Android端末がターゲットにされやすい？

スマホを勝手にロックして「身代金」要求、ランサムウェアが迫っている

2013年に入り、モバイルマルウェアが急増している。特にAndroid端末の脆弱性を狙う攻撃が多発しており、コンピュータを人質に取って身代金を要求する「ランサムウェア」を使う手口を好む傾向にある。

公開 2013年09月03日 08時02分

著者

Sally Johnson

[TechTarget]

印刷する

　米Fortinetのセキュリティ分析機関、FortiGuard Labの報告書によると、過去半年の間にモバイルマルウェアは30％増加し、Androidマルウェア群は300種類以上、サンプル数は少なくとも25万件に上っている。

　報告書の中でFortiGuardは、私物端末の業務利用（BYOD）の普及に伴う明らかなマイナス面として、もし1人の従業員の端末にモバイルマルウェアが感染すれば、会社のネットワークに感染が及びかねないと指摘する。

　わずか数年前まで「モバイルマルウェアはユーザーにとっても企業にとってもそれほど心配するようなものではなかった」。FortiGuard Labsの上級モバイルウイルス対策研究員、アクセル・エブリル氏はそう話す。「当時スマートフォンやタブレットを標的にしていたマルウェアは、Cabirウイルスのような迷惑なだけの存在か、SMS詐欺やアイコンの差し替える詐欺ソフトウェアがほとんどだった」

　2009年当時、モバイルマルウェアは大部分がロシアや中国製で、当時最も普及していたモバイルOS、フィンランドNokiaのSymbian OSが標的とされていた。しかし今ではモバイル攻撃の様相は急拡大しており、米GoogleのAndroid搭載端末は、攻撃者にとって格好のターゲットになりつつあると、FortiGuard Labsは強調する。

モバイルランサムウェア

　2013年に入り新たにモバイル版が出現したのがコンピュータを人質に取って身代金を要求する「ランサムウェア」だ。ランサムウェアは実入りの良さが実証されており、だます側が好んで使う手口になっている。

　攻撃者がAndroid端末に注目するようになったことに意外性はないと、FortiGuard Labsのセキュリティストラテジスト、リチャード・ヘンダーソン氏は言う。「AndroidマルウェアのFakedefenderは、PC向けの偽ウイルス対策ソフトウェアと同じ手口で、一見、人のためになるように見せかけて、実態を現す機会をうかがっている。このマルウェアは携帯電話をロックして、そのロックを解除するための身代金を要求する。携帯電話をロックされた被害者は、身代金を払うか、端末の情報を完全に消去する他ない」（ヘンダーソン氏）

マルウェア配布

　マルウェアに感染させるために攻撃者が好んで使う脆弱性にはどんなものがあるのか。FortiGuard Labsによれば、Ruby on Rails、Java、Adobe Acrobat、Apacheの新しいパッチがリリースされた後の古い脆弱性が、特に好んで狙われることが分かっている。

Ruby on Rails

　例えば2013年に入って、Ruby on Railsフレームワークの深刻な脆弱性が、Webサーバ上での攻撃コード実行に利用される恐れのあることが分かった。この脆弱性をスキャンするMetasploitモジュールも公開され、標的とするWebサーバを見つけるのが極めて容易になった。

　このケースでは、「Rubyオブジェクトを手軽に作成できるXMLプロセッサのデシリアライゼーションルーティンに存在する問題が悪用された」とヘンダーソン氏は解説する。「Ruby on Railsはこの問題を修正するパッチを公開したが、4カ月後に、パッチを適用していないWebサーバを攻撃者が探し出して脆弱性を悪用し、マルウェアに感染させているのが見つかった」という。

Java

　Javaの場合、2013年に発覚したゼロデイの脆弱性では、攻撃者がサンドボックスをかわして任意のJavaコードを実行し、脆弱性のあるコンピュータを完全に制御することが可能だった。「この脆弱性についてもMetasploitモジュールが作成され、脆弱性を突いて攻撃できる相手を容易に探すことが可能になった」とFortiGuard Labsの報告書は指摘している。

　ヘンダーソン氏は「この攻撃では、Javaマネジメント拡張コンポーネントの脆弱性を突いて不正なアプレットの権限を昇格させ、任意のJavaコードを実行することが可能だった」と解説する。

Acrobat／Acrobat Reader

　FortiGuard Labsによると、2013年に入り、トルコの観光ビザを装った不正なPDFが、AdobeのReaderソフトウェアの脆弱性悪用に使われた。この攻撃は、ほとんどのバージョンのWindowsとMac OS X上で、Adobe Readerの最近の全バージョン（9.5.X、10.1.X、11.0.X）に対して通用した。

　攻撃者は標的のコンピュータにマルウェアをインストールするためにこの脆弱性を利用した。マルウェア配布手段としての脆弱性悪用攻撃は、米Adobe SystemsがReaderの脆弱性修正パッチをリリースした後も長期にわたって続いた。

Apache

　Apache Webサーバは2013年4月下旬に「CDorked」というマルウェアの攻撃を受けた。CDorkedはWebサーバに侵入し、BlackHoleエクスプロイトキットを使ってマルウェアに感染させる別のサーバにユーザーのトラフィックをリダイレクトしていた。

　「CDorkedには分担が組み込まれていた。つまり、CDorkedは全てのトラフィックをBlackHoleサイトにリダイレクトしようとしたわけではなかった。さらに、犯罪ウェア配布サイトへのリダイレクトに気付く可能性が大きいユーザーに感染を発見されないよう、感染したWebサーバ上で管理者ページにアクセスしようとするユーザーから身を隠す機能も持っていた」（ヘンダーソン氏）

　こうしたステルス性能を持っているのはCDorkedだけではないと同氏は言い添えた。他の種類のマルウェアも、マルウェアアナリストなどの善玉ハッカーを警戒したインテリジェンス機能が組み込まれているという。

印刷する