APK ファイルにマルウェアが含まれた 「ポケモンGO」 のインストールに注意

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

スマートフォン向け位置情報ゲーム 「ポケモンGO」 が世界中で爆発的な人気を博しており、これに関連した事件・事故が相次いでいる。

[図 1] ポケモンGO 公式ホームページ (出所 : http://www.pokemongo.com)

そんな中、最近、公式ストア以外からインストールしたポケモンGOの APK ファイルにマルウェアが含まれて流布された事例が発見され、ポケモンGO の開発会社も 「ゲームのインストールは公式ストアを通じて行うように」 と注意を呼び掛けている。 

[図 2] ポケモンGO のTwitter 内容 (出所 : https://twitter.com/PokemonGoApp)

当該 APK ファイルは ポケモンGO を正常にインストールするが、ファイル内部にユーザーのスマートフォン情報を流出する悪性機能が含まれていた。これは DroidJack と呼ばれるアンドロイド RAT マルウェアであり、感染したアンドロイド端末を攻撃者が制御できるようになるハッキングツールである。 

[図 3] ポケモンGO の正常な APK に追加されたクラス

当該マルウェアは、ゲームと関連のない権限を要求し、その権限を利用して SMS・アドレス・通話内容・GPS 内容・端末内のファイルの搾取や、アプリの実行・制御、マイク機能を利用した盗聴・録音などを行う。このマルウェアに感染すると、ユーザーはスマートフォン内のすべての情報を攻撃者に搾取され、システムも制御されてしまう。搾取されたスマートフォン情報は暗号化され C&C サーバーに転送される。

攻撃者は、人が関心を持つものに目をつけ、それを利用してマルウェアを流布する。

アンドロイドの特性上、APK ファイルを外部経路から簡単にダウンロード・インストールできるため、正常なアプリに偽装したマルウェアに感染する可能性が高い。

スマートフォンにアプリをインストールする際には、必ず公式ストアを通じてインストールし、安全性が検証されていない APK ファイルは絶対にインストールしないようにしなければならない。 

[図 ４] 正常なアプリに偽装した DroidJack

V3 製品では、当該マルウェアを以下の診断名で検知できる。

- Android-Trojan/Sandrorat(2015.01.17.01)