AndroidだけでなくWindowsも標的に

「Skygofree」の脅威――“これまでで最も強力”といわれるその盗聴力とは

GoogleのOS「Android」を標的とする新たなスパイウェア「Skygofree」が見つかった。ユーザーを監視する最も強力なツールの1つとの声があり、「LINE」や「Facebook Messenger」の会話内容も盗めるという。

公開 2018年02月04日 05時00分

著者

Michael Heller

[TechTarget]

印刷する

Androidだけではなく、Windowsもターゲットに

　セキュリティの研究者が、GoogleのモバイルOS「Android」を標的とした「Skygofree」という新種のスパイウェアを発見した。このスパイウェアは長い時間をかけて開発されており、モバイルデバイスにおいて「これまでに例のない監視機能」を持つ。MicrosoftのOS「Windows」を標的とする亜種も登場している。

　セキュリティ企業のKaspersky Labでモバイルマルウェアアナリストを務めるニキータ・ブーチュカ氏と、セキュリティの専門家アレクセイ・ファーシュ氏がブログに投稿したエントリ（記事）によると、Skygofreeは2014年に開発されて以降「搭載機能が強化され、驚くべき新機能も実装されている」という。

併せて読みたいお勧め記事

Androidへの攻撃について

AndroidよりiPhone？　さまざま観点で比較

　ブーチュカ氏とファーシュ氏の両氏は、Androidを標的とするこれまでのスパイウェアの中でも、「Skygofreeは最も強力なツールの1つだ」と分析している。Skygofreeは強力な機能を複数実装している。例えば、複数のソフトウェアやハードウェアの脆弱（ぜいじゃく）性を利用し、悪意を持った攻撃に使われる「エクスプロイト」というプログラムを使って、ルート（管理者）権限を取得できる。特定の場所にいるときに周辺の音声を録音する「サーベイランス機能」などを備えている。

　Skygofreeのプログラムなどを分析した結果から、ユーザー監視システムの開発を手掛けるHackingTeamのようなイタリアのIT企業がSkygofreeを開発しているのは「ほぼ間違いないと考えている」と、ブーチュカ氏、ファーシュ氏は主張する。

　両氏によると、悪意ある攻撃者はHTTP、XMPP、バイナリSMS、Firebase Cloud Messagingといったプロトコルやサービス（注1）を介してSkygofreeを操作し、コマンドを実行するという。そのコマンドによって、特定の場所にいるときに音声を録音し、他のアプリケーションからファイルを盗み、無線LAN接続機能を有効にして悪意のある無線LANに接続させ、デバイスのロック解除時にインカメラで動画や画像を撮影する。

※注1：各プロトコル、サービスの概要は以下の通り。いずれも通信に関連する。

HTTP：HTMLなどのコンテンツの送受信に用いられるプロトコル
XMPP：メッセージの送受信や通知に用いられるXML形式のプロトコル
バイナリSMS：バイナリファイルを送受信可能なショートメッセージサービス（SMS）。少量のパケットをネットワーク経由で送信
Firebase Cloud Messaging：アプリのプッシュ通知機能を実現するGoogleのサービス

　Skygofreeは、LINEの同名サービス、Facebookの「Facebook Messenger」、WhatsAppの「WhatsApp Messenger」、楽天の「Viber」などのメッセージングサービスのデータを標的とするようにプログラムされていた。

　Kaspersky Labの研究者によると、Skygofreeは被害者がユーザー補助機能（アプリの切り替えや画面の更新、通知などを実現する機能）を有効にするよう誘導するフィッシング手法を有している。通知やメッセージなどをディスプレイに表示したり、その内容を読み取ったりできるという。

Windowsを標的とする亜種

　ブーチュカ氏とファーシュ氏は、Skygofreeに関連して「スパイウェア全体を形成するコンポーネント（部品）の中に、Windowsを標的とするコンポーネントを複数発見した」と述べている。SkygofreeのWindowsバーションはプログラミング言語Pythonで記述されていた。だがPythonをインストールしていないシステムでも実行できる。

　Skygofreeは、音声の録音機能やキーロガー（キーボードに入力したデータを記録、送信する機能）、スクリーンショットの取得機能に加え、Microsoftが提供するインターネット電話サービス「Skype」の通話音声を収集できるモジュールを含んでいた。

拡散方法とAndroidのユーザー補助機能の悪用

　ブーチュカ氏とファーシュ氏によると、Skygofreeは幾つかのランディングページ（ユーザーがアクセスする際に入り口となるWebページ）で見つかった悪意のあるAPKを介して拡散していたという。APKはAndroidのアプリパッケージのことだ。

　悪意のあるAPKが見つかったランディングページは、どれも携帯電話事業者のドメイン名とWebページコンテンツを使って事業者のWebページを模倣していた。「残念ながら、こうしたランディングページがどのような環境に出回り、使用されているかは今のところ分からない」とブーチュカ氏とファーシュ氏は語る。現在集まっている情報から考察すると、悪意のあるリダイレクトや中間者攻撃を利用した攻撃をするには、このようなWebページが最適だという。「例えば被害者のデバイスが、攻撃者によって統制されている無線LANアクセスポイントに接続したときに、攻撃を受ける可能性がある」（両氏）

　Kaspersky Labは、この問題をいつGoogleに通知したかも述べていない。GoogleはGoogle Playストアで、ユーザー補助機能のAPI（アプリケーションプログラミングインタフェース）を悪用するアプリの取り締まりを強化した。

　Googleはユーザー補助機能のAPIのガイドラインに従わなかった開発者に対する処罰を厳格化し、本来の目的である「ハンディキャップのあるユーザーがAndroidデバイスやアプリを使いやすくする」こと以外に利用しないことと規定した。このAPIを「本来の目的」以外で使用しているアプリがある場合、そのアプリを削除する可能性があるという。これは2017年11月中旬、携帯電話ソフトウェアの開発、議論をする開発者向けコミュニティーサイトのXDA Developersで報告された。

印刷する