この不正アプリは、Androidのroot権限を取得するトロイの木馬が仕込まれており、別の不正アプリのインストールやアンインストール、迷惑広告を表示させる機能を持っています。すでに50万回以上ダウンロードされており、ロシアやインド、インドネシアなどで少なくとも6,000件のマルウェア感染が発生しているとみています。
[本リリースは、2016年9月14日にKaspersky Labが発表したリリースに基づいた抄訳です]
Kaspersky Labのエキスパートは、Pokémon GO関連にみせかけた不正アプリ「Guide for Pokémon Go」をGoogle Playで発見しました。このアプリには、Androidのroot権限を取得するトロイの木馬が仕込まれており、別の不正アプリのインストールやアンインストール、迷惑広告を表示させる機能を持っています。すでに50万回以上ダウンロードされており、少なくとも6,000件のマルウェア感染が発生しているとみています。Kaspersky Labはこのトロイの木馬をGoogleに報告し、該当するアプリはすでにGoogle Playから削除されています。
世界的な大ヒットアプリ「Pokémon GO」に関連するアプリが続々と登場する中、サイバー犯罪者のコミュニティでも関心が高まっています。Kaspersky Labは、今回の不正アプリに仕込まれた「Guide for Pokémon Go」トロイの木馬を分析しました。
このトロイの木馬は、標的となったユーザーが不正アプリを立ち上げてもすぐには起動しません。ユーザーが別のアプリをインストールもしくはアンインストールするまで待ち、インストールされた環境が仮想マシンでないことを確認します。環境の確認後も、さらに2時間の潜伏期間を置いてから悪意ある活動を開始します。活動を開始したときでさえ、まだマルウェアに感染しているとは言い切れません。デバイスの詳細情報（国、言語、デバイスのモデル、OSバージョンなど）を収集しコマンドサーバーにアップロードした後、応答を待ちます。応答があった場合のみ、追加のマルウェアモジュールをダウンロードしてインストールし実行に移します。
このようなアプローチは、コントロールサーバーによって攻撃を中止できることを意味しています。標的にしたくないユーザーや、サンドボックスまたは仮想マシンであると思われる端末を除外することができます。これによって、マルウェアの保護が一段と強化されることになります。
root権限を取得すると、トロイの木馬はモジュールをデバイスのシステムフォルダーにインストールして、密かにほかの不正アプリのインストールやアンインストール、迷惑広告の表示を始めます。
Kaspersky Labの調査では、今年の7月にもこの不正アプリの別のバージョンが少なくとも1本、Google Playで提供されていたことが判明しています。さらに2015年12月以降、同じトロイの木馬に感染したほかのアプリが少なくとも9本、Google Playで提供されていたことも明らかになっています。
Kaspersky Labが把握している限り、ロシアやインド、インドネシアなどでこれまでに6,000件以上の感染事例が発生しています。この不正アプリは英語を話すユーザー向けに作成されているため、英語圏やそれ以外の国々でも攻撃を受ける可能性があります。
Kaspersky Labのシニアマルウェアアナリスト、ロマン・ユヌチェク（Roman Unuchek）は次のように述べています。「オンラインの世界では、サイバー犯罪者は常に消費者を狙っています。Pokémon GOも例外ではありません。このトロイの木馬の標的となった人は、最初の段階では、迷惑広告が増えたことに気づかない場合もありますが、マルウェア感染の長期的な影響は、はるかに悪質なものになる可能性があります。攻撃を受けた場合、Androidスマートフォンの中に入り込み、OSを掌握して、ユーザーの操作や保存しているデータなどすべてをコントロールできることになります。すでにこの不正アプリはGoogle Playから削除されたものの、最大で50万人が感染の危機に晒されています。対処が必要であることを、今回の発表によって知っていただければ幸いです」
感染を確認するにはセキュリティソフトで端末をスキャンする必要があります。もしすでに感染していた場合、マルウェアを完全に除去する方法は、デバイスを初期化することです。また、普段からデータのバックアップをとることもお勧めします。
今回の不正アプリに限らず、アプリが信用ある開発元によって作成されたものであることを必ず確認し、OSとアプリケーションソフトウェアを最新の状態に維持して、少しでも不審な点があるものや開発元を確認できないものはインストールしないようにしてください。
詳細については、Securelist.comのブログ記事をご覧ください。
なおこのトロイの木馬は、すべてのカスペルスキー製品の脆弱性攻撃ブロック技術によって感染の初期段階で検知でき、HEUR:Trojan.AndroidOS.Ztorg.ad名で検出・ブロックします。
