Android/RewaFake: Google Play を悪用した大規模アドウェア攻撃の手口を解説

執筆: Fernando Ruiz

マカフィーのモバイル調査チームは、190 か国以上、50 万台を超えるデバイスで発生したこの攻撃に関連して 1,900 種類以上のアプリを特定しました。アプリの公開パターンによると、攻撃者は 1 日あたり約 20～25 本の新しいアプリを公開し、それぞれ異なるテーマやブランドを用いて製品やサービスになりすましていたと推定できます。影響を受けたデバイスがとりわけ多かったのは、インド、ロシア、米国でした。

これらのアプリの大半は、CapCut、Roblox、Zelle、PayPal、Netflix、Xbox Game Pass、Siri、iMessage などの有名な製品やサービスになりすまし、異なる開発者アカウントを使って Android の公式アプリ ストアで公開されていました。いずれも共通のコードを使用し、同じ不正な操作を繰り返すほか、同一のリモート サーバーに接続していました。このサーバーは、各アプリに対してユーザーの誘導先を指示していました。誘導先は広告を経由してユーザーを別サイトへ誘導する仕組みとなっており、マカフィーの検証では、表示された広告から月額最大 49.99 米ドルを請求する第三者の不正なサブスクリプション登録ページへ誘導されることが確認されました。

マカフィーはこれらの悪意あるアプリを特定して技術を分析し、責任ある情報開示の手続きを通じて Google に調査結果を報告しました。この報告を受け、Google は特定されたすべてのアプリを Google Play から削除しました。マカフィーは App Defense Alliance のメンバーです。この団体はモバイル エコシステム全体での連携を促し、ユーザー保護を強化しています。マカフィー モバイル セキュリティは、これらのアプリを中リスクの脅威として検知します。詳細や全面的な保護方法については、マカフィー モバイル セキュリティをご覧ください。

影響はグローバル

今回の偽アプリを使った攻撃は世界中のユーザーに影響を及ぼしました。マカフィーの研究者は、190 か国以上、50 万台を超えるデバイスで、1,900 種類以上のアプリを特定しました。

マカフィーの検知データを見ると、主要な市場で攻撃が広がっていることが明らかです。検知件数は、英国で 11,862 件、ドイツで 5,016 件、フランスで 4,288 件、オーストラリアで 1,434 件、日本で 944 件でした。日本での被害は比較的小規模でしたが、それでもマカフィーは日本国内のデバイスで 220 種類以上の RewaFake アプリを検知しました。最も多かったのは、Huawei Health などのブランドになりすました偽の健康管理アプリでした。

これらの数値はマカフィーが検知した偽アプリの検知状況を表すものであり、実際の感染件数を表すものではありません。また、各国の感染率ではなく、マカフィーがこれらのアプリを検知した地域を表しています。

地域により異なる偽アプリの誘導手口

今回の攻撃では、世界中で共通の手口が使われていましたが、検知された偽アプリの種類は地域により異なっていました。世界全体では、偽の動画・写真編集アプリが検知件数の 19% を占め最も多く、次いで動画配信・テレビ・スポーツ関連アプリが 13% を占めました。

各国の状況を詳しく見ると、顕著な違いが見られます。

• 英国: 動画配信・テレビ・スポーツ関連アプリが検知件数の 17% を占め最多で、次いで動画・写真編集アプリが 13 %。
• ドイツ: 偽の健康管理アプリが検知件数の 22% を占め、次いでゲームやゲームの改造アプリが 16 %。
• フランス: 動画配信・テレビ・スポーツ関連アプリが 20% で最も多く、次いで偽 AI ツールが 7%。
• オーストラリア: 動画・写真編集アプリと偽 AI ツールがほぼ同数で、それぞれ検知件数の約 16 %。
• 日本: 偽の健康管理アプリが 29% と突出して多く、次いで動画配信・テレビ・スポーツ関連アプリが 18% でした。

以上の数字を見ると、同じ偽アプリを使った攻撃が、消費者の求めるものに応じてさまざまな形をとっていることが如実にわかります。健康管理アプリ、AI アシスタント、ストリーミング サービス、人気のゲームなど、見慣れた名前や定番のブランディングが利用されているため、詐欺アプリが信頼できるように見えてしまいます。

リスクは、1 つの国に限られるわけでも、1 種類のアプリに限定されるわけでもありません。おなじみのサービスを提供すると謳いなから、まったく別の機能を果たします。

金融機関になりすます

Zelle、PayPal、Apple Pay、Mir Pay、Binance などの金融機関になりすます偽アプリが確認されました。ある偽 PayPal アプリは、1 万回以上もダウンロードされています。

Zelle の場合、スタンドアロンのコンシューマー アプリは存在せず、銀行のアプリの内部で機能するので、Google Play で「Zelle」を検索するユーザーはその現状を正しく理解していません。また、Apple Pay の Android 版アプリはもともと存在しないので、検索しても正規のアプリは見つからないはずです。どちらも検索で正しい答えは出てこないため、トラフィックを傍受するにはおあつらえ向きです。

図 1：Google Play で「Zelle」を検索した最初の結果は偽アプリ

加えて、アプリ内ブラウザーはアドレス バーが表示されず、アクセス先は攻撃者によってリモート制御されます。偽のバンキング アプリと偽の動画エディターとでは、どちらも今のところ広告を表示する以上に悪質な動作をしていないとはいえ、リスク特性は決して同じではありません。

ユーザーから見ると、現在のリスクは単純です。Google Play で「Zelle」を検索すると、最上位の検索結果は偽のアプリになっています。それをインストールすると、オンライン バンキングのガイドでなく、全画面の広告が配信されます。そのいずれかをタップすると、「無料」トライアルに必要だとしてクレジット カード情報を求めるページに移動し、入力してしまうと毎月課金されます。

実際に表示されるのはギャンブルのリストで、レーティングは「全ユーザー対象」

マカフィーが確認した複数のケースで、ギャンブル風のクイズ型誘導フローが確認されています。「大当たりを引き当てよう」「毎日 5 万コイン」「サッカー クイズに挑戦」「今すぐプレイ」といった文言です。

ここで、誰がこうしたストア ページを見ているかを考えてみましょう。マカフィーが分析した時点でまだ観測できたアプリのなかでは、子どもやティーンエイジャー向けのブランドになりすましたアプリが、86,000 回以上ダウンロードされていました。

攻撃キャンペーン全体では、ゲームとサービスになりすまして若年のプレイヤーを狙う 37 のアプリが確認されています。Roblox、Minecraft、Fall Guys、Brawl Stars、Clash of Clans、Deltarune、Xbox Game Pass、さらには GTA VI などまでありました。

図 2：5,000 回以上インストールされている偽の Xbox アプリ

いずれも、アプリのレーティングは「Everyone (全ユーザー対象)」となっていました。

つまり、こういう流れになるのです。子どもが Google Play で「Roblox」を検索し、Roblox のロゴが付いた Roblox という名前のアプリをインストールします。レーティングは全ユーザーです。すると、攻撃者が任意にリダイレクトできるギャンブル サイト風の懸賞一覧に移動します。エクスプロイトはなく、許可を求める指示もなければ、何の警告も出ません。

何も見つからないはずの検索

あるアプリは、この手口の使い方が特に巧妙でした。「AppStore: App Downloader」という名称で公開されており、おなじみの AppStore のアイコンを使って、Apple 公式のソフトウェア マーケットの Android バージョンのように見せています。

図 3：偽の AppStore アプリが Google Play で公開され、1,000 回以上ダウンロードされている

Apple 公式の App Store アプリが、Android 上に存在するはずはありません。App Store は Apple 独自のプラットフォーム専用として運用されており、そこで公開されている iOS アプリも、Android のオペレーティング システムやアプリ フォーマットとは互換性がありません。Apple の App Store だと謳う Android アプリはなりすましであり、公式のダウンロード アプリではないということです。

「AppStore: App Downloader」はダウンロード アプリではなく、広告に誘導されるだけでした。それが Apple のブランドを装い、全ユーザー向けと称して、Google Play で公開されていました。

App Store だけでなく、Siri、iMessage、FaceTime、Apple Pay のいずれにも Android 版はありません。Zelle の場合、スタンドアロンのコンシューマー アプリは存在せず、バンキング アプリに依存します。このどれも、毎日 Google Play で検索されていますが、正規の検索結果が表示されることは決してありません。

図 4：公式の Android 版は存在しない偽アプリが多数

ユーザー自身の目的が弱点です。欲しいものがある、それを持っていない、それらしいものが見つかった。そう思った瞬間のユーザーを抑えられるセキュリティ対策は存在しません。敗因は技術的なものではなく、ユーザーがロゴを信頼したことにありました。もちろん、ロゴとは本来そういう目的を果たすものです。

広告はどのように表示されるか

各アプリは、入れ物にすぎません。CapCut、Roblox、Zelle、PayPal、Netflix、Huawei Health、Xbox Game Pass、Siri、iMessage など、検索の多いアプリのブランドをかぶり、その裏に真の機能が隠されています。隠されているのは、リダイレクト機能です。

起動すると、アプリは攻撃者の制御下にある以下のサーバーにアクセスします。

hxxps://rewadevelopments[.]online/data/.json

このサーバーは、小さな構成ブロックで応答します。ブロックの ‘qureka_url’ というフィールドにウェブ アドレスが格納されています。アプリはそのアドレスを取得し、アプリ内のブラウザー ウィンドウでそれを開きます。このウィンドウが Chrome Custom Tab で、アドレス バーを表示しないように設定されています。

マカフィーが確認したどのケースでも、リンク先はギャンブル風のクイズ サイトで、毎日コインの報酬があると謳っています。ユーザーが手にしたのは CapCut のチュートリアルも Zelle のガイドではなく、広告とクイズのページがえんえんと続くだけです。攻撃者はそこから収益を得ます。

重要なのは、現時点で配信されている中身ではなく、その仕組みのほうです。リンク先は、起動するたびにサーバーから取得されるので、攻撃者はアプリでユーザーを誘導する先を、いつでもどのアプリでも自由に変更できます。リリースやアップデートが必要ないため、改めてストアの審査を通過する必要もありません。銀行のロゴを冠したアプリが、アドレス バーのないブラウザー ウィンドウを開き、攻撃者が選んだ任意の場所に誘導できるというのは、フィッシングや認証情報の盗難に利用されうる機能だからです。

図 5：ウェブサイトから配信される広告が全画面で表示され、サブスクリプション詐欺に誘導される

ユーザーが目にする全画面の広告は、アプリによって配信されるわけではありません。アプリ側の広告スロットには、Google の公開テスト用 ID が設定されており、これは収益につながりません。アプリは広告そのものからは何も得ていないということです。広告は、アプリによって開かれるウェブサイト、つまりリモートの JSON 設定で指定されているリンク先から配信されます。そのページの広告枠は不審なオファーだらけで、それをタップしてしまうとクレジット カードの入力フォームが開き、それがサブスクリプション詐欺による課金につながっています。

今回のアプリの特徴は実行しない機能

エクスプロイト、特権昇格、ルート取得の試み、動的コード読み込み、難読化、暗号化されたペイロード、ドロッパー チェーン。そういった機能は一切ありません。有害な許可を Android に求めることもありません。従来の静的な分析の観点からいうと、Android マルウェアにありがちな特徴がコードにほとんどないのです。

この攻撃キャンペーンが、典型的な手口を避けているのは、主たる詐欺行為がアプリ外で発生するからです。攻撃者は、ソフトウェアの脆弱性を悪用するのではなく、公式のアプリ ストアや見慣れたブランドに対するユーザーの信頼を悪用しています。

インストール後の動作は技術的にあくまでも単純で、広告にリダイレクトするだけです。ユーザーに信頼させたうえでアプリをインストールしてもらう部分が、この攻撃で最も重要な段階だからです。

被害にあったユーザーは、悪意のあるリンクをたどったり、非公式のフォーラムから APK をサイドロードしたりしませんでした。知っているアプリを公式のアプリ ストアで検索したところ、期待どおりの名前、ロゴ、外見のアプリが見つかったのでした。

自分の安全を守るには

• 決済系のアプリは、銀行のウェブサイトまたは検証済みのリンクからだけインストールするようにしてください。アプリ ストアで決済系のブランドを検索すると、この攻撃の格好の餌食になってしまいます。
• すでに利用しているアプリの「ガイド」「チュートリアル」「ヘルプ」「ヒント」と称しているアプリには注意しましょう。
• 正規のサービスなら、第三者による説明を必要としていません。
• アプリ名とアイコンだけでなく、開発者の名前も確認してください。本当のブランドのアプリなら、そのブランド名で公開されています。
• 製品やサービスが自分の使っているプラットフォームに対応していなければ、それはどんなアプリでも利用できません。Android 版の Apple Pay、Siri、iMessage は存在しないのです。
• インストール回数を信頼性の目安にするのはやめましょう。なかには、何万回とダウンロードされている偽アプリもあります。
• セキュリティ ソフトウェアを実行しましょう。マカフィー モバイル セキュリティはこの手のアプリを検知します。

まとめ

モバイル セキュリティは着実に進歩しています。権限の許可は限定され、サンドボックス処理は強化されています。エクスプロイト対策が常態化し、ストアの審査も以前より厳格になりました。そして今では、難読化されたペイロードも、 AI によって人間のチームには及ばない規模で検出されています。このような防御機能はそれぞれ優秀ですが、今回の手口はどの機能にとっても初めのことでした。

攻撃者は、システムの中でパッチの効かない部分に目をつけています。スマートフォンを手にしている持ち主の判断力です。しかも、判断力がいちばん鈍る瞬間を鋭く突いてきます。見慣れたロゴ、公式のストア、検索していたものに一致する名前――それらを目にしたときです。

アプリの分類としてはアドウェアに該当し、リスクは中程度です。詐欺のコンテンツがそれ自体にはないため、マルウェアではありません。攻撃者が指定したウェブ ページを開くだけです。そのページの広告スロットは、オープンなプログラマティック広告のアド エクスチェンジで埋められており、それが広告入札者に販売されます。サブスクリプション詐欺のページの所有者は、そうした広告主です。

攻撃者が、ソフトウェアの脆弱性ではなく信頼を悪用する傾向は続いています。マカフィーはこれからも、無害そうに見えるアプリが大規模な詐欺行為に発展しないよう、ユーザーの保護、意識向上、業界全体でのコラボレーションに取り組んできます。

 IOC

被害の多いアプリ

金融系のなりすまし