Kaspersky Labは9月23日(現地時間)、「Necro Trojan infiltrates Google Play and Spotify and WhatsApp mods｜Securelist」において、Google Playで配布されているアプリからトロイの木馬「Necro」を発見したと報じた。マルウェアを含むアプリは「Wuta Camera - Nice Shot Always」および「Max Browser-Private & Security」の2つで、総ダウンロード数は合計で1,100万回以上とされる。
-
Necro Trojan infiltrates Google Play and Spotify and WhatsApp mods｜Securelist
マルウェアが混入していたアプリの概要
マルウェアが混入していたアプリおよびバージョンは次のとおり。
- Wuta Camera - Nice Shot Always 6.3.2.148から6.3.7.138未満のバージョン
- Max Browser-Private & Security 1.2.0およびこれ以降のバージョン
-
Google PlayのWuta Cameraアプリページ
マルウェアが除去されたアプリ
マルウェアを除去したとされるアプリおよびバージョンは次のとおり。
- Wuta Camera - Nice Shot Always 6.3.7.138
マルウェア配布の原因
これらアプリは複数の広告モジュールを統合した「AdsRun」と呼ばれるソフトウェア開発キット(SDK: Software Development Kit)を採用。AdsRunは初期化時に「Coral SDK」と呼ばれるモジュールを初期化するが、このモジュールがマルウェアローダーとされる。
つまり、アプリの開発者は独自の広告配信システムを導入しようとして、悪意のあるSDKを導入したことになる。これはサプライチェーン攻撃と呼ばれる攻撃手法で、外部ソフトウェアを十分に監査せずに採用することで発生する。
トロイの木馬「Necro」の概要
マルウェアローダーはコマンド＆コントロール(C2: Command and Control)サーバから画像ファイルをダウンロードする。この画像ファイルにはステガノグラフィーによるマルウェアの埋め込みがなされており、セキュリティソリューションの検出を回避する。マルウェアローダーはダウンロードした画像ファイルからトロイの木馬「Necro」を抽出して実行する。
Necroには少なくとも次の機能があるとされる。
- 非表示広告の表示および操作
- 任意のDEXファイルのダウンロードおよび実行
- アプリのインストール
- 非表示WebViewを構築し、任意のリンクアクセスおよびJavaScriptの実行
- 有料サービスに加入
- ネットワークトンネルの構築
影響と対策
Kaspersky Labの調査によると、2024年8月26日から9月15日まで、同社のセキュリティソリューションによりNecroの感染を1万件以上阻止したという。国別の統計ではロシア、ブラジル、ベトナムのユーザーが影響を多く受けたとのこと。
-
2024年8月26日から9月15日までの国別Necro感染阻止件数 引用：Kaspersky
Wuta Cameraはマルウェア混入の報告を受けて修正バージョンを公開した。Kasperskyは当該アプリを使用しているユーザーに対し、アプリを最新バージョンにアップデートすることを推奨している。なお、Max Browserは報告後にストアから削除された。そのため、Max Browserはアンインストールすることが推奨されている。
非公式ストアから配布されている複数のアプリからもNecroが発見されており、影響を軽減するためアプリはGoogle Playまたは公式サイトからのみダウンロードすることが望まれている。
