Google Playのアプリから50万台に感染した広告マルウェア「Andr/HiddnAd-AJ」の手口と対策

アプリのセキュリティについて語られるとき、必ずと言っていいほど登場するアドバイスがあります。それは「アプリは必ず公式ストアからダウンロードしよう」というものです。確かにこれは最も正しいアドバイスですが、残念ながら完全に安全を保証するものではありません。APKストアのウイルス検出システムを巧みにかいくぐるアプリは、今でも後を絶ちません。今回取り上げるのは、マルウェア「Andr/HiddnAd-AJ」の事例です。このマルウェアはアプリストアへの公開に成功し、発見されるまでに50万台のデバイスへ感染を広げました。

なぜ検出されなかったのか？

ごくまれに、Googleのマルウェア対策サービス「Play Protect」の検知をもすり抜けるアプリが現れます。実際、これらのアプリが削除される前には、少なくとも1つが「Play Protectによる確認済み」の認証マークを取得し、「マルウェアフリー」と証明されていたほどです。

開発者たちは、マルウェアのコードを無害なAndroidシステムコードに見せかけることで、ソフトウェア内に密かに組み込みました。ソースコードをざっと眺めた限りでは、一見して不審な点はなく、内部に潜むマルウェアを特定することは非常に困難でした。

とはいえ、アプリストアにはもう一つの防御層があります。それはユーザー自身です。マルウェアに感染したアプリをダウンロードしたユーザーは、そのアプリを報告し、削除させることができます。そこで開発者たちが取った次の手段は、マルウェアをすぐに起動させないことでした。デバイスにインストールされた後、このマルウェアは行動を開始するまで6時間待機します。これは、ユーザーがインストールしたアプリのことをある程度忘れるのに十分な時間であり、アプリの足跡を消す効果もあります。

このマルウェアパッケージは、7つのアプリ——QRコードスキャナー6種とスマートコンパス1種——にバンドルされていました。これらのアプリは宣伝されている機能を完璧にこなし、疑いを抱かせないよう作られていました。しかし6時間が経過すると、無害に見えたアプリは突如として凶悪な姿へと変貌したのです。幸いにも、これらのアプリは現在ストアから削除されています。感染したアプリの全リストは公表されていませんが、Sophosが公開した画像には一部のアプリが写っています。

このマルウェアは何をするのか？

マルウェア「Andr/HiddnAd-AJ」は、その名の通りユーザーのスマートフォンに潜伏し、6時間経過後に広告の表示を開始します。表示されるのは、フルスクリーン広告から通知バーへのメッセージまで多岐にわたります。さらにこのマルウェアは開発者のもとへ通信（フォンホーム）する機能を持っており、必要に応じて開発者が広告キャンペーンを指示できる仕組みになっていました。

ただしそれ以外の点では、このマルウェアが個人情報を盗んだり、スマートフォンに損害を与えたりするという証拠はありません。確かに非常に厄介な存在ではありますが、感染しても即座にパニックになる必要はないでしょう。

感染した場合の駆除方法

もしこのマルウェアに感染した場合、あるいは一般的なマルウェア感染の疑いがある場合は、問題を特定・解決できる信頼性の高いアンチウイルスソフトを導入するのがおすすめです。Android向けのアンチウイルスサービスは数多く存在し、その性能は製品によって大きく異なります。確実な効果を求めるなら、厳選されたAndroid用アンチウイルスのベスト5を参考にしてみてください。

マルウェアとの闘いは続く

Androidアプリを入手する上で最も安全な場所であるはずのPlayストアですが、決して完璧ではありません。マルウェアを仕込んだ7つのアプリによる今回の攻撃は、ダウンロードの際に注意を払うことの重要性を改めて思い知らされる出来事でした。脅威の実態、攻撃の手口、そして駆除方法まで、今回の記事でしっかり把握しておきましょう。

この事件を受けて、ストア上のアプリに対する警戒心が強まりましたか？ぜひコメントで教えてください。