Google PlayとApp Storeから1300万回以上ダウンロードされた計89個のアプリが広告詐欺に関係していることが発覚

セキュリティ研究者が、Google Playの80個のアプリケーションと、App Storeの9個のアプリケーションが広告詐欺に関係していることを明らかにしました。これらのアプリは合計1300万回インストールされており、ユーザーに不正に広告を表示していました。

Poseidon’s Offspring: Charybdis and Scylla
https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla

セキュリティ企業・HUMANの研究チームによると、広告詐欺に関与しているアプリはすべて同じ手法で不正に広告を表示していたとのこと。一方で、広告の表示方法は多岐にわたるそうです。表示方法の1つは、ユーザーが広告にアクセスした時の情報を取得してその情報を何度もサーバーに送信することで、実際の数よりも多くアクセスしたように見せかけるものです。

他にも、端末のホーム画面で広告を表示したり、バックグラウンドで広告を表示したり、有名アプリのふりをして広告主をだまし、広告費をせしめたりする方法が確認されています。

このような広告詐欺を行う開発者の背後には、すべて同じ脅威者が存在すると見られています。HUMANの研究チームはこの脅威者を2019年から認知していたとのこと。

2019年、研究チームは40個以上のAndroidアプリが公然と広告詐欺を行っていることを発見し、アプリ内の悪意のあるコードにちなんで「Poseidon(ポセイドン)」と名付けて調査を行っていました。

Poseidonは端末に備えられた「レシーバ」と呼ばれる仕組みを利用して広告を表示させていました。レシーバとは、デバイスに何らかの変更が加えられたときにアプリにそれを知らせるコード群のことで、例えば端末が機内モードになったことを監視し、機内モードが解除されるまでインターネットへの接続を停止するようアプリに指示するなどの役割を担います。

Poseidonはこの仕組みを広告を表示させるためのトリガーとして悪用していましたが、そのためのコードを隠していなかったため、研究チームによってその存在が暴露されました。

一度は消えたかに見えたPoseidonですが、2020年後半から2021年初頭にかけてPoseidonの後継者が現れたとのこと。広告表示の仕組みはPoseidonと同じながら、コードが難読化されていたり、特定の広告プラットフォームに標的を絞っていたりするなど進化を果たしていました。研究チームはギリシャ神話にちなみ、このコードをポセイドンの娘「Charybdis(カリュブディス)」と名付けて調査し、暴露することに成功します。

そして今回、さらなる難読化とiOSアプリへの対応を果たして登場したのが「Scylla(スキュラ)」でした。スキュラもまた、ギリシャ神話においてポセイドンの娘と考えられている神の1人です。

研究チームはScyllaの暴露を果たしたあと、GoogleとAppleに報告し、各社と緊密に連携して各アプリストアからすべてのアプリを削除しています。研究チームは対象のアプリがインストールされていないかを確認し、もしインストールされている場合は直ちに削除するようスマートフォンユーザーに求めました。

なお、該当アプリのOS、SHA-256、アプリ名、パッケージ名は以下の通りです。