものでした。Playerはポルノサイトに置かれていましたし、Geinimiは本来有料のアプリが無償で配布されていました。Marketにあったものですから、「まさか公式サイトにマルウェアがあるとは」というある種の信頼感の隙(心の隙)を突いたという見方もできると思います。ZitMoは、これらとはさらに一味違う面を持ちます。Android向けのZitMoは、Trusteerという企業のセキュリティソフトとして配布されました。配布の手法としては、単にダウンロードサイトに設置するのではなく、わざわざ「オンラインバンキングには強固なセキュリティ対策が必要」「SMSはテキストのメッセージのやりとりなので、それを保護するソフトウェアが必要」などというメッセージをユーザーに示し、インストールさせようとします。インストールされるソフトウェアがZitMoの本体であり、前述のとおりAndroid端末に発着信するSMSのコピーを勝手にリモートサーバーに送ります。ZitMoのダウンロード、インストールを促す画面。信頼できるセキュリティソフトウェアである旨の文言が並ぶ。画面中段やや下のOS選択で「Android」を選択した場合のみセキュリティソフトウェア(実体はZitMo)の導入を強く勧める文言が躍る。ダウンロード先のURLも記載されているこのように、Androidマルウェアの中には、人間心理の隙を突く手法でアプリをインストールさせるような悪質な仕掛け(つまりソーシャルエンジニアリング)に長けたものがよく見受けられます。ユーザーにとっては十分な注意が必要ですが、具体的に何に注意すればよいのか一言で説明するのはなかなか難しいでしょう。筆者個人の感覚としては、ユーザー自身の意思とは別に導入を促して来るようなアプリは、その時点でいったん「これは何?」と考え留まる用心深さが求められている気がします。株式会社カスペルスキーに所属し、チーフセキュリティエヴァンゲリストとしてマルウェアおよびインターネットセキュリティに関する調査啓蒙活動に従事するほか、社外NPO法人や各種団体の委員・幹事としても活動している。同社のCSIRT組織であるKLIRRTの代表も務める。