Android マルウェア.

Android マルウェアは、広告詐欺や高額課金 SMS を悪用するトロイの木馬から、バンキングトロイの木馬、スパイウェア、リモートアクセスツールにまで及びます。よく知られたファミリーには、Joker（プレミアム SMS 詐欺、Google Play で繰り返し発見）、Anubis と Cerberus（アクセシビリティサービスを悪用してフィッシング画面を重ね、SMS ベースの OTP を盗むバンキングトロイの木馬）、BRATA（端末を工場出荷時リセットできるバンキング RAT）、SharkBot（自動送金システム（ATS）を用いて不正送金を開始するバンキングトロイの木馬）などがあります。

2 つのキャンペーンがその規模を物語っています。FluBot は 2020 年 12 月に初めて確認されたスミッシングワームで、偽の荷物配達や留守番電話のリンクを SMS で送りつけて APK をインストールさせ、その後に連絡先を収集して自身を SMS で拡散していきました。2022 年、欧州刑事警察機構（Europol）の EC3 が調整した 11 か国にまたがる作戦により、そのインフラが解体されました。GriftHorse は 2021 年に Zimperium zLabs によって記録され、約 200 個の無害を装ったアプリを用いて、70 か国以上で推定 1,000 万人を超えるユーザーを月額およそ 30 ユーロのプレミアムサービスに登録させました。

今日主流となっている配布手法は、まず無害な「ドロッパー」が Google Play の審査を通過し、その後に本物のペイロードをサイドロードし、Accessibility Service（アクセシビリティサービス） を要求して画面を読み取り、不正送金を自動入力し、自身のアンインストールダイアログを消し去るというものです。Anatsa（TeaBot）や Xenomorph といったファミリーがこの手口を洗練させてきました。

防御策: Play Protect のリアルタイムスキャンを有効にして Google Play を利用し続ける、Android 13 以降の制限付き設定（サイドロードされたアプリによるアクセシビリティおよび Notification Listener へのアクセスをブロックする）を使用する、OS にパッチを適用し続ける、企業端末では Play Integrity アテステーションを伴う EMM/MDM を強制する。

flowchart TD
  A[ドロッパーアプリが<br/>Google Play 審査を通過] --> B[ユーザーが Play または<br/>フィッシング SMS から導入]
  B --> C[アプリが本物のペイロードを<br/>サイドロード]
  C --> D{ユーザーは Accessibility<br/>Service を許可するか?}
  D -->|いいえ| E[マルウェアが偽の<br/>システム通知でしつこく要求]
  E --> D
  D -->|はい| F[画面を読み取り、オーバーレイを<br/>注入、自動入力]
  F --> G[OTP / 認証情報を窃取<br/>自動送金システム]
  G --> H[不正送金または<br/>プレミアム登録]