Google Bouncerの検出を回避して不正アプリを配信、研究者が問題を実証

[鈴木聖子，ITmedia]

　米GoogleのAndroid端末向けアプリ配信サービスで不正なアプリを自動検出する機能「Bouncer」をめぐり、セキュリティ研究者がこの機能をかわして不正なアプリを配信できてしまうことを実証したと発表した。

　セキュリティ企業Duo Securityのジョン・オーバーハイデ最高技術責任者と著名なセキュリティ研究者のチャーリー・ミラー氏は、米ニューヨークで開催のセキュリティカンファレンス「SummerCon」でこの問題を実証するデモを実施。ブログで一端を紹介している。

　それによると、2人はまず偽名アカウントを使ってアプリケーションをGoogle Play（旧Android Market）に提出。Bouncerがそのアプリを分析している間に、シェルコードを使ってBouncerのインフラについての情報を入手した。

　Bouncerのチェックをかわす方法は複数あるといい、その手口を使えば悪質なアプリをBouncerで実行された際には無害なアプリに見せかけ、ユーザーの端末上で実行された際にはマルウェアとして機能させることが可能になるという。

　「Bouncerは現時点で知識豊富な攻撃者の手による高度なマルウェアを検出することができないが、Googleはいずれ機能を向上させると確信している」とオーバーハイデ氏は述べている。今回見つかった問題についてはAndroidのセキュリティチームと連絡を取り、協力して対応に当たっているという。