Androidのマルウェアのニュースが相次いだが、今回はiOSのマルウェア「KeyRaider」が報告された。米Palo Alto Networksが8月30日に明らかにしている。過去最大という22万5,000件のAppleアカウントの窃盗に成功しているという。「脱獄」したiPhoneをターゲットとしており、日本でも被害が出ている模様だ。
同社と提携するWeip Techが挙動の不審なiOSアプリを調べたところ、盗まれた22万5,000件のパスワード付きAppleアカウントをサーバー上に発見。両社共同で詳細を調べたところ、最新のiOSマルウェアの新しいサンプル92種を発見した。これらを分析した結果、被害者のパスワード、非公開鍵、証明書などを襲う(raid)性質を持つことから、「KeyRaider」と名付けられた。Palo Alto Networksは、「これまでで最大規模のAppleアカウント窃盗」事件としている。
KeyRaiderは主として、Appleが意図しない改変「Jailbreak」(通称=脱獄)したiOSデバイスをターゲットとしており、脱獄したiOS上で利用できるアプリケーションディレクトリのCydiaを経由して拡散されていた様子。中国を中心に、日本、米国、韓国など18カ国のユーザーが影響を受けたと報告している。
このマルウェアは、サードパーティ開発者がランタイムパッチを提供するためのCydiaのフレームワーク「MobileSubstrate」より、iTunesトラフィックを傍受してAppleアカウントのユーザー名、パスワード、デバイスGUID(Globally Unique Identifier)などの情報を収集する。また、Appleのプッシュ通知サービスの証明書、非公開鍵などの情報を不正入手し、App Storeでの購入情報を共有するほか、ローカルおよびリモートのアンロック機能の無効化なども行うという(iPhoneおよびiPadが対象)。これにより、端末をロックして人質にとるランサムウェアとしての側面も持つ。
|
端末をロックして、所有者にロック解除と引き換えに“身代金”を要求するメッセージ |
マルウェアの作者の目的は、脱獄したiPhoneユーザーが公式のApp Storeのアプリを入手可能にし、App Storeにあるアプリ内課金型の有料アプリを無料で利用できるようにすることという。iOSでは通常不可能な行動が可能となり、アプリ購入リクエストを乗っ取って盗んだアカウントや購入レシートをコマンド&コントロールサーバーからダウンロードし、iTunesのプロトコルをエミュレートしてAppleのサーバーにログオンし、アプリを購入することなどが可能という。
ダウンロード回数は2万回を超えており、2万人のユーザーが22万5,000件の盗んだアカウントを不正利用可能であると考えられる、とPalo Alto Networksは述べている。
