セキュリティ企業がAndroidの攻撃手法を公開、「95.4％に通用」と主張

全Android端末の95.4％に対して通用するという攻撃手法について、セキュリティ企業が実証動画などを公開した。

[鈴木聖子，ITmedia]

攻撃方法を公開したSkycure

　モバイル端末のセキュリティ対策を手掛けるSkycureは5月17日のブログで、全Android端末の95.4％に対して通用するという攻撃手法についての情報を公開した。

　同社はこの攻撃を「Accessibility Clickjacking Exploits」と命名。被害者の行動監視、メールや文書の盗み見、改ざんなどに使われる恐れがあるほか、攻撃者が特権を取得してデバイスを人質に取り、被害者から金銭をゆすり取るランサムウェア攻撃にも使われる恐れがあると解説している。

　手法はSkycureが今年3月のRSAカンファレンスで発表していたもので、Androidのユーザーインタフェース機能強化のための「アクセシビリティサービス」と、他のアプリの上にグラフィックスを描画できる機能の2つを組み合わせて悪用する。この手口を使えばマルウェアアプリでユーザーをだまし、攻撃者が実質的に無制限のパーミッションを取得できてしまう可能性があるという。

　Skycureのブログではゲームアプリを使ってこれを実証する動画も公開した。ゲームの画面をアクセシビリティ設定画面の上に重ね、ゲームの中で画面の右側をクリックするよう仕向けて、ゲームの下の画面に隠されたアクセシビリティを有効にさせる様子を紹介している。

Skycureによる実証動画

　この攻撃は全Android端末の95.4％に対して通用するとSkycureは主張する。ただ、Android 6.x（Marshmallow）ではこうした攻撃を防ぐための対策が強化されていて、脆弱性は存在するものの、悪用は難しいと指摘する。

　Googleには3月にこの問題を報告したという。しかし「Google Androidセキュリティチームはこの問題を修正しないことを決め、現行のデザインの結果としてこのリスクを受け入れることにした」とSkycureは説明する。今回、攻撃手法の公開に踏み切ったのは、セキュリティ問題についてユーザーに知ってもらうことが目的だと説明している。