ノルウェーのアプリセキュリティ企業プロモンが12月2日、同社が「StrandHogg（ストランドホッグ）」と呼ぶアンドロイドのぜい弱性に関するレポートを発表した。最新のアンドロイド 10を含む全バージョンが影響を受けており、人気のある上位500のアプリすべてがリスクにさらされているという。またこのぜい弱性を悪用している36のマルウェアをすでに特定したそうだ。

プロモンによると、2019年夏にグーグルに調査結果を提出済みで、グーグルの90日間の開示スケジュールを順守しているという。グーグルは影響を受けたアプリを削除したものの、最新のアンドロイド 10を含む全バージョンにおいてぜい弱性がいまだ修正されていないと主張した。

同社のトム・リセモーゼ・ハンセンCTOは、次のようにコメントした。

「悪意のある攻撃者が機密情報を盗むためにStrandHoggを悪用している明確な証拠がある。アンドロイドの全バージョンが影響を受ける。ほとんどのアプリは軒並みぜい弱な状態にあり、前例のない規模の損害が発生する可能性がある」

「StrandHogg」が悪用されることで何が起こるのか？

StrandHoggを悪用するアプリは、アンドロイド上の他のアプリに偽装し、ユーザーに正当なものを利用していると信じ込ませることが可能という。偽のログイン画面を表示し、ユーザーのIDやパスワードといった機密情報を盗み取れるそうだ。

「被害者がこの（偽の）インターフェース上でログイン資格情報を入力すると、機密情報が直ちに攻撃者に送信される。攻撃者は、厳格なセキュリティ設計を採用したアプリにログインし、制御できるようになる」

StrandHoggを悪用すれば、例えば、仮想通貨ウォレットに偽装し、ユーザーのログイン情報を盗めるアプリを作成できるわけだ。

また攻撃者は、SMS・写真・マイク・GPSなどへのアクセス許可をユーザーに気づかれないように要求し許諾を得ることで、メッセージの読み取り、写真表示、盗聴、（GPSなどによる）移動の追跡が可能になるそうだ。

プロモンによると、今回の脆弱性は、身代金目的で沿岸地域を襲撃する北欧のバイキングの戦術「StrandHogg」から名付けたものという。

翻訳・編集 コインテレグラフジャパン