「無料VPN+IPTVアプリ」に潜む罠――Androidマルウェア「Klopatra」の手口と対策

2025年10月18日(米東部時間 午前9時)公開

筆者は2014年にMUOに参加し、コンピュータ情報システムの学位を取得後、2016年にIT職を離れて同サイトに専念。2017年から編集チームに加わり、現在はシニアエディターとして「Devices」「Home」部門を統括しています。Windows、Android、ゲーム、iPhone関連の解説記事を専門とし、執筆記事の累計閲覧数は1億回を超えています。

未確認アプリのインストールが招く悲劇

検証されていないアプリをインストールすることの危険性は軽視されがちですが、その代償は大きくなりがちです。セキュリティ研究者らはこのほど、無料のIPTVとVPNを組み合わせたサービスを謳うAndroidアプリが、実際には極めて悪質なマルウェアであることを突き止めました。その仕組みを分解してみると興味深く、デバイスに何をインストールするかに常に注意を払うことの重要性を物語っています。

インストールしたくない「VPN」アプリ

セキュリティ企業Cleafyの研究者たちは、「Klopatra(クロパトラ)」と呼ばれる新種のマルウェアに関する詳細なレポートを公開しました。このマルウェアは、既知のどのマルウェアファミリーにも属さない未知のものです。

攻撃は「Mobdro Pro IP TV + VPN」という偽アプリから始まります。このアプリは、IPTVチャンネルへのアクセスと匿名化のための無料VPNを提供すると謳っています。多くのIPTVストリームは著作権で保護されたコンテンツを無断で配信するため違法であり、この種のアプリは利用規約に抵触するため、公式アプリストアには通常掲載されません。

セットアップ中、アプリは「Continue with the installation(インストールを続行)」ボタンを表示します。これをタップすると、他のアプリのインストールを許可するかどうか尋ねるAndroidの確認画面が現れます。これは即座に危険信号です。ダウンロードしたAPKファイルからアプリをサイドロードするために、ファイル管理アプリなどに権限を与えることはあるかもしれません。しかし、VPNやストリーミングアプリが他のアプリをインストールする理由は一切ありません。

クレジット:Cleafy

この権限を許可すると、今度は別のアプリのインストールを促されます。そこにこそマルウェアが含まれているのです。スクリーンショットを見ると、2番目のアプリは「M」の字形が異なり、名前も「Mobdro pro」と表記されています。これは、被害者に「1つのインストールを完了している」と思い込ませながら、実際にはまったく別のアプリをインストールさせようとする欺瞞(ぎまん)手法です。

どんなに優れたAndroidセキュリティの知識を持っていても、自分自身の手でマルウェアに直接アクセスを許してしまうことまでは防げません。

さらなる権限を要求して悪用する

Klopatraアプリのインストールに騙されると、マルウェアはただちに重大な権限を要求し、デバイスの乗っ取りを図ります。核心となるのは「ユーザー補助サービス(Accessibility Services)」へのアクセス要求です。本来これは、正規のユーザー補助アプリが画面の内容を読み取り、利用者に代わってデバイスを操作するために使われる機能です。

しかし、悪意のある攻撃者はこれを利用して甚大な被害をもたらせます。ユーザー補助権限を得たアプリは、画面上のあらゆるテキストを読み取り、デバイスへの入力内容をすべて取得できるほか、アプリ間の移動、ボタンの押下、スワイプの実行、テキスト入力まで自由に行えます。

この権限を一旦取得すると、マルウェアはバッテリー最適化を無効化し、Androidによってプロセスが強制終了されないようにします。同時に、インストール済みアプリを含むデバイスのあらゆる情報を収集し、被害者をより深く把握しようとします。

明確かつ高度な脅威

Cleafyの分析によれば、このマルウェアは典型的なスマートフォン向けマルウェア攻撃の枠を超えています。検出やリバースエンジニアリングを困難にする、さまざまなツールと手法が駆使されているのです。

本質的に、このマルウェアは攻撃者にリモートアクセスを提供し、デバイスを実際に手に持ってできることをほぼすべて実行可能にします。中でも厄介なのが「隠しVNCモード」で、画面を真っ暗に表示したまま遠隔操作が可能です。そのため、感染デバイスの持ち主は、デバイスがまるで自発的に動いている様子を目にすることができず、異変に気づくことすらできません。

さらにこのマルウェアは、自身に対する脅威を能動的に監視し、ユーザーの対処を妨害します。人気のAndroidセキュリティアプリのリストを内蔵しており、これらのいずれかがインストールされると、検出を避けるために強制的にアンインストールを試みます。また、ユーザーが異変に気づいて悪意のあるアプリを削除しようとしても、完全な制御下にあるため「戻る」操作を強制実行させて阻止することもできます。

クレジット:Cleafy

背後にいる攻撃者像

調査の結果、Klopatraはトルコ発であることが判明しました。個々の被害者に関する運用者のコメントからコードの関数まで、すべてがトルコ語で書かれています。

こうした要素のすべてが、組織的で高度なグループによる攻撃であることを示唆しています。市販のマルウェアを購入して使うだけの素人による悪戯ではなく、自分たちのやっていることを十分に理解し、攻撃資産を保護するために時間をかけたプロフェッショナルなチームによるものなのです。

このマルウェアキャンペーンはヨーロッパを中心に展開されており、スペインとイタリアの銀行が標的となっています。しかし調査チームは、その他の複数の国でキャンペーンを実行していた第3のサーバーも特定しており、攻撃範囲が今後拡大する可能性を示唆しています。

Cleafyはまた、この攻撃が2025年3月のプロトタイプ段階から、あらゆる防御機構と高度な窃盗メカニズムを備えた現行版へと進化を重ねてきた経緯についても指摘しています。

金融アカウントへの攻撃

独自の手法を持ちながらも、Klopatraは他のAndroid向け脅威で知られる手口も併用しています。金融アプリのリストを内蔵しており、ユーザーが該当アプリを開くと、正規のログイン画面の上にそっくりな偽ダイアログを表示します。ユーザーは気づかぬまま、パスワードを攻撃者に渡してしまうのです。

当然ながら、攻撃者は夜間の行動を好みます。被害者が眠っている間、デバイスはオンラインで充電中である可能性が高く、犯罪者は疑いを招くことなくアクセスできるからです。

クレジット:Digvijay Kumar/MakeUseOf

深く根付いたリモートアクセスを通じて、遠隔のオペレーターはデバイスが使用中かどうかを確認し、画面を黒くした上で、盗んだPINコードでロックを解除し、銀行アプリを開いて自分の口座へ送金を実行できます。自動化されたデータ収集と攻撃者による直接操作を組み合わせた、極めて洗練された攻撃です。

アプリの解析では、犯罪者が攻撃の試みについてメモを残すテキストフィールドも発見されました。ある事例では、オペレーターが被害者のロック解除パターンを把握していたものの、7,000ドルの送金に失敗したことが記録されていました。

クレジット:Cleafy

賢く振る舞って身を守る

この攻撃の標的地域に住んでいない場合でも、その仕組みを知ることで得られる教訓は多くあります。このマルウェアは検出も除去も非常に困難であるため、この種のアプリをデバイスに近づけないことが何よりも重要です。

最も重要な防御線は、信頼できないアプリ、特にPlayストア以外から入手したアプリをインストールしないことです。この問題に関連して、Googleは「Google Play Protectが悪意のある動作からデバイスを守る」と声明を出しています。確かに心強い存在ですが、すべてを検出できるわけではありません。

また特筆すべきは、この攻撃の最初のペイロードが「無料IPTVコンテンツ」を謳うアプリだったという点です。ネット上で違法コンテンツを探す行為は、マルウェア感染をはじめとする数多くのリスクにつながるため、距離を置くのが賢明です。

そして、インストール直後に別のアプリのインストールを求めてきたり、ユーザー補助サービスのような深い権限を要求してきたりするアプリがあれば、即座に離れましょう。正規のアプリがそのような挙動をすることは決してありません。