開発ライフサイクルに潜む悪魔: Windows実行ファイルに感染するGoogle Playアプリ

This post is also available in: English (英語)

概要

昨年、パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、Google Play のアプリに悪意のあるIFramesに感染したものが多く含まれるという件について報告しました。最近、私たちはこれとよく似た事例をGoogle Playで発見しました。ただし今回は、悪意のあるIFramesではなく、悪意のあるMicrosoft Windows 実行ファイルに145個のGoogle Playアプリが感染していることが分かった、という事例です。本稿の発見内容についてはすでにGoogleのセキュリティチームに報告済みで、すべての感染したアプリはGoogle Playから削除されています。

注目すべきは、これらの感染したAPKファイルAndroidデバイスに対してはなんの脅威ももたらさない点でしょう。というのも、埋め込まれたWindows実行ファイルのバイナリは、Windowsシステム上でしか実行できず、Androidプラットフォーム上で活動することはないからです。ただし、これらのAPKファイルが感染しているという事実から、開発者たちがマルウェアによる侵害を受けたWindowsシステム上でソフトウェア開発をしている、ということは分かります。こうした感染は、ソフトウェアサプライチェーンに対する脅威と言えます。なぜなら、ソフトウェア開発環境の侵害が大規模攻撃において非常に有効な戦術であることはすでに証明済みだからです。たとえば、KeRanger、XcodeGhost、NotPetyaなどがその好例でしょう。

感染したアプリの多くは、Google Playに2017年10月から11月の間にリリースされていました。ということは、これらのアプリは半年以上同ストアに存在していた、ということになります。感染したアプリの中には、星4つ以上の評価を受け、1000 台以上にインストールされているものが含まれています。

図1: 感染したアプリ。評価が4.0で1000回以上ダウンロードされている

興味深いことに、同一の開発者が作成しているアプリでも、感染アプリとそうでないアプリとが混じっていることが確認されました。この理由は、開発者がアプリごとに異なる開発環境を使っていたためと考えられます。

感染したアプリには「Learn to Draw Clothing (洋服の描きかた)」という洋服のスケッチをしたりデザインをしたりする方法を教えるアプリや、「Modification Trail (カスタムトレイル)」というトレイル バイクのカスタマイズのアイデアを表示するもの、「Gymnastics Training Tutorial (体操トレーニングのチュートリアル)」という体操で健康を保つアイデアを見つけるアプリなどが含まれていました。

図 2: ある1人の開発者がリリースしたアプリ。 赤でマークしたものはWindowsキーロガーに感染している

これら感染アプリの中には、APK ファイルの異なる場所に異なるファイル名で複数回悪意のあるPEファイル(Windows実行ファイル)に感染しているものもありました。ただし、すべての感染アプリに共通して感染しているPEファイルは、主に2つでした。

弊社WildFireクラウドベース分析サービスの解析結果によれば、ある1つのPEファイルがGoogle Play上のアプリを含む142個のAPKファイルに感染していました。2つめのPEファイルは21個のAPKファイルに感染していました。15個のAPKサンプルには、この両方のPEファイルが感染していました。感染したAPKバンドルの中には、ほかの悪意のあるPEファイルを含むものもありました。これら開発者のマシンは様々なマルウェアファミリに重度に感染した状態にあるようです。

これらすべての悪意のあるPEファイルを調査した結果、私たちはある1種のPEファイルがほとんどのAndroidアプリに感染していること、その悪意のある活動内容がキーロギングであることを突き止めました。 キーロガーは、Windowsシステム上でキー入力を記録しようとします。 これにはたとえばクレジットカード番号、社会保障番号、パスワードなどの機微な情報なども含まれます。また、これらのファイルには、正当なものに見せかけるための偽の名前がつけられています。たとえば、「Android.exe」、「my music.exe」、「COPY_DOKKEP.exe」、「js.exe」、「gallery.exe」、「images.exe」、「msn.exe」、「css.exe」などです。

同WildFireによる分析では、この悪意のあるPEファイルは、Windows システム上で実行した際、次のような疑わしい活動を行いました:

• 実行ファイル、隠しファイルをWindowsのシステム フォルダに生成し、自身のコピーも行う
• 再起動後に自動実行されるようWindowsのレジストリを書き換える
• 長期間スリープするよう試みる
• IPアドレス87[.]98.185.184にポート8829経由で接続する、疑わしいネットワーク接続活動を行う

潜在的損害と緩和策

悪意のあるPEファイルは直接はAndroidホスト上で実行できません。ただし、APKファイルがWindowsマシン上でアンパックされてPEファイルがうっかり実行されてしまったり、同じ開発者が別のWindowsベースのソフトウェアをリリースしたり、この感染が原因でAndroidプラットフォーム上でも実行可能な別の悪意のあるファイルに感染したり、ということがあれば、状況はさらに悪化することになります。

パロアルトネットワークス製品をお使いのお客様は、WildFireとTraps for Androidにより保護されています。WildFireはこれら感染アプリを自動的に検出します。Traps for AndroidはWildFireを利用して自動的に悪意のあるアプリを遮断し、ユーザーに通知し、悪意のあるアプリからAndroidデバイスを保護します。

開発環境はソフトウェア開発ライフサイクルの要です。何よりも先に、開発環境をセキュアに保つ努力が必要です。この努力を怠れば、ほかにどんなセキュリティ対策を導入しても無駄に終わってしまいます。

謝辞

本稿の解析におけるパロアルトネットワークスRyan Olson氏のサポートに感謝します。

付録

感染アプリ内で見つかったPEファイル:

• 9af18bd1bc68e0f49f8935a8cf662729cc1cec773f0237188762cebe75d48521
• bdfabde9e45693a218e0391005f32e3546dedd0bc757cea2012ad42afdbe2f06
• cadee0451947759cae1c94545ca910486e504c6544f6e60ba0a176b31df44abf
• 11ada55cc9dfcbafe969510b0711b110a8991b5deca2f296b895969958a66559
• 138f338653c82b86ea94829058a0e0bc18940903f6d7a01a7f0c2ba47f68e7e2
• 99074b45b20f794c35b72dbd6af2380497b8b482814822d88ca9c1c5cf83a400
• 57b345f635bf77f5b0da01248a1b798cbd8deb2c66306303ca595f3ccfaa8fbe
• e355275030efa1ddb8bc233095c189a9cc6586ba241a1c4b7a9fe1875945bbf7
• 355c640a0cd3793f0e6ed96dd8175afe32d6bae7a8f8d1f1496167e5f2191195
• 88bdf6e443300988e160204778d859fb5a0dca775876ff8b079a4eb886ad4372
• 78c91a6071e73e7b0ebd10ff7a4a62d3412fe0f281e4ac064eeedbf707b15b22
• 524c780f3f35c5c9dd1bd935affe312f89ff851d51f9df21e78730134d4e7c50
• cb09e6e28e2e0e3c031d99cb122ca767a23ecea1a2e98cb6d8bcf6ff7e61151e
• b0442ad97086c4850133dcc72746f877cbbdb0b037374e598e231f8728dcda0c
• 07b07b74743364451876dca12531cdd515feff6264745be49add094388537685
• edfadee37e5dd0e045d211ba9b09c2ac0f267790ac4ef8d7f9beced25d94c1fc
• 493d95c5222a86d581110d7c38b62a4e2015bf782ddac04c5a7e576a0955a727
• 5889a05fc1f161fe23ec9e3dfeb35ac225621f3c5c7019df7afa14aefdb96235
• 78f936fd6a8cabc39c727976ab9c2c6ceeb5be690186e2a729f59adaad7b3f4c
• 7268ea040b7ca1ab79d3f1eac279cf4cbc072c706b70672eba8d84387f76b3bf
• 688d39cfa1f581e841a896963b83081960844cdf06d3c71e7eab2746e498d5b1
• df74876a564d38bf8fd3275fd0a429ee74c3f67b2e78f59d97c2ec8a7143bd9a

Google Play上で見つかった感染APKファイルの一覧