スマートフォンのセキュリティについて、多くの人は「玄関の鍵」と同じように考えているのではないでしょうか。Playストアからアプリをダウンロードしている限りは安全だ、というものです。実際、ほとんどの場合はその通りです。Googleは公開前にアプリを審査しています。
しかし、一部のアプリはPlayストアの審査を一度も経ずにスマートフォンへとたどり着きます。
昨年末に発見されたバンキング型トロイの木馬サービス「Albiriox」がその一例です。これはデバイス上での不正操作を目的に作られたAndroid向けリモートアクセス型トロイの木馬(RAT)です。単にユーザー名やパスワードを盗むのではなく、被害者のスマートフォン上で直接不正な取引を実行します。研究者らによると、このマルウェアは「utility」「security」「retailer」「investment」といった一般的な名称のアプリを通じて拡散しており、被害者自身もPlayストアからインストールした記憶がありませんでした。実際には、サイドロード(野良インストール)されたり、テキストメッセージ内のリンク経由でダウンロードされたり、Googleの審査プロセスを経ない外部サイトからインストールされたりしていたのです。
こうした脅威を検知するために設計されているのが、Malwarebytes for Androidです。ここでは、その裏側で機能しているさまざまな防御レイヤーをご紹介します。
本記事の技術的な内容についてご協力いただいたMalwarebytesのソフトウェア開発ディレクター、Egor Tashchilin氏に感謝申し上げます。
Playストアを経由しない脅威も検知
Playストア以外からインストールされたアプリは、Googleの審査プロセスを一切経ていません。つまり、Playストアアプリに適用されるようなセキュリティチェックを受けないままデバイスに到達する可能性があるのです。
Malwarebytesは、アプリの出所に頼るのではなく、デバイス自体をスキャンします。サイドロードされたものであれ、他のソフトウェアに同梱されていたものであれ、ブラウザ経由でダウンロードされたものであれ、望ましくないプログラム(PUP)やその他の悪意あるファイルを探索します。
Playストアのアプリでも後から「豹変」することがある
すべての脅威が最初から悪意を持っているわけではありません。
広く報道されたある事例では、Playストアで約1,000万件のインストール実績を持つバーコードスキャナーアプリに、それまでのバージョンにはなかった悪意あるコードが後から追加されました。このアップデートは検知を逃れるために強力な難読化を施した上で、以前のクリーンなバージョンと同じデジタル証明書で署名されていたため、一見まったく正規のものに見えました。インストールされると、ブラウザが勝手に起動し、望まないウェブサイトへとリダイレクトされるようになっていました。
これと似たパターンは、研究者が追跡してきた他のPlayストア関連の事案でも確認されています。検知を回避し疑いを持たれないよう、インストールから時間が経ってから悪意あるコードでアップデートされるケースです。
だからこそ、リアルタイム保護(RTP)は新規インストールの監視だけにとどまりません。すでに端末に入っているアプリの、これまでスキャンされていなかったバージョンにも反応します。RTPは新規インストールされたアプリに加え、デバイス上の新規または変更されたファイルも監視します。既存のアプリが未確認のバージョンを受け取った場合、RTPは「すでにインストール済み=引き続き安全」とは見なさず、新規アプリとして扱いスキャンを実行します。
アーカイブの中身を、改変せずにのぞき見る
マルウェアは必ずしも表に出た形で存在するわけではありません。サイバー犯罪者は、セキュリティスキャナーが中身まで確認しないことを期待して、ZIPファイルなどのアーカイブ内に悪意あるファイルを隠すことがよくあります。
しかし、私たちのスキャナーはそこまで確認します。
元のファイルを変更・改変することなく、アーカイブの中身を展開して検査します。アーカイブはあくまで読み取るだけであり、何かを書き戻すことは一切ありません。ネストされたアーカイブやAPK内のコンパイル済み.dexコードなど、さらに詳しい検査が必要な場合は、一時的なサンドボックス環境に展開され、スキャン完了と同時に削除されます。そのためデバイス上に残ることはありません。
アーカイブはすべて同じ方法で処理されるわけではありません。ZIPファイルはエントリー単位で検査される一方、APKはその中に含まれるコンパイル済みコードについて、より詳細な分析が行われます。ネストされたアーカイブも個別にスキャンされるため、マルウェアが一段深い階層に隠れただけでは検知を逃れることはできません。
バッテリーを浪費せず、深くスキャン
アプリのコード、動作、構造を本当の意味で深く分析するには、それなりの処理能力が必要です。無頓着に行えば、スマートフォンの動作を遅くし、バッテリーを消耗させてしまいます。
Malwarebytesはそうならないよう設計されています。
スケジュールスキャンやアプリのアップデート後・再起動後のスキャンといった自動バックグラウンドスキャンは、開始前にバッテリー状況を確認します。設定によっては、充電中になるまで、あるいは十分な電力が確保できるまで待機することもあります。手動スキャンは常に即座に実行されます。
スキャンが開始されると、Malwarebytesはデバイスの利用可能な処理能力に応じて自動的に処理負荷を調整します。高性能なデバイスでは並列処理を活用しつつ、低スペックなデバイスに過度な負荷をかけないようにしています。
止まることのない脅威データベース
モバイルアドウェアは2025年後半に急増し、新しいバンキングマルウェアのファミリーもますます巧妙化しています。中には、悪意ある挙動を見せる前に、実機で動いているのかセキュリティテスト環境なのかを確認するものすらあります。
スキャナーの性能は、何を探すべきかについての知識量に左右されます。だからこそ私たちは、静的で古びた脅威情勢の見立てに頼るのではなく、新たに発見・検証された脅威情報を用いて検知データベースを継続的に更新しています。
10種類以上のスキャナーが連携して機能
その裏側では、Malwarebytes for Androidは単一のスキャンエンジンではなく、それぞれ異なる種類・レベルの脅威を検知するために設計された、10種類以上の専用スキャナーで構成されています。
これは、現代のAndroidマルウェアが単一の手法だけに頼ることがほとんどないためです。例えばバンキング型トロイの木馬は、アクセシビリティサービスの悪用と、正規の銀行アプリや暗号資産アプリの上に重ねて表示する偽ログイン画面を組み合わせることがあります。
既知の悪意ある活動の兆候を探すスキャナーもあれば、アプリの構造・出所・挙動を検査するスキャナーもあります。さらに別のレイヤーでは、複数のシグナルを組み合わせ、ヒューリスティック分析を用いることで、より複雑な、あるいはこれまで確認されたことのない脅威を検知します。
複数の検知手法を重ねることで、一つのスキャナーをすり抜けた手口も、別のスキャナーで捕捉できる可能性が高まります。
私たちはそこで立ち止まりません。研究者チームはAndroidの脅威がどのように進化しているかを継続的に監視し、新たな検知・防御レイヤーを定期的に追加しています。攻撃者が新しい手口を開発し、新たな隠れ場所を見つける中で、私たちも常に一歩先を行くよう適応を続けています。
詐欺師はあなたが思う以上に、あなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキストメッセージ、悪意あるサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardも標準搭載です。
