Securityではこの脅威を注意深く監視してきました。Playerを騙る偽アプリケーションとして登場し、オーストラリア、ニュージーランド、トルコの銀行の顧客をターゲットにしていました。最近、私たちはこのマルウェアが配布方法を変えていることに気づきました。Playerの新バージョン配布を騙る不正ウェブサイトに加えて、ハッキングされたサイト(WordPressやJoomlaを含む)を使用し、このマルウェアを「ポルノ再生ソフト」として配布しています。ユーザーがウェブサイトにアクセスすると、即座に以下のファイルがダウンロードされます。マルウェアが仕込まれたサイトのPornDroidというテーマと、pornvideo.apkというファイル名には、見覚えがあります。Locker(英文)が採用していた手法に非常によく似ています。LockerとSpyLockerは関連があるということなのでしょうか。そこで私たちは、両方のマルウェアの古いサンプルを調べてみることにしました。調査の結果、両者を結びつけるカギと思われるものが見つかりました。これらのサンプルは、目的こそ異なりますが(ランサムウェアとバンキング型トロイの木馬)、両者には類似点があり、そこから、ランサムウェアの作成者が、ある時点で関心の対象をネットバンキングのユーザーにシフトさせたことがうかがえます。いずれのサンプルでも、2つのレシーバーで同一のインテントフィルターと同一のクラス名が使われています。2つのサンプルでは、これらのレシーバー以外にも、Autorun、AdminService、DeviceAdminCheckerなど、さらに多くのクラスが共通して使用されています。SpyLockerは、ハッキングされたウェブサイトによる配布方法に加えて、アダルトサイトを使用してユーザーを引きつけ、マルウェアの自動ダウンロードを動作させようとしています。Playerアプリのように見えます。最近では「アップデート版」を謳っています。アプリが実行されると即座にアイコンがホームランチャーから消えて、マルウェアがデバイスの管理者権限を要求しつづけ、これによってマルウェアを削除しにくくします。ユーザーがアプリのデバイス管理者権限を非アクティブ化しようとしても、マルウェアはデバイスをロックして以下の画面を表示し、ユーザーが画面の背後にある非アクティブ化ボタンを押せないようにします。SpyLockerは、元々オーストラリア、ニュージーランド、トルコの銀行をターゲットにしていましたが、現在ではその他のヨーロッパ諸国でも、バンキングアプリや金融アプリが起動されるのを監視し、フィッシング目的のオーバーレイを表示してバンキングサービスの認証情報を詐取しようとします。以下に示すのは、ポーランドの銀行をターゲットにしたオーバーレイの例です。フランスのユーザーも、最近登場したSpyLockerの亜種のターゲットになっています。英国の銀行をターゲットにした亜種では、また別の、より完成度の高いフィッシングオーバーレイが見つかりました。SpyLockerの最近の亜種では、リモートサーバーからフィッシングオーバーレイを表示する代わりに、アプリ本体にオーバーレイが実装されています。これはおそらく、リモートサーバーが利用できない場合に被害者のデバイスをロックしないようにするためでしょう。実装されたオーバーレイから、私たちはイタリアの銀行をターゲットにする計画があることを発見しました。これまで私たちが発見した亜種にはオーバーレイインターフェースは実装されていません。ロシアの銀行をターゲットにしたオーバーレイインターフェースはすでに実装されていますが、ターゲットの銀行のリストにパッケージ名が含まれていないため、現時点では使用されていません。新しい亜種にいつ搭載されてもおかしくありません。SpyLockerは、Googleをはじめ、InstagramやeBayなどの人気の高いアプリについてもその実行を監視し、Googleをターゲットにしたフィッシングオーバーレイを表示します。その目的は、Googleアカウントの電子メールアドレスやパスワードを取得することだけではありません。現在では、オーバーレイ・ユーザー・インターフェースの各フィールドの入力内容が検証される仕組みになっています。被害者が情報を入力しないか、入力した情報が不正確な場合は(クレジットカードであれば、アルゴリズムによって番号が正しいことを確認します)、オーバーレイはスキップできません。このようにして、被害者が正しい情報を入力するまでデバイスを乗っ取り続けます。クレジットカード番号のフィールドでは、カードの種類を検証し、それに続いて電子取引に必要な認証の第2要素を取得するためのもう1つのフィールドを表示します。SpyLockerはフィッシング機能を持つだけではなく、常に暗号化データをリモートサーバーに送信します。Notation)形式で記述され、感染したデバイスの現在の状態を報告します。データには、デバイス情報、デフォルトのSMSアプリ、マルウェアがデバイス管理者権限をアクティブにしているか、現在ロックされているか、デバイスにターゲットとする銀行のアプリがインストールされているか、受信したSMSの傍受が有効化されているか(smsgrab)、デバイスのルート権限が取得されているか、といった情報が含まれます。この同じデータ形式を用いて、受信ボックス(inboxmessage)のSMSメッセージ、送信済みのSMSメッセージ(sentmessage)、通話履歴(callhistory)、インストール済みのアプリ(instapps)をリモートサーバーに漏洩することもできます。SpyLockerなどのAndroid版バンキング型トロイの木馬は、常に進化しています。新しいターゲットや配布方法を追加し、フィッシングの手口を改良して、詐欺的な電子取引を可能にするために、さらに多くのデータを取得しようとしています。この脅威から身を守るために、モバイル端末にセキュリティソフトウェアを導入してください。Androidのアップデートは、ウェブサイトへの訪問時に自動的にダウンロードされるAPKファイルによって配布されることはないということを覚えておいてください。未知の提供元からダウンロードしたアプリケーションは信用するべきではありません。マカフィーモバイルセキュリティは、Android/SpyLockerのようなAndroidをターゲットにした脅威を検出し、感染している場合はモバイルユーザーに警告する一方、データ損失を防止します。マカフィーモバイルセキュリティの詳細については、以下のサイトを参照してください。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。脅威情報ネットの安全セキュリティ。