百度のSDKにバックドア、Androidユーザー1億人に影響か - Simejiは対象外

トレンドマイクロは11月6日、「百度(Baidu)」のソフトウェア開発キット「Moplus(Moplus SDK)」にバックドアが仕込まれていたとして、注意喚起を行った。

Moplus SDKには「Wormhole」と呼ばれる脆弱性が含まれていることが以前からわかっている。これに加えて、トレンドマイクロの調査ではMoplus SDK自体にバックドア機能が備わっていたという。問題は、Moplus SDKの「アクセス許可制御」と「アクセスの制限方法」にあるとのことで、バックドア機能によってユーザー権限なく第三者が以下の項目の行動を実行できる可能性がある。

フィッシングサイトへの誘導
任意の連絡先の追加
偽のショート・メッセージ・サービス(SMS)送信
リモートサーバへのローカルファイルのアップロード
アプリをAndroid端末にインストール

このバックドアは、1億人のAndroidユーザが影響を受ける可能性がある。また、「不正プログラム」に分類されるアプリが、Moplus SDKをすでに利用している状況にあるという。

同社は、Moplus SDK の不正なコードとAndroid端末に及ぼす危険についてさらに詳細に解説している。

Moplus SDKを利用して、端末にユーザに気付かれずに自身をインストールする不正プログラム

トレンドマイクロでは、異なる２つのアプリ「Baidu Map(com.baidu.BaiduMap, 8.7.0)」と「簡体字のアプリ(com.ufo.dcb.lingyi, 1.3)」を解析した。SDKのバージョンは違っていたが、コードはほぼ同じであった。

「com.ufo.dcb.lingyi」に組み込まれたMoplus SDK

「com.baidu.BaiduMap」に組み込まれた Moplus SDK

Moplus SDKは、独立したプロセスで取り入れられており、「com.baidu.android.moplus.MoPlusService」と呼ばれる主要サービスが、端末の起動中を含め、さまざまなBroadcastReceiverによって開始する。

Moplus は独立したバックグラウンドで組み込まれるため、端末を起動する度に不正なプロセスが自動起動する

ユーザーがアプリを起動すると、Moplus SDKは自動的にローカルのHTTPサーバーバックグラウンドで設定する。HTTPサーバ設定には、簡易なオープンソースのHTTPサーバ「NanoHttpd」を利用する。Moplus SDKは、ソケットを通過するメッセージを監視し続けるため、NanoHttpd を組み込み、HTTPサーバを変更する。

NanoHttpd を組み込み HTTPサーバを変更する Moplus SDK

HTTPサーバが接続する TCPポートはいつも同じではなく、今回の調査時には、com.ufo.dcb.lingyi と接続したポート番号は6259で、com.baidu.BaiduMap に対しては、ポート番号40310が接続したことを確認した。

ローカルの HTTPサーバに接続する TCPポートはいつも同じではない

HTTPサーバは TCPポートを待機し続け、他の端末から送信されたメッセージを受信し解析する。新しい HTTP要求があれば、そのメッセージのヘッダと本文を受信して解析し、NanoHttpdドキュメントで指定された関数「server」を上書きして、自身のタスクを呼び出す。

ソケット接続から HTTP要求を監視

関数「server」を上書きし自身の不正タスクを呼び出す

これは典型的なコマンド&コントロール(C&C)攻撃モデルで、従来型のC&C攻撃と異なる点は、サーバーがユーザー側にあり、攻撃するクライアントはどこにでも存在し得ることだという。ファイルのダウンロードやアップロードなど、SDKに関連した不正な機能があるが、それぞれが1つのクラスファイルとして機能している。

Moplus SDK がサポートする不正な機能

不正コマンドと、対応するソースクラスのマップ

マップのアプリの場合、攻撃者は遠隔から位置情報や検索ボックス情報、パッケージ情報、その他の個人情報をユーザの端末から収集できる。遠隔からユーザの端末に連絡先を追加したり、ダウンロードされたファイルを検索したり、特定のファイルをアップロードしたりすることも可能で、こうした不正活動は HTTPリクエストを送信するだけで、どこからでも簡単に実行できる。

バッチ処理で任意の連絡先を追加している例

また、「sendintent」と呼ばれる特別なコマンドを利用して、端末上にローカルのインテントを送信できる。そのため、ユーザの同意を得ぬまま、遠隔から電話をかけたり、偽のメッセージを送ったり、任意のアプリをインストールすることが可能となる。

「sendintent」と呼ばれるコマンドを利用することによって、攻撃者はユーザ端末上で不正な制御を実行できる

また、SDKはAPKファイルをユーザに気付かれることなくインストールし、ルート権限のある端末を識別する。

SDK はアプリをユーザに気付かれずにインストールする

ルート権限を持つユーザ識別し、さらに強力な攻撃を実行する

トレンドマイクロでは、最新のAndroid6.0を搭載したNexus6上でテスト。Baidu Mapを起動すると、不正なサービス「bdservice_v1」が常時バックグラウンドで動作することが確認できた。

不正なサービス「bdservice_v1」がバックグラウンドで常時動作している

携帯端末に連絡先が追加されていく様子