Android版「エージェント・スミス」マルウェアとは?感染の見分け方と削除方法を徹底解説

スマートフォンを標的とする新型マルウェア「エージェント・スミス(Agent Smith)」が、全世界で約2,500万台のデバイスに感染していることが判明しました。そのうち約1,500万台はインドのデバイスです。このマルウェアはAndroid OSを狙い、ユーザーに気づかれることなくインストール済みの正規アプリを悪意あるバージョンへと密かに置き換えます。

本記事では、エージェント・スミスの見分け方、対処法、そして今後のAndroidマルウェア対策について詳しく解説します。

エージェント・スミスマルウェアとは?

エージェント・スミスは、Androidの一連の脆弱性を悪用して、既存の正規アプリを悪意ある偽物に置き換えるモジュラー型マルウェアです。この悪意あるアプリはデータを盗み出すのではなく、置き換えられたアプリを通じて大量の広告を表示したり、すでに配信された広告の代金として端末からクレジットを不正に消費したりします。

このマルウェアが「エージェント・スミス」という名を持つのは、映画『マトリックス』シリーズに登場する、ウイルスのようなキャラクターにちなんだものです。Check Pointの調査チームは、このマルウェアの感染拡大手 法が劇中のエージェント・スミスのテクニックと類似していると指摘しています。

Check Point Software Technologiesのモバイル脅威検知調査責任者ジョナサン・シモノビッチ氏は、ブログ記事の中で次のように述べています。
「このマルウェアはユーザーがインストールしたアプリを静かに攻撃するため、一般的なAndroidユーザーが自力でこうした脅威に対抗するのは困難です。高度な脅威防止機能と脅威インテリジェンスを組み合わせ、『衛生管理ファースト』のアプローチでデジタル資産を守ることが、エージェント・スミスのような侵入型モバイルマルウェア攻撃に対する最善の防御策となります」

さらに、エージェント・スミスは膨大な数のデバイスに感染を広げています。インドが圧倒的に多く、Check Pointの調査では約1,500万台が感染。次いでバングラデシュで約250万台、米国では30万件超、英国でも約13万7,000件の感染が確認されています。

エージェント・スミスマルウェアの仕組み

Check Point Researchによると、エージェント・スミスマルウェアは、中国のAndroid開発者が海外市場でアプリを公開・宣伝するのを支援する中国企業に起源を持つと考えられています。

このマルウェアが最初に出現したのは、サードパーティ製アプリストア「9Apps」です。同ストアはインド、アラブ諸国、インドネシアのユーザーを主なターゲットとしており、これらの地域で感染が多発した理由を説明しています(サードパーティ製ストアからのアプリダウンロードを避けるべき、まさに好例といえるでしょう)。

エージェント・スミスマルウェアは、次の3段階で動作します。

1. ドロッパーによる導入:ドロッパーアプリが被害者を誘い込み、自発的にマルウェアをインストールさせます。初期のドロッパーには暗号化された悪意あるファイルが含まれており、通常は「ほとんど機能しない写真ユーティリティ、ゲーム、成人向けアプリ」などの形を取ります。
2. 悪意あるファイルの展開:ドロッパーが悪意あるファイルを復号してインストールします。マルウェアは「Google Updater」「Google Update for U」「com.google.vending」などを装って、自身の活動を偽装します。
3. アプリの置き換え:本体となるマルウェアがインストール済みアプリのリストを作成します。アプリが「獲物リスト」と一致すると、悪意ある広告モジュールでターゲットアプリにパッチを適用し、まるで普通のアップデートのように元のアプリを置き換えます。

獲物リストには、WhatsApp、Opera、SwiftKey、Flipkart、Truecallerなどが含まれていました。

興味深いことに、エージェント・スミスは「Janus」「Bundle」「Man-in-the-Disk」といった複数のAndroid脆弱性を組み合わせて使用しています。この組み合わせにより3段階の感染プロセスが実現し、マルウェア配布者は広告経由で収益化されたボットネットを構築できます。Check Pointの調査チームは、エージェント・スミスは複数の脆弱性を統合して武器化した「おそらく初めて確認されたキャンペーン」であり、「考えうる限り最も悪質なマルウェア」だと評価しています。

エージェント・スミスマルウェアのモジュール構成

エージェント・スミスマルウェアは、以下のモジュールで構成されるモジュラー構造によってターゲットに感染します。

• ローダー(Loader)
• コア(Core)
• ブート(Boot)
• パッチ(Patch)
• AdSDK
• アップデータ(Updater)

ドロッパーは、悪意あるローダーを内包した再パッケージ化された正規アプリです。

ローダーがコアモジュールを抽出・実行すると、コアモジュールはマルウェアのコマンド&コントロール(C&C)サーバーと通信します。C&Cサーバーから獲物リストが送信され、該当するアプリが見つかると、マルウェアは脆弱性を利用してブートモジュールを再パッケージ化されたアプリへ注入します。

感染したアプリが次回起動されると、ブートモジュールがパッチモジュールを実行し、パッチモジュールはAdSDKモジュールを使って広告を表示し、収益の生成を開始します。

エージェント・スミスのもう一つの厄介な特徴は、1つのアプリで留まらない点です。獲物リストに複数のアプリが一致すれば、それぞれを悪意あるバージョンに置き換えます。さらに、再パッケージ化されたアプリへ悪意ある更新パッチを送り込み続けるため、感染が持続し、新しい広告パッケージが表示され続けるのです。

Google Playからのエージェント・スミスアプリの削除

エージェント・スミスの主な感染源はサードパーティ製アプリストアの9Appsでしたが、Google Playも無傷ではありませんでした。Check Pointは、Google Playストア上でエージェント・スミスの攻撃者に関連する「悪意があるものの休眠状態の」ファイル群を含む11個のアプリを発見しています。Google Play版のエージェント・スミスはやや異なる感染拡大手 法を使いますが、最終的な目的は同じでした。

Check Pointがこれらの悪意あるアプリをGoogleに報告した結果、該当アプリはすべてGoogle Playストアから削除されました。

Androidでエージェント・スミスを見つけて削除する方法

エージェント・スミスは比較的簡単に見つけられます。普段使っているアプリが突然、異常な量の広告を表示し始めたら、それは何かがおかしい明確なサインです。また、マルウェアが表示する広告は閉じるのが難しい、あるいは不可能であることも大きな兆候です。ただし、エージェント・スミスは広告以外ほぼ静かに動作するため、アプリの微妙な変化に気づくのは非常に困難です。

なお、アプリが突然大量の広告を表示するのは、エージェント・スミスだけの特徴ではありません。他の種類のAndroidマルウェアも収益増加のために広告を表示します。Jokerなど、別の種類のAndroidマルウェアに感染している可能性もあることを覚えておきましょう。

何か違和感を覚えたら、まずデバイスでアンチマルウェアまたはアンチウイルススキャンを実行してください。

最初におすすめしたいのが、定評あるアンチマルウェアツールのAndroid版「Malwarebytes Security」です。ダウンロードしてフルシステムスキャンを実行すれば、悪意あるアプリを検出・削除できるはずです。

それでもエージェント・スミスやその他のAndroidマルウェアが残る場合は、工場出荷時リセットなしでAndroidマルウェアを除去するガイドを参照することを強くおすすめします。より多くのマルウェア除去アプリの紹介に加え、データを一切失わずにデバイスをクリーンアップするためのステップバイステップガイドも掲載しています。