Android マルウェアが 1 億回のインストールで 60 の Google Play アプリに侵入

「Goldoson」という名前の新しい Android マルウェアが、合計で 1 億回ダウンロードされた 60 の正規アプリを通じて Google Play に侵入しました。

悪意のあるマルウェアコンポーネントは、開発者が無意識のうちにアプリに追加した 60 のアプリすべてで使用されるサードパーティライブラリの一部です。

影響を受けるアプリの一部は次のとおりです。

L.PAYでL.POINT – 1000万ダウンロード
スワイプブリックブレーカー – 1,000 万ダウンロード
Money Manager Expense & Budget – 1,000 万ダウンロード
GOM Player – 500 万ダウンロード
ライブスコア、リアルタイムスコア – 500 万ダウンロード
Pikicast – 500 万ダウンロード
Compass 9: Smart Compass – 100 万ダウンロード
GOM Audio – 音楽、歌詞の同期 – 100 万ダウンロード
LOTTE WORLD Magicpass – 100万ダウンロード
バウンスブリックブレーカー – 100 万ダウンロード
Infinite Slice – 100 万回のダウンロード
SomNote – 美しいノートアプリ – 100 万ダウンロード
Korea Subway Info: メトロイド – 100 万ダウンロード

Goldoson を発見したMcAfee の調査チームによると、このマルウェアは、インストールされているアプリ、WiFi および Bluetooth 接続デバイス、ユーザーの GPS 位置に関するデータを収集できるとのことです。

さらに、ユーザーの同意なしにバックグラウンドで広告をクリックすることにより、アドフラウドを実行できます。

Android デバイスからデータを盗む
ライブラリは削除されましたが、リスクは依然として存在します

Android デバイスからデータを盗む

ユーザーが Goldoson を含むアプリを起動すると、ライブラリはデバイスを登録し、ドメインが難読化されているリモートサーバーからその構成を受け取ります。

この構成には、Goldoson が感染したデバイスで実行する必要があるデータ盗用機能と広告クリック機能、およびその頻度を設定するパラメーターが含まれています。

通常、データ収集機能は 2 日ごとに起動するように設定されており、インストールされているアプリのリスト、地理的な位置履歴、Bluetooth や WiFi で接続されているデバイスの MAC アドレスなどを C2 サーバーに送信します。

データ収集のレベルは、インストール時に感染したアプリに付与される権限と Android のバージョンによって異なります。 Android 11 以降では、任意のデータ収集に対する保護が強化されています。ただし、マカフィーは、OS の最近のバージョンでも、Goldoson がアプリの 10% で機密データを収集するのに十分な権限を持っていることを発見しました。

広告クリック機能は、HTML コードを読み込み、それをカスタマイズされた非表示の WebView に挿入し、それを使用して複数の URL アクセスを実行し、広告収入を生み出すことによって行われます。

被害者のデバイスには、このアクティビティの兆候は見られません。