Midnight Mimosaと呼ばれるキャンペーンが、格安スマートフォンを購入する際に見落とされがちな問題に注目を集めている。那就是、端末がすでに侵害された状態で届く可能性があるということだ。GBHackersの報告によると、Midnight Mimosaは広範囲に及ぶAndroidマルウェアキャンペーンであり、安価なスマートフォンを広告詐欺エンジンに変えてしまうものである。この事例は、プリインストールされたAndroidマルウェアが、一般人の端末から本人の知らないうちにプロキシボットネットを構築し得ることを示す明確な例である。

公開されている概要は短いため、本記事は報告された内容に限定し、より広い仕組みを一般的な用語で説明する。キャンペーンに関する詳細が確認されていない箇所については、その旨を明記する。

Midnight Mimosaが格安Androidスマートフォンを乗っ取る仕組み

報道の要点は、このキャンペーンが安価なスマートフォンを標的とし、広告詐欺に利用しているということである。このストーリーの着想点、そしてこの種の脅威が一般的に機能する方法は、惡意コードが所有者の電源投入前から端末上に存在するというものである。これは、怪しいアプリを避けるという通常の助言とは異なる。なぜなら、購入者は何も悪いことをしていないからだ。

プリインストールされたマルウェアが攻撃者にとって効果的である傾向がある理由はいくつかある：

  • ファームウェアやシステムレベルのアプリに組み込まれている可能性があるため、工場出荷状態へのリセット後も存続する可能性がある。
  • ユーザーがダウンロードを承認したり、悪意のあるリンクをタップしたりする必要がない。
  • バックグラウンドで静かに動作するため、問題の明らかな兆候がない場合がある。

ソースの概要には、どのブランド、モデル、サプライチェーンの段階が関与しているかの詳細はないため、どの端末が影響を受けているかは特定できない。研究者が公表するまで、特定のモデルに関する主張は慎重に扱うべきである。

レジデンシャルプロキシネットワークがあなたの接続を他人の出口ノードに変える仕組み

プロキシボットネットは、感染した端末を中継点として貸し出すことで機能する。攻撃者自身のサーバーがリクエストを行う代わりに、トラフィックはスマートフォンを経由して、所有者の自宅またはモバイル接続から送信される。受信側のウェブサイトには、リクエストは通常のISP上の通常の人物から来ているように見える。

これは広告詐欺にとって価値がある。偽の広告インプレッションやクリックは、多数の実際のレジデンシャルアドレスやモバイルアドレスから発信されているように見える場合、フィルタリングがはるかに困難になる。スマートフォンは、知らず知らずのうちにこの計画の働き手となる。

所有者にとって、影響は以下のようなものが考えられる：

  • 原因不明のデータ使用：見知らぬ他人のトラフィックがあなたのデータプランや帯域幅を消費するため。
  • 評判リスク：あなたのIPアドレスから出た活動があなたの責任とされる可能性があるため（サービスによるフラグ付けやブロックなど）。
  • パフォーマンスの低下とバッテリー消耗の加速：端末があなたの依頼していない処理を行うため。
  • 潜在的なリスクへの露出：システム権限で隠れたコードを実行する端末は、報告された一つの役割以上のことを行う可能性があるため。

最後の点は一般的なリスクであり、Midnight Mimosaに関する確認された調査結果ではない。

VPNが侵害された端末を保護できない理由

VPNは有用なツールだが、特定の役割がある：端末とVPNサーバー間のトラフィックを暗号化し、訪問先のサイトからあなたのIPアドレスを隠す。VPNは端末自体が信頼できることを前提としている。

スマートフォン上でマルウェアが深いアクセス権限で既に動作している場合、それは暗号化トンネルの端末側に位置する。VPNの保護の外で動作したり、ユーザーが見ることのない方法で自身のトラフィックをルーティングしたりする可能性がある。VPNはファームウェアレベルのコードを除去せず、感染した端末がプロキシノードとして登録されるのを防ぐこともできない。

これが、端末の完全性とネットワークのプライバシーが別々の問題である理由である。VPNはISPや公共Wi-Fi事業者が見るものを減らすことができる。信頼できないスマートフォンを信頼できるものに変えることはできない。盗まれたり露出したりしたデータが異なる種類のリスクを生み出す仕組みについては、SBIデータ侵害KYC漏洩主張に関する報道を参照されたい。そこでは問題はユーザーの端末ではなくデータ保有者にあった。

格安スマートフォンの審査方法と隠れたプロキシ活動の見分け方

手頃な価格のスマートフォンを完全に避ける必要はないが、いくつかの習慣でリスクを下げることができる。

購入前：

  • ファームウェアとアップデートポリシーを文書化できる確立された小売業者や販売業者から購入する。
  • 意味が通らないほど低い価格や、明確なサポートチャネルを持たない販売者には注意する。
  • スマートフォンがGoogleのサービスを実行する認証を受け、定期的なセキュリティパッチを受けているか確認する。

購入後：

  • システムアプリを含むアプリリストを確認し、見覚えのないものがないか調べる。悪意のあるコンポーネントの中には一般的な名前で隠れているものがあることに注意する。
  • 設定でアプリごとのデータ使用量を確認する。見慣れないアプリによる大量のバックグラウンド使用は警告サインである。
  • 原因不明のバッテリー消耗、アイドル時の発熱、データプランの早期消費に注意する。
  • 検証されていないソースからの非公式またはサードパーティ製ファームウェアのインストールを避ける。

これがあなたにとって意味すること

安価なAndroidスマートフォンを所有している場合、Midnight Mimosaは、インストールするアプリだけでなく、端末自体を確認するよう促すものである。リスクはあなた自身のデータに限定されない：あなたの接続が他人のトラフィックを運び、詐欺を行うために使用される可能性がある。VPNは侵害されたスマートフォンを修復できないため、保護の一層として扱い、治療法とは考えないこと。

隠れた活動の兆候を見つけた場合は、バンキングなどの機密性の高いタスクにそのスマートフォンを使用するのをやめ、別の信頼できる端末から重要なパスワードを変更し、メーカーまたは販売者に連絡する。検証済みのファームウェアを提供するベンダーの端末に交換することが、唯一の信頼できる解決策となる場合がある。

主なポイント

  • 今週、現在のスマートフォンを監査する：データ使用量、インストール済みアプリとシステムアプリ、非公式ファームウェアの有無を確認する。
  • 検証済みのファームウェアと明確なセキュリティアップデートポリシーを持つベンダーから購入する。
  • すでに感染している可能性のある端末の保護をVPNに頼らない。
  • 侵害を疑う場合は、信頼できる第二の端末を使用してパスワードを変更する。

プロキシボットネットを構築するプリインストールされたAndroidマルウェアはサプライチェーンの問題であり、最善の防御は購入時から始まる。端末の保護とVPNができること・できないことの詳細については、vpn.socialのVPNおよび端末セキュリティガイドを参照されたい。