変更が確認されました。同亜種では、デバイスからの削除を困難にする変更不能な属性が始めて確認されました。具体的には、インストール済みアプリケーションのapkファイルに上記の属性が追加された後、このアプリケーションの削除が正常に実施されたかのように見え、その内容も削除されました。apkファイル自体はそのまま残っており、デバイスの再起動後、このアプリケーションは再び出現しました。2016年、同ファミリーに属する亜種に関するニュースが掲載されました。防御対策として、Dr.Webアンチウイルスではファイル属性を削除できるオプションが実装されました。このオプションを使うには、root権限をアンチウイルスに付与する必要があります。新種が用いる新たな自己防御方法について、詳しく報告します。バージョン5.1以前のOSを標的にしています。バージョン5.1が2015年にリリースされたことを考えると、まだこのような古いバージョンを狙うマルウェアがまだ存在していることが不思議に思われます。5.1以前のバージョンに対応したデバイス数が全体の25.2%を占めていることが分かります。弊社製品のユーザーを基にした統計データによると、前述の数値を若干上回り約26%となります。デバイスの約25%がトロイの木馬の標的となる可能性があると言えます。ウイルス作成者に狙われる根拠は明白です。様々な脆弱性を悪用することにより、root権限が取得されると、デバイスは乗っ取られ、犯罪者によってアプリケーションがインストールされることとなります。主な目的は、ユーザーの許可を得ずにデバイス上にアプリケーションをインストールすることです。同トロイの木馬ファミリーの作成者は、インストールの都度、料金が支払われる犯罪者間のパートナープログラムに参加しており、これを主な収入源として金銭を得ているといっても間違いではありません。一部の同ファミリーに属する亜種が起動されると、ユーザーにとって全く不要な多数のアプリケーションがインストールされてしまいます。そのほとんどは悪意のないアプリケーションですが、コントロールサーバーから送信されるコマンドによっては、悪意のあるソフトウェアがインストールされる可能性もあります。亜種には、非常に興味深い自己防御メカニズムが実装されています。下記は、確認された削除から守るための二つのコンポーネントです。置き換えられ、自動起動を可能にします。付与され保存されます。事実上のコンパニオンウイルスとして挙動します。コマンドラインのパラメーターにより転送されたフォルダー内に含まれる複数の実行ファイルをシステムディレクトリにコピーします。その他に、特別なパラメーターを指定して起動した場合には、アップデートされたコンポーネントが保存されるフォルダーが指定されていると、コンポーネントをアップデートすることさえ可能にします。Triada)のパス等が含まれています。一部のプリインストールアプリケーションを削除します。その理由としては、恐らく、ストレージの空き容量を増やす目的と考えられます。削除するため、ユーザーが、システムディレクトリ上にインストールされたトロイの木馬のコンポーネントを削除するために必要なroot権限を利用できない状態となっています。Android.Xiny.5260弊社では、このファイルを特に興味深いものと考え、今回の調査はこれを対象にスタートしました。セクションの終わり付近に実行コードが見られ、これは不審なものです。次にIDAでファイルを開き、コードをチェックします。各ルーチンに変更が加えられたことが確認できます。値がチェックされます。ディレクトリへ書き込みが許可された状態で再マウントされたかを確認します。ルーチンは呼び出されず、エラーとなります。ディレクトリを再マウント出来るプロセスはありません。含まれるか否かが確認されます。上記の条件のいずれか一つを満たすと、実行はブロックされます。アプリケーションのディレクトリのパスであるため、一般のアプリケーションがファイルを作成できる全てのディレクトリからのファイル実行がブロックされることとなります。変更が加えられたことにより、root権限の取得に必要なアプリケーションの動作を妨害することができます。各ルーチンへの変更により、そのようなアプリケーションは、エクスプロイトを用いて権限を昇格することはできなくなります。一般的に、エクスプロイトは、インターネットから該当アプリケーションのディレクトリへダウンロードされた後に起動される実行ファイルであるためです。より、システムディレクトリを書き込み権限で再マウントすることが不可能であるため、システムディレクトリに変更を施すこともできなくなります。ライブラリの二つの部分から構成されると言えます。興味深いことに、この防御メカニズムは、競合するトロイの木馬への対策にもなります。それは、ライバルとなる他のトロイの木馬も正常なアプリケーションと同様のパターンでroot権限を取得し、取得後にシステムディレクトリにインストールされるためです。削除する方法の一つとなります。その他には、複雑ではあるものの幾つかの方法があります。ライブラリとして実行されるエクスプロイトを用いることが可能です。実行ファイルとは異なり、このようなエクスプロトのダウンロードは、トロイの木馬によりブロックされません。同トロイの木馬に含まれた他のコンポーネントに対しroot権限を与える、トロイの木馬自体のコンポーネントを使用することが、もう一つの方法となります。ソケット経由でコマンドを受信しています(具体的なパスは亜種により異なります)。呼び出すという方法も考えられます。ご利用のデバイスがこのトロイの木馬に既に感染している場合には、ファームウェアの書き換えを行うためにデバイスベンダーが提供する正規のOSイメージの利用が推奨されます。この場合、全てのユーザーファイルおよびプログラムが削除されるため、予めバックアップを作成する必要があります。commentsロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。1992年に製品の開発をスタートしました。Dr.Webは世界200ヶ国以上のユーザーに利用されています。年、アンチウウイルスサービス(SaaS)の提供が開始しました。Webは、ロシアに本社を置く、『Dr.Webアンチウイルスソフトウェア』のデベロッパーです。その製品の開発は1992年に始まりました。Androidダウンロード購入このウェブサイトを継続して訪問する場合、訪問者に関する統計データを収集するためのCookieファイルおよび他のテクノロジーを弊社が利用することに同意したものとします。