悪質アプリでAndroidのアイコンを改ざん、不正サイトに誘導も

Androidのホーム画面にある正規のアイコンを不正なアイコンに置き換え、フィッシング詐欺サイトに誘導するといった攻撃ができることをセキュリティ企業が実証した。

[鈴木聖子，ITmedia]

　米GoogleのAndroidに、悪質なアプリを使ってホーム画面上の正規のアイコンを改ざんできてしまう問題が見つかったとして、セキュリティ企業のFireEyeが4月14日のブログで報告した。

　FireEyeによると、Androidではパーミッションの保護レベルが複数の段階に分類されていて、「Dangerous」の分類ではアプリをインストールする際にユーザーの許可を求める画面が表示されるのに対し、「normal」の分類では許可を求めることなくアプリがインストールされる。

　しかしFireEyeは、normalのパーミッションのうち2種類にセキュリティ問題があることを発見。この2種類を利用すれば、悪質なアプリを使ってホーム画面上の正規のアイコンを不正なアイコンに置き換えることができてしまい、例えばインターネットバンキングのアプリからフィッシング詐欺サイトに誘導するといった攻撃が可能になるという。

　同社は実際に、Android 4.4.2を搭載したGoogleの「Nexus 7」でこの攻撃を実証したと報告している。悪質なアプリは問題なく「Google Play」にアップロードでき、ユーザーがこのアプリをダウンロードしてインストールしても、警告が表示されないことを確認したという。このアプリはすぐにGoogle Playから削除した。

　Nexusのほか、Android 4.3を搭載した「Samsung Galaxy S4」や、Android 4.4.2を搭載した「HTC One」でも同じ攻撃ができることを確認したとしている。

　FireEyeによれば、Googleもこの問題を確認し、修正のためのパッチをOEMパートナーに提供している。