fbpx

アプリに潜むマルウェア「Joker」からAndroidアプリの弱点と対策を知ろう

「Joker」というEMOTETと同様に「密かに感染して被害を広める」凶悪なマルウェアが広まっています。
「Joker」の特徴はAndroidのアプリに潜入して広がることで、Google公式ストアでも感染したアプリが発見されています。
「Joker」とは何が危険なのか?そして自由度が高いAndroidのアプリを安全に使うため守るべき4つの原則をご説明します。
/ins>

アプリに紛れ込んで広がる「Joker」とは?

Androidのアプリに潜んで拡大する

現在各所より注意喚起がされているのが、Androidのスマホを狙う「Joker」というマルウェアの感染拡大です。

マルウェアのほとんどはメールやSMSでユーザーをだましてインストールさせるフィッシングという手口で感染を広げます。

ところが「Joker」Androidのアプリの中に潜んで感染する「トロイの木馬」方式で感染します。

「Joker」を発見したアメリカのセキュリティ会社ZSCALER社のブログ(英文)によると「Joker」は以下のような手順で感染歩広げます。

  1. 「Joker」は、発見されないように高度な技術で作られた小さな不正プログラム。
  2. 無害なアプリな見えるため、Googleの審査もくぐり抜け、公式アプリストアにも掲載されてしまう。
  3. スマホにインストールする際には、表向きのアプリをよそおってユーザーより「SMS、通信記録、連絡先」等の個人情報を見る権限の許可を受ける。
  4. アプリの表向きの動作に隠れて、犯人と通信し、不正なプログラムをダウンロードして、許可された権限を使って個人情報を盗み出す。

 

「そっと感染して、後から密かに不正プログラムをダウンロードして実行する」ところは、現在被害が拡大しているマルウェアEMOTETと似た動作です。

ブログ内の関連記事(新しいウィンドウで開きます)

偽造されたメールの添付ファイルから感染するマルウェアEMOTET(エモテット)が猛威を振るっています。検査をすり抜けるZIPで暗号化されたものも増えました。2021年1月27日に欧州刑事警察機構の捜査によりEMOTETをコントロールしていた[…]

 

2021年4月、Huaweiスマホに大規模「Joker」感染

中国のHuaweiハーウェイは世界一のスマホメーカーですが、トランプ政権下でアメリカより制裁を受けており、グーグルからAndroidの供給に来役を加えられたため、Androidを元に独自のOSを作り、アプリもHuawei独自のAppGalleryから配布しています。

このAppGallery配布されたアプリを使う538,000人ものHuaweiユーザーに、Jokerに感染した同社のアプリがダウンロードされてしまいました。

感染アプリは「カメラアプリ、メッセンジャー、ステッカーコレクション、画像編集、ゲーム」などで、正常に機能しながら、裏でユーザーを不正にサブスク契約に誘導していました。

 

2020年9月、Google公式ストアに「Joker」感染アプリが17種類も見つかった!

「Joker」は実は2017年頃から広まっており、過去も何回か感染が拡大がありました。

その都度Googleが「汚染アプリを削除」し「監視を強める」といった対策していましたが、「Joker」は次第に進化して、Googleの監視を逃れながらしぶとく生き続けています。

ZSCALER社のブログによると2020年9月に「Googleの公式ストアGoogle Playストアに17種類の「Joker」感染アプリがあるのを見つけました。

どのアプリも見かけ上怪しいところはなく、多数の「偽のレビュー」もついて、人気アプリのように偽装されていました。

ZSCALER社の指摘でGoogleはすぐに掲載を止めましたが、すでに12万件ものダウンロードがされた後でした。

11種のアプリは以下のアイコンの通りです。

  • 「PDFを作ったり、編集する」アプリ
  • 「写真や文章を取り込む」スキャナーアプリ
  • 「連絡帳」アプリ
  • 「翻訳」アプリ
  • 「SMS送信」アプリ
  • 「写真の背景をぼかす」写真加工アプリ
  • 「花の壁紙提供」アプリ

などユーザーが関心を持つそうな便利アプリばかりです。

Googleがこうして削除したJoker感染アプリは1700個もにのぼっていると言われています。

 

「Joker」の被害は

「Joker」に感染した被害としては、

  • スマホ内の個人情報を盗む。
  • 勝手に「高額なサブスクサービスに加入」させて手数料を奪い取る=課金詐欺。

等が確認されていますが、EMOTETと同様、犯人からの指令で不正プログラムを追加してダウンロードできる仕組みのため、今後被害の範囲は広がると予想されます。

 

「Joker」は何が危険ななのか?

「Joker」は、Googleの検査をすり抜けて、公式ストア「GooglePlayストア」に掲載されたことからわかるように、高度な技術が使われており、極めて発見するのが難しいマルウェアです。

さらにiPhoneと違って、Androidアプリは公式ストア以外の場所(サードパーティストア)でも入手できますが、「Joker」はそこでも多数発見されています。

一度感染すると、アプリの動きの影に隠れて、発見されることはなく、次々と被害を生み出します。

不正に課金された請求を見て初めて被害に気がつくケースもあります。

 

「Joker」を生み出すAndroidのアプリの弱点とはなにか?

スマホ自体の安全性はiPhoneと同等に近づいてきた

Androidは、Appleが端末からアプリまで、Apple一社が厳しく管理しているiPhoneに比べ、スマホの製造もアブリの開発も、広く開放されていて自由度が高い事が魅力です。

しかしその反面、自由度を悪用されてサイバー犯罪に狙われる確率がiPhoneに比べて高いと言われてきました。

その後Androidのバージョンアップによって改良が進み、スマホ自体の機器としての安全性はAndroidも次第に進化し、新しい機種ではAppleと同等になったと言えます。

もちろんiPhoneには装備されていない、外部メモリー(SDカード)の扱いや、アプリの使用、暗号化には、iPhoneより注意が必要です。

詳しくは当プログの下記の記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

スマホ選びは価格や性能以外に「安全性」も大切です。iPhoneはAndroidよりかなり安全です。「iPhoneはウイルスに強いからセキュリティソフトが不要」「アプリ権限の許可がiPhoneは不要」「バックグラウンドでの位置情報の使用を[…]

iPhoneを安心して使うイメージ

なおAndroidには、機種本体よりアプリを使う時にiPhone以上に注意が必要です。

特に注意が必要なことは、以下の2点です。

Androidアプリ利用時に注意すべき2点

1.不正なアプリが紛れ込むリスクを意識する。

Androidスマホをお使いの方がアプリを入手する時に訪れる公式ストアが「Google Playストア」です。
ここに掲載されているアプリは、Googleの審査を通過していて安全で正当なはずですが、時々悪意のある不正アプリが紛れ込むことがあります。

多くの場合、

  • 開発元は悪意がないにもかかわらず、製造途中でマルウェア(不正動作のため作られた悪意のソフトウェア)がアプリの中に紛れ込んでしまった。
  • 無料アプリの収入源である掲載広告にマルウェアが含まれていて感染した

ケースです。

これらは早い段階でユーザーや研究者の指摘により、すぐに掲載が止められるため、大きな被害を生むことはありません。。

ところが、数は少ないとはいえ、「意図的にユーザーの情報を搾取する」目的で巧妙に作られて、Googleの検査をすり抜けてしまうものもあります。

今回ご紹介した「Joker」はそのもっとも悪質で危険なケースです。

2.利用時に「アプリの権限」に注意

Androidアプリは、iPhoneより開発者に自由を与えているため、多種多様なアプリが生み出されますが、それは悪意のある開発者にとってもチャンスになっていて、Androidの自由度を悪用した「個人情報の収集」「広告収益の拡大」を狙う不正アプリがしばしば生まれています

そこでAndroidアプリを使用する際に特に注意しなければならないことは、「アプリに自分のスマホの操作をどこまで許すか?を、ユーザーがきちんと把握する」ということです。

 

たとえばカメラて撮影して編集するようなアプリには「カメラを操作する許可=カメラ権限」を与えることは必要です。
しかし撮影アプリに「スマホの連絡先を見る」権限を与える必要はありません。

ところがこのような不必要な権限を要求して、ユーザーの個人情報を集めようとするアプリがAndroidには多数存在していて「Joker」もそのひとつです。

「アプリの権限」はiPhoneの場合はAppleが厳しく管理しているため、ほとんど危険はありませんが、Androidはインストールする際にユーザー自身が確認する必要があります。

詳しくは下記記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

Androidスマホを使っていると、しばしば「権限を与えることを許可しますか?」のメッセージが出てきます。よく読まずに「許可」してしまいますが、本当にそれで良いのでしょうか?スマホには「便利と引き換えで個人情報を渡している」というリスク[…]

アプリの権限とは?わからなくて不安

 

「Joker」など不正なAndroidアプリの危険を避ける4つの原則は?

第1の原則:公式ストア以外からのアプリのインストールは避ける。

「いろいろなところからアプリを入手できる」ことはAndroidの最大の魅力ですが「不正なアプリをつかまされる危険」は忘れてはいけません。

Googleの公式ストア「GooglePlayストア」や、「スマホのメーカーが用意している公式ストア」など、絶対に信頼できる確かなストア以外からアプリをダウンロードすることは避けるべきでしょう。

ネット上、あるいはSNS等でアプリのインストールを勧められることはしばしばありますが、

  • 本当に必要なアプリか?
  • どうして公式アプリとして掲載されていないのか?

を十分に検討すべきであり、原則として手を出すべきではありません!。

第2の原則:「有名で実績のあるアプリ」だけを使う

上に記載した11種の感染アプリは「役に立つ」「おもしろそう」な無料アプリばかりです。
しかし、だからといってわざわざ「無名で使用者の少ない新しいアプリ」を入れなくても、すでに同じ機能を持つ有名アプリが多数存在しています。

アプリに限らず、オンラインサービスでもソフトウェアでも、デジタル関連の製品を選択する時は

  • 長く使っているユーザーが多く、知名度の高いアプリだけを使う。

要するに「長いものに巻かれてしまう」ことがが秘訣です。

  • ユーザーレビュー、特に「低い評価のレビュー」を参考にする。

また、アプリのレビューは実はあまり参考になりません。

そもそも掲載されたばかりのアプリにレビューが集まるはずはありません。
高い評価は「さくらのレビュー」が多いため、あえて「低い評価のレビュー」を見て確認しましょう。

アプリやサービスを選ぶ際の秘訣は当社公式ブログをご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

「デジタル遺品やデジタル遺産の継承~デジタル終活」のために「パスワードマネージャー(パスワード管理ツール)などアプリやサービスを使いたいが、いろんなサービスがありすぎで、選択に迷ってしまう」という方のため、「アプリやオンラインサービスを選ぶ[…]

デジタル終活のためにアプリやサービスを使いたいが、いろんなサービスがありすぎで選択に迷ってしまう

結論は「有名でもなく、低い評価のレビューもない」アプリは「入れない」のが大原則です。

 

第3の原則:アプリインストールの際「権限の同意」に注意する

Androidアプリをインストールする際、アプリは左のように「スマホ操作の何の権限が欲しいか?」をユーザーに示し、ユーザーが「同意する」を押して許可して、はじめて使えるようになります。

「Joker」に汚染されたアプリも、「ユーザーが権限に同意」しないと情報を盗み見ることはできません。

 

たとえば「撮影アプリ」に「連絡先を見る」とか「SMSを発信する」権限は不必要なはずですので、インストール時にユーザーがきちんとチェックすれば「怪しい!」と見分けることができます。

詳しくは下記の当社ブログ記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

Androidスマホを使っていると、しばしば「権限を与えることを許可しますか?」のメッセージが出てきます。よく読まずに「許可」してしまいますが、本当にそれで良いのでしょうか?スマホには「便利と引き換えで個人情報を渡している」というリスク[…]

アプリの権限とは?わからなくて不安

第4の原則:Androidスマホにはセキュリティ対策アプリを導入する

「Joker」は発見が難しいマルウェアですが、スマホ上で情報を取得したり外部に送信する動き(「ふるまい」と言います)を検知して、発見できる方法も編み出されてきました。

Androidスマホにも信頼できるセキュリティアプリを導入することで、確実にリスクを低減することができます。

セキュリティアブリは、ウイルス感染を防ぐだけでなく、「不正なリンクをクリックした時に警告」してくれたり「スマホ紛失時の捜索やデータ保護」の機能を持つものも多くなりました。

大切なスマホを守るために、ぜひ導入を検討してください。

ブログ内の関連記事(新しいウィンドウで開きます)

「今ではスマホもパソコンもセキュリティが強化されているのでセキュリティアプリやウイルス対策アプリは不要」との意見があります。確かに本体の安全性が大きく高まったのは事実ですが、犯罪の手口も変化しています。iPhoneに比べて安全性が劣ると[…]

Androidにセキュリティアプリは必要か?~弱点を強化する設定や対策とは?

 

念のためパソコンやスマホをセキュリティーソフトで検査しましょう

「マルウェアや不正ソフト/アプリをインストールしたかも?と思ったら」すぐ検査

Androidスマホやパソコンを使っていて、少しでも不審を感じたときは「信頼できるセキュリティソフトでパソコンやスマホをスキャンし駆除」が、個人ができる最善の対処方法です。

まだ入れていない方は無料で使える大手の有名セキュリティソフトを使いましょう。

※どの製品も30日程度、製品版と同等に無料試用ができます。
不正なアプリやマルウェアがないかスキャンして調査、発見された場合は駆除してください。

※iPhoneやiPadなどiOSの機器は安全でセキュリティソフトは不要とされ、存在していません。

※セキュリティ対策ソフトは無料試用後も引き続きお使いになるよう強くお薦めします

また念のためスマホのキャリア決済やクレジットカードの利用履歴などを不正利用されていないかも調べてください。不審な場合はすぐに発行元に届け出て取引を停止してもらいましょう

 

 

まとめ:
Androidも原則を守って使えば安全です。

AndroidはAppleは設計思想がかなり異なり、ユーザーやスマホの製造業者、アプリの開発者に自由を与えています。

そのためAndroidスマホもアプリも、価格や性能でバラエティあふれるラインナップが揃い、世界シェアもAndroidの方が圧倒的に高くなっています。

今では「AndroidスマホはiPhoneより危ない」とは言えませんが、改めて上記の4つの原則を守って、安全にお使いください。

スマホには確実なロックが絶対に必要です

ブログ内の関連記事(新しいウィンドウで開きます)

今やスマホはあなた本人を確認の鍵でもあります。もしもスマホをなくした時、悪用されたり、転売されないように備えるにはどうしたら良いか?先日「世界一受けたい授業」でも取り上げられた最重要ポイントが「スマホの画面とSIMカードの2つのロックの仕方[…]

スマホをロックするイメージ

大切なスマホを守る設定とは?

ブログ内の関連記事(新しいウィンドウで開きます)

今やスマホはあなたを証明する鍵でもあり「命の次に大切」です。そんな大切なスマホを万一紛失してしまったら。さらに悪用されたら、、、?頭が真っ白になってしまわないよう、デジタル終活に取り組むことを契機にしっかり準備しましょう。万全の備え[…]

スマホの紛失・悪用の防止

誰もがスマホのデジタル終活が必要です。

 

Digital Keeperお薦めのセキュリティソフト

やはりセキュリティ専門ソフトは必要です

現在のデジタル機器はセキュリティが強化され、昔のようにウイルスには簡単に感染させることができなくなりました。

そこで攻撃方法はユーザーをだます「フィッシング」によって、不正プログラムを感染させたり、偽サイトで個人情報を盗み取る手法に移行しています。

Windows10のセキュリティ機能(Windows Defender)は、ウイルスの侵入は防ぎますが、フィッシング対策はありません。

セキュリティ専門ソフトは、より強力な防御力と以下のような追加機能で、あなたとご家族がだまされてしまうリスクも低減し、万一の時も、被害低減してくれます。

  • フィッシングサイト等、ネット上の危険なコンテンツへのアクセスを止める。
  • フィッシングメールにだまされてうっかりURLをクリックしても「警告」して止める。
  • 仮に感染しても重要な個人情報の流出や不正送金を食い止める。
  • ネット上にあなたの個人情報が流出していないか調査する。
  • お子様のネットの利用時間や不健全なサイト利用を制限する。
  • 紛失したスマホを探したり、データを削除する。
  • 外出時に使う公衆wifiをVPNを使って安全に使用する。

といった機能です。

※iPhoneは強固な構造のためセキュリティアプリは不要とされています。Androidスマホにはセキュリティアプリは絶対に必要です。

セキュリティソフトの選び方、買い方

セキュリティソフトの選択は、価格や広告で選んではいけません!まして無料なアプリはかえって危険につながることもあります。

  • 世界各国で使用実績が豊富で、要求が厳しい企業向け製品にも実績のある
  • 運営会社が信頼でき、国家からの干渉がなく、個人情報やデータの秘密が守られる
  • 動作が軽く、機器使用の障害にならない
  • ご自身だけでなく、ご家族のスマートフォン、タブレットもすべてカバーできる

製品ををおすすめします。

また、タブレットやスマホまで、トータルでカバーできる製品では「子供が紛失したスマホを探し出す」事など家中の機器をもれなく一括してセキュリティ管理でき、個別に揃えるより費用も大幅に安くなります。

購入に当たっては、店頭販売のパッケージ版より、ダウンロード販売の方が価格が安く、使用環境に併せて、使用機器の数や機能を選択できるため、はるかに便利です。
家庭のパソコンやスマホの数(1台~10台)や使用期間(1年~3年)にあったものをお選びください。

お奨めのセキュリティソフトは?

Digital Keeperが社内でも使用し、おすすめしているのは「Kaspersky」の製品です。

世界でも指折りのセキュリティ技術の先進国ロシア発祥のセキュリティ会社ですが、今では国家からの干渉を避けるため、本拠をスイスに移し、世界各国の開発拠点で活動しています。

もっとも大切な防御力は世界各地の第三者機関のテストで常に「最上」の評価を受けるなど間違いなくNo.1です。

また付属する機能も豊富で「これだけ入れておけば他のセキュリティ製品は不要」なほどですが、それでいて動作も重くないのがすばらしいです。

下記のバナーから無料の30日間体験版がダウンロードできますので、使ってみて性能を実感してみてください。