Jokerマルウェアとは何か？Android端末をこの脅威から守る方法

Joker（ジョーカー）マルウェアは、あなたのプライバシーと機密情報を狙う新たな脅威です。近年、世界中のAndroid端末へ感染が拡大し、Google Playストアから複数のアプリが削除される事態となりました。

その名前に反して、Jokerマルウェアは決して「冗談」では済まされない存在です。大切なデバイスとお金を守るためには、Jokerマルウェアが何であり、どのように動作するのかを理解しておくことが不可欠です。

Jokerマルウェアとは何か？

この悪質なマルウェアが「Joker」と呼ばれるのには理由があります。一見すると正規のアプリに擬態し、気づかないユーザーを標的にするからです。なお、Jokerマルウェアは「Bread」という名前で呼ばれることもありますが、両者は同一のものです。

Googleがこの脅威を初めて確認したのは2017年。それ以来、問題は現在も続いています。Jokerマルウェアの背後にいるハッカーたちは、Google Playストアのセキュリティ上の弱点を執拗につき、検出を逃れる手口を次々と編み出しています。

Jokerの開発者たちは、感染アプリをPlayストアのセキュリティチェックを通過させるために、いくつもの手法を使います。実際には、まずマルウェアを含まないクリーンなバージョンのアプリをアップロードして審査を通過させ、その後「アプリのアップデート」と偽ってマルウェアを端末に送り込むという手口も確認されています。

Jokerマルウェアに感染したアプリをインストールすると、ユーザーの許可なく有料サブスクリプションに登録されてしまいます。さらに悪いことに、連絡先、SMSメッセージ、端末情報まで盗み取られる可能性があります。一度被害に遭うとお金を取り戻すのは非常に困難なため、感染する前の予防が何よりも重要です。

Jokerマルウェアの仕組み

Jokerマルウェアに感染したアプリは、個人情報を露骨に要求することはありません。はるかに巧妙な手口で攻撃するため、被害に気づくのが難しくなっています。

初期のJokerマルウェアは、主にSMS詐欺に依存していました。ユーザーのスマートフォンからプレミアム番号へSMSを送信することで、本人に知られることなくサブスクリプションへの登録や支払いを行っていたのです。これらのプレミアムサービスやサブスクリプションプランは携帯キャリアと提携していることが多いため、不正な請求は通常、携帯電話の利用明細に現れます。

2019年初頭、Googleは通話履歴やSMSへのアクセスを求めるアプリに対して規制を強化しました。このポリシー変更により、多くのJoker感染アプリが発見され、Playストアから削除されました。また、Google Play Protectの導入も、Android端末の安全確保に大きく貢献しています。

しかし、Googleの取り組みにもかかわらず、Jokerマルウェアは生き残り続けています。Check Pointの調査によると、以前と同じくらい狡猾な新型のJokerマルウェアが確認されました。今度はSMS詐欺ではなく、Windows向けマルウェアでよく見られる古典的な手口を利用しています。

端末に侵入した後、Jokerマルウェアはコマンド&コントロール（C&C）サーバーから実行可能なDEXファイルをダウンロードします。このコードは、密かにプレミアムサブスクリプションへ登録するために使われ、さらに端末上でサブスクリプション確認の通知が表示されないよう妨害します。

これを実現するために、Jokerマルウェアは「Notification Listener（通知リスナー）」と呼ばれるAndroid機能を悪用します。本来これはアプリが端末の通知へアクセスできるようにする機能ですが、マルウェアはこれを乗っ取り、プッシュ通知に干渉できるようになるのです。

最新バージョンのJokerマルウェアは、さらに巧妙な技術によってGoogleのセキュリティを突破します。Check Pointによれば、「新しい亜種は悪意のあるDEXファイルをBase64エンコードされた文字列としてアプリ内に隠しており、必要に応じてデコードして読み込める状態になっている」とのことです。

つまり、アプリがPlayストアに掲載されている段階ではマルウェアの痕跡は一切なく、ユーザーが実際にダウンロードした時点で初めてその牙をむくのです。

Jokerマルウェアから身を守る方法

Googleは最近、Jokerマルウェアを含む11個のアプリをPlayストアから削除しました。以下のアプリがインストールされている場合は、直ちにアンインストールしてください。

• Compress Image（com.imagecompress.android）
• Contact Message（com.contact.withme.texts）
• Friend SMS（com.hmvoice.friendsms）
• Relaxation Message（com.relax.relaxation.androidsms）
• Cheery Message（2回掲載）（com.cheery.message.sendsms）
• Loving Message（com.peason.lovinglovemessage）
• File Recovery（com.file.recovefiles）
• App Locker（com.LPlocker.lockapps）
• Remind Alarm（com.remindme.alram）
• Memory Game（com.training.memorygame）

これらの悪意あるアプリの多くは代替メッセージアプリとして機能していますが、画像圧縮ツール、目覚まし時計、壁紙アプリなども含まれています。心当たりがある場合は、携帯電話の利用明細とクレジットカードの明細を必ず確認しましょう。見覚えのない取引やサブスクリプションがあれば、それはJokerマルウェアの兆候かもしれません。

Joker感染アプリは外見上は正当なものに見えるため、アプリをダウンロードする際には特別な注意が必要です。上記の画像はJokerマルウェアに感染したアプリの一例ですが、いかにも本物らしく見えませんか？それほどまでに、感染アプリは他の普通のアプリに紛れ込むことができるのです。

また、多くのJoker感染アプリはPlayストア上で偽のユーザーレビューを持っていることにも留意してください。高評価のレビューは信頼感を演出し、ダウンロードを促すための手段として使われています。

幸い、ポイントさえ押さえれば偽レビューを見分けるのはそれほど難しくありません。同じアプリの下に内容が重複するレビューがあれば、それは偽である可能性が高いです。アプリ名に一切言及しない漠然としたレビューも同様に怪しいと言えます。

Playストアで安全でないアプリを見分ける方法を知ることに加えて、信頼できるセキュリティアプリを端末にインストールすることでも自己防衛が可能です。Androidにウイルス対策アプリは不要だと考えている人も多いでしょうが、Jokerマルウェアとの戦いにおいては確実に役立つ存在です。

最後に、本当に信頼できるアプリだけをインストールするようにしましょう。ダウンロードしたいアプリについては、事前に追加の調査を行ってください。少しでも怪しい兆候があれば、絶対に避けるべきです。

Jokerマルウェアの今後はどうなる？

Googleは2020年1月に1,700以上のJoker感染アプリを削除することに成功し、その後、上記の11個のアプリも削除しました。しかし、それで完全に安全になったわけではありません。Jokerマルウェアは依然として存在し続けており、当面は姿を消さないでしょう。Playストアのセキュリティポリシーに絶えず適応しているため、時間とともに進化し続けると考えられます。

では、現時点でもPlayストアの一部のアプリがJokerマルウェアを隠しているのでしょうか？残念ながら、セキュリティプロトコルをすり抜けたアプリが存在する可能性は否定できません。だからこそ、アプリをダウンロードする際には一段と慎重になる必要があるのです。

危険なアプリが存在するからといって、サードパーティサイトからのAPKインストールを諦める必要はありません。安全性を保ちながら、信頼できる安全なAndroid APK配信サイトからダウンロードするようにしましょう。