- 低価格Androidスマホに、顧客の手元に届く前からファームウェアレベルのマルウェアがプリインストールされていた
- マルウェアは不正な広告収益を生み出し、感染端末をレジデンシャルプロキシに変えていた
- 被害は150カ国に及び、駆除にはファームウェアレベルでの対処が必要になることも多い
新品で未開封のAndroidスマホを購入したところ、ファームウェアの奥深くにマルウェアが仕込まれており、ほぼ除去できない状態だったとしたらどうでしょうか。そのスマホは、悪意ある第三者のために不正な広告クリックを生み出し、さらにはレジデンシャルプロキシとして、何らかの悪質な目的に使われてしまうのです。
セキュリティ研究者であるBitdefenderは、身元不明の攻撃者が複数のスマートフォンメーカーのサプライチェーンを侵害し、端末が店舗に出荷される前にファームウェアレベルでマルウェアを仕込んでいたことを突き止めました。
報告では複数のブランドが挙げられており、Doogee S200 X、Doogee Fire 3 Max、Cubot KINGKONG Xなどが含まれます。いずれも低価格の頑丈なAndroidスマホを製造する中国のメーカーです。
報告書では、SamsungやAppleの製品になりすました模倣端末にも言及しています。これらは総じてMediaTek製チップセットを搭載した端末で、攻撃者はアプリケーションの改ざんや自らへの権限昇格、さらには被害者に気付かれずにリモートコード実行（RCE）攻撃を行えるよう、端末を感染させていました。
世界中に広がる被害者
残念ながら、これらの端末は世界中に出荷されました。Bitdefenderによると、被害者は「数千人」に上り、約150カ国に散らばっています。特に多いのはメキシコ、フランス、イタリア、米国、ドイツ、ブラジル、スペインです。
マルウェアの形態はさまざまです。Bitdefenderはこれまでに32個の不正アプリを確認しており、天気アプリ、ファイル管理アプリ、アプリロック、OCRツール、音声編集ツールなどを装っていました。いずれも同じ動作をします。さまざまなアプリの上に見えないオーバーレイを作成し、ユーザーが実際には目にしていない広告を、表示されたものとして記録するのです。
こうしてマルウェアを仕込んだ者は、広告ネットワークをだまし、何千人ものユーザーに広告が配信されたと思い込ませて収益を得ます。この手口で何台の端末が侵害されているのか、犯人がどれだけの金額を不正に得たのかは、正確には分かっていません。
Bitdefenderは次のように説明しています。「システムアプリ自体は、不正なインプレッションやクリックを記録しません。収益の仕組みを動かしているのは、投下されたカバーアプリです。本物らしく見える天気、アプリロック、メモ、OCRアプリなどが、正規の広告SDKを通じて本物の広告を読み込みます。目的は単純で、アプリの上に見えないウィンドウを読み込み、広告が表示されたことを記録させることです」
Playストアにも波及
Bitdefenderはさらに、発見されたアプリの1つ（アプリロック）にTCPプロキシの要素が含まれており、侵害された端末をリモートのコマンドサーバーに登録していたと述べています。登録が完了すると、攻撃者は端末経由でトラフィックを転送できるようになります。これは実質的にレジデンシャルプロキシサービスとなり、犯罪者はDDoS攻撃の実行からスパムや電信詐欺への関与まで、さまざまな目的に利用できます。
研究者らは、同じ不正広告コードと同じ通信インフラを持つアプリを、Google Playストアでも十数本発見しました。ただし、これらは手動でのインストールが必要で、ユーザーが要求された権限を許可しなければなりません。そのため、ユーザーが不審に思った可能性があります。
マルウェアの除去は、アプリをアンインストールするだけでは済みません。研究者によると、多くの端末ではファームウェアレベルでのクリーンアップか、Android Debug Bridge（ADB）を使った悪意あるコンポーネントの無効化が必要です。これは多くの被害者にとって難易度が高い作業でしょう。
より簡単で賢明な解決策は、同時に費用のかかる方法でもあります。評判の怪しいブランドの端末は買わないことです。
