「Play Market」で、NoVoiceという悪意のあるアプリが数十件見つかり、230万人がダウンロードしました

Google Play Marketで50件以上のアプリが悪意あるコード*NoVoice*を含んでいることが判明しました。

- ウイルスはAndroid（2016‑2021）の既知の脆弱性を利用してroot権限を取得します。
- ダウンロード数は230万件以上です。
- アプリはフォトギャラリー、ゲーム、クリーンアップユーティリティなどに見えますが、疑わしい権限は要求しません。

McAfeeの専門家は脅威を確認しましたが、具体的な攻撃者は特定できませんでした。ウイルスはトロイの*Triada*に似ています。

NoVoiceの仕組み
段階 | 発生内容 | 感染
---|---|---
悪意あるコードは`com.facebook✴.utils`パッケージに配置され、Facebook SDKを偽装します。暗号化されたペイロード（`enc.apk`）はPNG画像内に隠され、そこから`h.apk`が抽出されメモリへ読み込まれます。その後、一時ファイルは削除されます。 |
感染条件 | デバイスが北京または深圳（中国）と判定され、15回のエミュレーター・デバッガー・VPNチェックを通過した場合、プロセスは停止します。それ以外の場合は継続します。 |
情報収集 | 悪意あるコードはリモートサーバに接続し、カーネルバージョン、Androidバージョン、インストール済みアプリ一覧、root状態を送信します。リクエストは60秒ごとに繰り返されます。 |
エクスプロイト | McAfeeは22のエクスプロイト（カーネル脆弱性、メモリリーク、Maliドライバ脆弱性）を発見しました。これらはrootシェルを開き、SELinuxを無効化します。 |
常駐 | root取得後、悪意あるコードは`libandroid_runtime.so`と`libmedia_jni.so`のシステムライブラリを置換し、復旧スクリプトを作成、クラッシュハンドラを差し替え、バックアップペイロードをシステムパーティションに保存します（リセット時も消去されません）。60秒ごとにデーモンが起動し、ルートキットの整合性を確認します。 |

機能モジュール
1) アプリの隠れたインストール/削除。
2) 任意のインターネットアプリへの接続とデータ窃取（主にWhatsApp）。メッセンジャーが開かれると、悪意あるコードはデータベース、暗号化キー、電話番号、Google Driveのバックアップを取得し、管理サーバへ送信します。これにより攻撃者はWhatsAppセッションをクローンできます。

モジュール性 | ウイルスは他のペイロードを使用してデバイス上の任意のアプリで機能する可能性があります。

対策
- 2021年5月以降に更新されたデバイスは脆弱ではありません（エクスプロイトが修正されています）。
- Google Play Protectは検出されたアプリを自動的に削除し、新規インストールをブロックします。
- ユーザーは定期的にすべてのセキュリティアップデートを適用することが推奨されます。

結論：*NoVoice*は古いAndroid脆弱性を利用してroot権限を取得し、隠れた感染と人気アプリからのデータ窃取を行う高度なルートキットです。対策はタイムリーなパッチ適用とPlay Protectの使用に限定されます。