ドライブバイ攻撃、アプリ経由の情報漏えい――米研究が発見した最新Android脅威

ウイルス対策製品を手掛ける米Dasientの研究チームが、Android端末に深刻な影響を及ぼすドライブバイ攻撃を実証した。

公開 2011年08月18日 09時00分

更新 2012年09月04日 14時52分

著者

Robert Westervelt

[TechTarget]

印刷する

　ウイルス対策製品を手掛ける米Dasientの研究チームが、Androidを搭載した携帯端末に深刻な影響を及ぼす「ドライブバイ攻撃」について発表した。この手口は、攻撃者がネットワークにアクセスして端末から情報を盗み出せてしまう恐れがある。

　ドライブバイ攻撃などWebベースの脅威は、これまでデスクトップPCに限られてきた。しかしDasientのニール・ダスワニ最高技術責任者（CTO）は、ラスベガスで2011年8月に開かれたセキュリティカンファレンス「Black Hat 2011」でAndroid携帯に対する最新の攻撃について触れた。

　「ユーザーが携帯電話でWebページを見ただけで、攻撃者がその携帯電話へのバックドアチャネルを開くことができてしまう攻撃を仕掛けることが可能だ」とダスワニ氏は言う。

　同社の研究チームが発表したAndroid攻撃は、同スマートフォンのブラウザエンジンWebKitの脆弱性とSkypeのコーディングエラーを突いて、Androidに実装された隔離型セキュリティ機能のサンドボックスを迂回する。共通ブラウザエンジンのWebKitは、PC向けと携帯向けブラウザ多数に利用されている。Google Chrome、Apple Safari、HPのwebOSは、いずれもWebKitを使ってWebページを処理している。WebKitの脆弱性は過去にも発見され、その多くは修正されてきたが、一部の修正が極めて難しいメモリ破損問題は未解決のままだった。

　Dasientの研究チームは、WebKitで浮動小数点を解析する方法に存在する問題を突いて（このコーディング技術は一般的にバッファオーバーフローの誘発に利用される）、攻撃者が悪質なコードを実行したり、ブラウザをクラッシュさせたりすることができるようにした。同様のWebKitの脆弱性は、過去にもAppleやGoogleが修正している。

　「ブラウザに対し、浮動小数点を生成するよう指示を出す。しかしブラウザにはそれを正しく処理する方法が分からず、標的とした携帯電話へのネットワークアクセスを確立できるエクスプロイトの作成が可能になる」（ダスワニ氏）

　同氏によると、携帯電話に対するドライブバイ技術は、過去にiPhoneで使われたことがあるという。あるWebサイトがドライブバイ技術を使い、ユーザーがそのサイトを見ただけでiPhoneのロックを解除して脱獄（Jailbreak）できるようにしていた。Android攻撃に関する詳細は、8月4日にBlack Hatが発表した。

Androidアプリ経由のプライバシー情報流出

　Dasientはまた、何百というAndroidアプリからのデータ流出問題を発見した。同社の調査チームは1万本以上のAndroidアプリについて動作分析を行い、そのうち800本にプライバシー侵害問題があると報告している。この調査結果もBlack Hat 2011のプレゼンテーションで発表するという。

　同社のチームは各アプリケーションのネットワーク関連の動作を調べた。中にはSMSと連動させたり、他のスマートフォンユーザーにメールを送るアプリケーションもあった。さらに、ユーザーの端末のIDとユーザー名、連絡先情報をさまざまなサーバに送信しているアプリケーションも見つかった。

　多数のAndroidアプリに仕込まれているのが見つかったマルウェアの「DroidDream」と異なり、Dasientの調査で情報を流出させているのが発覚したアプリケーションの大半は、本来は悪質な意図を持っていたわけではなかった。ダスワニ氏によれば、多くはコーディングにミスがあり、中には開発者が重要なデータを保護するつもりで暗号の使い方を誤っていたケースもあった。別のケースではアプリケーションが重要な情報に何の安全対策も施さないまま暗号化せずに流出させていた。

　「開発者がユーザーの個人情報に気を配っていないのは明らかだ。モバイルアプリケーションに対するユーザーの信頼を本当に維持したいのなら、アプリケーションのコーディングと開発にはもっと慎重になる必要がある」とダスワニ氏は話している。

印刷する