クリッパーマルウェアとは？Androidユーザーへの影響と対策を徹底解説

2019年1月8日、Google Playストアで初めて「クリッパーマルウェア（Clipper Malware）」が確認されました。このマルウェアは無害なアプリを装ってユーザーを欺きダウンロードさせた後、暗号資産（仮想通貨）の送金先を密かに差し替え、資金をマルウェア作者のもとへ横取りするというものでした。

では、クリッパーマルウェアとはどのようなものなのでしょうか。その仕組みと、攻撃から身を守る方法について詳しく見ていきましょう。

クリッパーマルウェアとは何か？

クリッパーマルウェアは、取引の際に使われる暗号資産のウォレットアドレスを標的とするマルウェアです。ウォレットアドレスとは、いわば暗号資産版の銀行口座番号のようなものです。誰かに暗号資産を送ってもらいたい場合、自分のウォレットアドレスを相手に伝え、相手はそれを送金先として入力します。

クリッパーマルウェアは、この取引を乗っ取ります。具体的には、ユーザーがコピーした正規のウォレットアドレスを、マルウェア作者が所有する別のアドレスにこっそりと入れ替えるのです。その結果、ユーザーが送金を実行すると、本来の受取人ではなくマルウェア作者にお金が支払われてしまいます。

高額な取引が乗っ取られれば、深刻な経済的損失につながる可能性があります。

クリッパーマルウェアの仕組み

クリッパーマルウェアは、感染したデバイスの「クリップボード」を監視することでアドレスのすり替えを行います。クリップボードとは、コピーしたデータが一時的に保存される場所のことです。ユーザーがデータをコピーするたびに、クリッパーマルウェアはその内容をチェックし、暗号資産のウォレットアドレスが含まれていないかを確認します。もし含まれていれば、マルウェア作者自身のアドレスに置き換えてしまうのです。

こうして、ユーザーがアドレスを貼り付ける際には、正規のアドレスではなく乗っ取られたアドレスが貼り付けられることになります。

クリッパーマルウェアは、ウォレットアドレスの複雑さを悪用しています。ウォレットアドレスは、ランダムに選ばれたような長い英数字の文字列です。同じアドレスを何度も使ったことがあるユーザーでなければ、アドレスがすり替えられたことに気づく可能性は極めて低いでしょう。

さらに厄介なことに、アドレスが複雑であるほど、人は入力ミスを避けるためにコピーアンドペーストを使いがちになります。これはまさにクリッパーマルウェアが望む行動なのです。

クリッパーマルウェアの歴史

クリッパーマルウェア自体は新しいものではありません。2017年頃に出現し、当初は主にWindows搭載PCを標的としていました。その後、Android向けのクリッパーマルウェアが開発され、闇市場で販売されるようになりました。また、怪しいサイトでは感染アプリが配布されていました。

こうしたサイトは、2016年に100万台のデバイスに感染した「Gooligan」マルウェアの温床ともなった場所です。

しかし、公式のGoogle Playストア上のアプリがクリッパーマルウェアに感染したのは、これが初めての事例でした。感染アプリを公式ストアにアップロードすることは、マルウェア配布者にとってまさに夢のシナリオです。Google Playストアのアプリには一定の信頼性があるため、無名のウェブサイトで見つかるアプリよりも信用されやすいからです。

つまり、多くの人はストアのアプリを疑うことなくダウンロード・インストールしてしまうのです。これはマルウェア作者にとって好都合な状況といえます。

どのアプリにクリッパーマルウェアが含まれていたのか？

今回のクリッパーマルウェアは、「MetaMask」という名前のアプリに潜んでいました。MetaMaskは実際に存在するサービスで、イーサリアム（Ethereum）向けのブラウザベース分散型アプリケーションを利用可能にするものです。当時、MetaMaskには公式のAndroidアプリが存在しなかったため、マルウェア作者はこの隙間を突き、「公式アプリがある」と思わせてユーザーを騙したのです。

この偽MetaMaskアプリは、クリップボード内の暗号資産アドレスをすり替えるだけでなく、偽のアカウント設定の一環としてユーザーのイーサリアム関連情報の入力も求めていました。疑いを持たないユーザーが情報を入力すると、マルウェア作者はアカウントにログインして残高を根こそぎ引き出すのに必要な情報をすべて手に入れてしまったのです。

幸いにも、セキュリティ企業が大きな被害が出る前にクリッパーマルウェアを発見しました。偽MetaMaskアプリは2019年2月1日にアップロードされ、約1週間後に報告・削除されています。

増加する暗号資産関連の攻撃

この攻撃手法は新顔ですが、驚きというほどのものでもありません。現在、暗号資産は非常に大きなビジネスとなっており、巨額の富を生み出す可能性を秘めています。ほとんどの人は合法的な手段で利益を得ようとしますが、他人を搾取して儲けようとする者は必ず存在します。

世界中のマルウェア作者に特に人気があるのが「クリプトジャッカー（Cryptojacker）」です。これはデバイスのプロセッサを乗っ取り、エンドユーザーに気づかれないようにマルウェア作者のために暗号資産を採掘させるものです。

今回のクリッパーマルウェアの事例と同様に、セキュリティ企業はGoogle Playストアのアプリに感染するクリプトジャッカーも発見しています。Androidスマートフォンを標的とした暗号資産関連マルウェアの攻撃は、まだ始まりにすぎないかもしれません。

クリッパーマルウェア攻撃を防ぐ方法

少し怖く聞こえるかもしれませんが、クリッパーマルウェア攻撃を回避するのは実は簡単です。クリッパーマルウェアは、ユーザーがその存在を知らず、警告サインを見過ごすことに依存しています。仕組みを理解することが対策の第一歩であり、この記事を読んだ時点で、あなたはすでに防御の9割を終えているといえるでしょう。

1. アプリは必ずGoogle Playストアから入手する

まず、アプリは必ずGoogle Playストアからダウンロードしましょう。Google Playも完璧ではありませんが、ネット上の怪しいサイトよりはるかに安全です。「サードパーティストア」のように振る舞うAndroid向けアプリ配布サイトは避けるのが賢明です。そうしたサイトはGoogle Playよりもマルウェアを含む可能性が格段に高いからです。

2. ダウンロード数と開発元を確認する

Google Playでアプリをダウンロードする際は、インストール前に総ダウンロード数をチェックしましょう。リリースされて間もないアプリやダウンロード数が少ないアプリは、リスクが高い傾向があります。また、有名サービスのモバイル版を名乗るアプリの場合は、開発者の名前を必ず確認してください。公式開発者の名前と少しでも異なる場合は、何かがおかしい重大な警告サインです。

3. 貼り付けたアドレスを必ず再確認する

たとえスマートフォンがクリッパーマルウェアに感染していても、注意深ければ攻撃を防げます。貼り付けるウォレットアドレスが、コピーしたものから途中で変わっていないか必ずダブルチェックしましょう。貼り付けたアドレスがコピーしたものと異なる場合、クリッパーマルウェアがシステムに潜んでいる証拠です。

その場合は、フルのウイルススキャンを実行し、最近インストールした不審なアプリを削除してください。

まとめ：クリッパーマルウェアの脅威を封じ込める

クリッパーマルウェアは、大量の暗号資産を扱う人にとって壊滅的な打撃をもたらしうる脅威です。ウォレットアドレスの複雑さと、ユーザーがコピーアンドペーストを多用する習慣が組み合わさることで、クリッパーマルウェアには攻撃の好機が生まれます。気づいたときには手遅れになっている人も少なくないでしょう。

幸い、クリッパーマルウェアを退治する方法はシンプルです。不審なアプリは絶対にダウンロードせず、取引を確定する前にすべてのウォレットアドレスを必ず再確認すること。この2つの習慣だけで、被害のリスクは大幅に下がります。

モバイルデバイス上のマルウェアが心配な方は、スマートフォンのセキュリティ強化方法についてもぜひチェックしておきましょう。