メジャーなリモートアクセスツールである独TeamViewerの「TeamViewer」。個人用途であれば無料で使用可能な、デジタル署名された正規のソフトウェアです（画面1）。主にリモートコントロールやサポート、オンラインミーティング、プレゼンテーションなどに利用されています。TeamViewerによると、200カ国以上で2億件以上インストールされているそうです。

画面1　デジタル署名されている正規アプリケーションのTeamViewer

　パロアルトネットワークスが2014年6月に発表する約5500組織を対象とした最新のトラフィック調査でも、TeamViewerは約75％の組織での使用が確認された、3番目にポピュラーなリモートアクセスツールでした。幅広い支持を集める正規のアプリケーションだといえます。

　そのTeamViewerを悪用した標的型攻撃が発生しました。一部の政治団体や業界団体を攻撃対象としていたとみられている、「TeamSpy」と呼ばれる標的型攻撃がそれです。

TeamViewerの通信機能を“隠れみの”に

　TeamSpyではまず、攻撃者は攻撃対象のネットワークにボットを送り込みます。このボットは、TeamViewer（バージョン6）の脆弱性を利用して、TeamViewerをバックグラウンドでダウンロードして起動します。

　このボットはTeamViewerをインストールすると、TeamViewerの通信機能を利用して攻撃者との通信を確立します。その後、BIOSなどのシステム情報、ファイル情報、接続している周辺機器情報などを感染端末から取得。加えて、キー入力情報やパスワード情報も記録し、外部へ送信します。

　TeamViewerの制御権を握ったボットは、丁寧にもTeamViewerの脆弱性にパッチを適用します。攻撃対象に、脆弱性の存在を検知されるのを防ぐわけです。さらに攻撃に使うのはTeamViewerの通信機能なので、管理者には正規のアプリケーションであるTeamViewerの通信にしか見えません。そもそもTeamViewerはバックグラウンドで動作しているので、端末の使用者がその動作を意識することはまれです。

TeamSpyや類似攻撃を防ぐには

　TeamSpyのように、正規のアプリケーションを通信手段として利用する攻撃に対処するには、攻撃の初期ステージであるボットの侵入を防ぐことが重要です。いったん侵入を許せば、後は暗号化された正規のアプリケーションの通信として全ての攻撃が進んでしまうからです。シグネチャベースやサンドボックスベースのマルウェア対策製品で侵入を防がない限り、対処が難しいといえるでしょう。

　攻撃は、できるだけ早い段階で食い止めるのが望ましいことは間違いありません。その観点から考えると、クライアント型マルウェア対策製品よりも、ゲートウェイ型マルウェア対策製品／機能でマルウェアを止めることができれば、より安心だといえます。

　TeamSpyで攻撃に利用されたTeamViewerは、通信をSSL暗号化し、決まったポートを使用せずにポートをダイナミックに変更（ポートホッピング）します。これを制御するためには、通信がSSLで暗号化されていても、ポートホッピングされてもアプリケーションを継続して識別できる、アプリケーション識別技術が必要になります。

ケース2： Android用正規アプリ「TTPod」がマルウェアをダウンロード

　次は、標的型攻撃ではなく金銭を目的とした広範囲の攻撃の例を紹介します。中国TTPodの「TTPod」という、主に中国市場をターゲットとした正規の音楽プレーヤーで発生したマルウェア攻撃です。

　TTPodは、Googleの公式アプリケーションストアである「Google Play」からダウンロードできます。TTPodによると、世界中で1000万件以上ダウンロードされています。

　TTPodのインストール時には、TTPodがショートメッセージサービス（SMS）を送信することについての承認を求められます。ただし、特にAndroidの場合、インストール時の承認内容を確認せずにインストールするユーザーが多く、SMSの送信について把握しないままTTPodをインストールしたユーザーも少なくないはずです。

　TTPodには、アプリケーション内課金でサードパーティーなどが開発するモジュールを追加する機能があります。その追加モジュールの中に、「Dplug」というAndroidマルウェアが含まれていました。

　DplugはSMSのプロキシとして動作し、自身がSMSを送信できるだけでなく、ユーザーの全てのSMSの送受信を管理下に置きます。このマルウェアはまず、感染した端末からSIMカードの識別番号である「IMSI」や端末の識別番号である「IMEI」といった情報を読み取り、攻撃者に送信します。

　攻撃者はこれらの情報と、SMSを送付するたびに各種サービスの課金をする正規の仕組みである「プレミアムSMS」を悪用して、ユーザーの課金を促します。この間、SMSによる契約確認などが発生しますが、マルウェアがプロキシとして全てのSMSを送受信しているので、ユーザーはSMSのやりとりを見ることができません。毎月の明細を注意深く見ていないと、毎月発生する小額の課金に気付かないかもしれません（図1）。

図1　 DplugはTTPod経由で端末にインストールされ、プレミアムSMSを悪用して課金を促す

“TTPod事件”やその類似事件を防ぐには

　Dplugをはじめ、正規のアプリケーション内課金で混入するマルウェアによる被害を防ぐには、モバイルデバイスで動作するマルウェアをブロック可能なゲートウェイ／クライアントアンチウイルス製品や、モバイルデバイス管理（MDM）製品などが備えるアプリケーション内課金の禁止機能を活用するのが有効です。

　次回は、今まで取り上げたアプリケーションの危険性へ対処する具体的手段である、アプリケーション識別技術を解説します。